Resumé
Credential Security Support Provider-protokol (CredSSP) er en godkendelsesudbyder, der behandler godkendelsesanmodninger for andre programmer.
Der findes en sårbarhed i forbindelse med fjernudførelse af kode i versioner af CredSSP, der ikke er patchet. En hacker, der har held til at udnytte denne sårbarhed, kan videresende brugeroplysninger for at køre kode på destinationssystemet. Ethvert program, der er afhængigt af CredSSP til godkendelse, kan være sårbart over for denne type angreb.
Denne sikkerhedsopdatering løser sikkerhedsrisikoen ved at rette, hvordan CredSSP validerer anmodninger under godkendelsesprocessen.
Du kan finde flere oplysninger om sikkerhedsrisikoen under CVE-2018-0886.
Opdateringer
13. marts 2018
Den første version fra 13. marts 2018 opdaterer CredSSP-godkendelsesprotokollen og Fjernskrivebord-klienterne for alle berørte platforme.
Afhjælpning består i at installere opdateringen på alle berettigede klient- og serveroperativsystemer og derefter bruge inkluderede indstillinger for Gruppepolitik eller tilsvarende indstillinger i registreringsdatabasen til at administrere indstillingerne på klient- og servercomputere. Vi anbefaler, at administratorer anvender politikken og indstiller den til "Gennemtving opdaterede klienter" eller "Afhjælpet" på klient- og servercomputere så hurtigt som muligt. Disse ændringer kræver en genstart af de påvirkede systemer.
Vær opmærksom på par af Gruppepolitik eller registreringsdatabaseindstillinger, der resulterer i "blokerede" interaktioner mellem klienter og servere i kompatibilitetstabellen senere i denne artikel.
17. april 2018
Opdateringsopdateringen for Fjernskrivebordsklienten (RDP) i KB-4093120 forbedrer den fejlmeddelelse, der vises, når en opdateret klient ikke kan oprette forbindelse til en server, der ikke er blevet opdateret.
8. maj 2018
En opdatering til at ændre standardindstillingen fra svag til nedsat.
Relaterede Microsoft Knowledge Base-numre er angivet i CVE-2018-0886.
Når denne opdatering er installeret, kan klienter med opdateringer som standard ikke kommunikere med ikke-patchede servere. Brug indstillingerne for interoperabilitetsmatrix og gruppepolitik, der er beskrevet i denne artikel, til at aktivere en "tilladt" konfiguration.
Gruppepolitik
| Politiksti og indstillingsnavn | Beskrivelse |
|---|---|
| Politiksti: Computerkonfiguration –> Administrative skabeloner –> System –> Delegering af legitimationsoplysninger Indstillingsnavn: Encryption Oracle Remediation |
Afhjælpning af krypteringsorakel Denne politikindstilling gælder for programmer, der bruger CredSSP-komponenten (f.eks. Forbindelse til Fjernskrivebord). Nogle versioner af CredSSP-protokollen er sårbare over for et krypteringsorakelangreb mod klienten. Denne politik styrer kompatibiliteten med sårbare klienter og servere. Denne politik giver dig mulighed for at angive det beskyttelsesniveau, du ønsker for krypteringsorakelsårbarheden. Hvis du aktiverer denne politikindstilling, vælges understøttelse af CredSSP-versionen baseret på følgende indstillinger: Gennemtving opdaterede klienter – Klientprogrammer, der bruger CredSSP, vil ikke være i stand til at falde tilbage til usikre versioner, og tjenester, der bruger CredSSP, vil ikke acceptere ikke-patchede klienter. Bemærk Denne indstilling bør ikke installeres, før alle fjernværter understøtter den nyeste version. Afhjulpet – Klientprogrammer, der bruger CredSSP, vil ikke være i stand til at falde tilbage til usikre versioner, men tjenester, der bruger CredSSP, vil acceptere ikke-patchede klienter. Sårbar – Klientprogrammer, der bruger CredSSP, udsætter fjernserverne for angreb ved at understøtte fallback til usikre versioner, og tjenester, der bruger CredSSP, accepterer ikke-patchede klienter. |
Gruppepolitik for afhjælpning af krypteringsorakel understøtter følgende tre indstillinger, som skal anvendes på klienter og servere:
| Indstilling for politik | Værdi i registreringsdatabasen | Klientfunktionsmåde | Serveradfærd |
|---|---|---|---|
| Gennemtving opdaterede klienter | 0 | Klientprogrammer, der bruger CredSSP, vil ikke være i stand til at falde tilbage til usikre versioner. | Tjenester, der bruger CredSSP, accepterer ikke ikke-patchede klienter. Bemærk Denne indstilling bør ikke udrulles, før alle Windows- og tredjeparts CredSSP-klienter understøtter den nyeste CredSSP-version. |
| Afhjulpet | 1 | Klientprogrammer, der bruger CredSSP, vil ikke være i stand til at falde tilbage til usikre versioner. | Tjenester, der bruger CredSSP, accepterer ikke-patchede klienter . |
| Sårbar | 2 | Klientprogrammer, der bruger CredSSP, udsætter fjernservere for angreb ved at understøtte fallback til usikre versioner. | Tjenester, der bruger CredSSP, accepterer ikke-patchede klienter . |
En anden opdatering, der udgives d. 8. maj 2018, vil ændre standardfunktionsmåden til indstillingen "Afhjælpet".
