KB5020805: Sådan administrerer du Kerberos-protokolændringer relateret til CVE-2022-37967

Denne artikel indeholder

• Sammendrag
• Tidspunkt for opdateringer af adresse til CVE-2022-37967
• Retningslinjer for udrulning
• Indstillinger for registreringsdatabasenøgle
• Windows-hændelser, der er relateret til CVE-2022-37967
• Tredjepartsenheder, der implementerer Kerberos-protokollen
• Ordliste

Sammendrag

Windows-opdateringerne fra den 8. november 2022 adresserer sikkerhedstilsidesættelse og udvidelse af rettighedssårbarheder med PAC-signaturer (Privilege Attribute Certificate). Denne sikkerhedsopdatering løser Kerberos-sårbarheder, hvor en hacker digitalt kan ændre PAC-signaturer og øge vedkommendes rettigheder.

Hvis du vil beskytte dit miljø, skal du installere denne Windows-opdatering på alle enheder, herunder Windows-domænecontrollere. Alle domænecontrollere i dit domæne skal opdateres først, før du skifter opdateringen til gennemtvunget tilstand.

Du kan finde flere oplysninger om disse sikkerhedsrisici under CVE-2022-37967.

Tag affære

Hvis du vil beskytte dit miljø og forhindre afbrydelser, anbefaler vi, at du udfører følgende trin:

1. OPDATER dine Windows-domænecontrollere med en Windows-opdatering, der er udgivet den 8. november 2022 eller senere.
2. FLYT dine Windows-domænecontrollere til overvågningstilstand ved hjælp af afsnittet Indstilling for registreringsdatabasenøgle .
3. OVERVÅGE hændelser, der er arkiveret i overvågningstilstand for at sikre dit miljø.
4. AKTIVÉR Håndhævelsestilstand for at adressere CVE-2022-37967 i dit miljø.

Bemærk Trin 1 af installation af opdateringer, der er udgivet den 8. november 2022 eller derefter, løser IKKE sikkerhedsproblemerne i CVE-2022-37967 til Windows-enheder som standard. Hvis du vil afhjælpe sikkerhedsproblemet fuldt ud for alle enheder, skal du hurtigst muligt skifte til overvågningstilstand (beskrevet i trin 2) efterfulgt af gennemtvunget tilstand (beskrevet i trin 4) på alle Windows-domænecontrollere.

Vigtigt Fra og med juli 2023 aktiveres håndhævelsestilstand på alle Windows-domænecontrollere og blokerer sårbare forbindelser fra enheder, der ikke overholder angivne standarder.  På det tidspunkt vil du ikke kunne deaktivere opdateringen, men kan gå tilbage til indstillingen Overvågningstilstand. Overvågningstilstand fjernes i oktober 2023, som beskrevet i afsnittet Tidsplan for opdateringer for at håndtere Kerberos-sårbarhed CVE-2022-37967 .

Tidspunkt for opdateringer af adresse til CVE-2022-37967

Opdateringer frigives i faser: den indledende fase for opdateringer, der er udgivet den 8. november 2022 eller derefter, og håndhævelsesfasen for opdateringer, der er udgivet den 13. juni 2023 eller senere.

8. november 2022 – Indledende udrulningsfase

Den indledende udrulningsfase starter med de opdateringer, der blev udgivet d. 