Bemærk Enhver ændring af Encryption Oracle Remediation kræver en genstart.
Værdi i registreringsdatabasen
Bemærk
Advarsel Der kan forekomme alvorlige problemer, hvis du ved hjælp af Registreringseditor eller anden metode foretager forkerte ændringer af registreringsdatabasen. Disse problemer kan medføre, at du skal geninstallere operativsystemet. Microsoft kan ikke garantere, at disse problemer kan løses. Ændringer af registreringsdatabasen er på eget ansvar.
Opdateringen introducerer følgende indstillinger i registreringsdatabasen:
| Sti til registreringsdatabasen | HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters |
|---|---|
| Værdi | AllowEncryptionOracle |
| Datotype | DWORD |
| Er genstart påkrævet? | Ja |
Interoperabilitetsmatrix
Både klienten og serveren skal opdateres, ellers kan Windows og tredjeparts CredSSP-klienter muligvis ikke oprette forbindelse til Windows eller tredjepartsværter. Se følgende interoperabilitetsmatrix for scenarier, der enten er sårbare over for udnyttelsen eller forårsager driftsfejl.
Bemærk Når du opretter forbindelse til en Windows Fjernskrivebord-server, kan serveren konfigureres til at bruge en fallback-mekanisme, der anvender TLS-protokollen til godkendelse, og brugerne kan få andre resultater end beskrevet i denne matrix. Denne matrix beskriver kun funktionsmåden af CredSSP-protokollen.
| Server | |||||
|---|---|---|---|---|---|
| Ikke opdateret | Gennemtving opdaterede klienter | Afhjulpet | Sårbar | ||
| Klient | Ikke opdateret | Tilladt | Blokeret | Tilladt | Tilladt |
| Gennemtving opdaterede klienter | Blokeret | Tilladt | Tilladt | Tilladt | |
| Afhjulpet | Blokeret | Tilladt | Tilladt | Tilladt | |
| Sårbar | Tilladt | Tilladt | Tilladt | Tilladt |
| Indstilling af klient | CVE-2018-0886-programrettelsesstatus |
|---|---|
| Ikke opdateret | Sårbar |
| Gennemtving opdaterede klienter | Sikker |
| Afhjulpet | Sikker |
| Sårbar | Sårbar |
Fejl i Windows-hændelsesloggen
Hændelses-id 6041 logføres på Windows-klienter, der er opdateret med fejlrettelser, hvis klienten og fjernværten er konfigureret i en blokeret konfiguration.
| Hændelseslog | System |
|---|---|
| Hændelseskilde | LSA (LsaSrv) |
| Hændelses-id | 6041 |
| Meddelelsestekst for begivenhed | En CredSSP-godkendelse til <værtsnavn> kunne ikke forhandle en fælles protokolversion. Fjernværten tilbød version <af protokolversion> , som ikke er tilladt i henhold til Encryption Oracle Remediation. |
Fejl, der er genereret af CredSSP-blokerede konfigurationspar af Windows RDP-klienter med fejlrettelser
Fejl præsenteret af Fjernskrivebordsklienten uden April 17, 2018-opdateringen (KB 4093120)
| Ikke-opdaterede klienter fra før Windows 8.1 og Windows Server 2012 R2 parret med servere, der er konfigureret med "Gennemtving opdaterede klienter" | Fejl, der er genereret af CredSSP-blokerede konfigurationspar af fejlrettede Windows 8.1/Windows Server 2012 R2 og nyere RDP-klienter |
|---|---|
| Der opstod en godkendelsesfejl. Det token, der leveres til funktionen, er ugyldigt |
Der opstod en godkendelsesfejl. Den ønskede funktion understøttes ikke. |
Fejl præsenteret af Fjernskrivebord-klienten med 17. april 2018-opdateringen (KB 4093120)
| Ikke-opdaterede klienter fra før Windows 8.1 og Windows Server 2012 R2 parret med servere, der er konfigureret med "Gennemtving opdaterede klienter" | Disse fejl genereres af CredSSP-blokerede konfigurationspar af fejlrettede Windows 8.1/Windows Server 2012 R2 og nyere RDP-klienter. |
|---|---|
| Der opstod en godkendelsesfejl. Det token, der leveres til funktionen, er ugyldigt. |
Der opstod en godkendelsesfejl. Den ønskede funktion understøttes ikke. Fjerncomputer: <værtsnavn> Dette kan skyldes CredSSP-krypteringsorakelafhjælpning. Du kan finde flere oplysninger i https://go.microsoft.com/fwlink/?linkid=866660 |
Eksterne skrivebordsklienter og -servere fra tredjeparter
Alle tredjepartsklienter eller -servere skal bruge den nyeste version af CredSSP-protokollen. Kontakt venligst leverandørerne for at afgøre, om deres software er kompatibel med den nyeste CredSSP-protokol.
Protokolopdateringerne kan findes på webstedet med dokumentation til Windows-protokollen.
Filændringer
Følgende systemfiler er blevet ændret i denne opdatering.
- tspkg.dll
Den credssp.dll fil forbliver uændret. Læs de relevante artikler for oplysninger om filversion, hvis du vil have mere at vide.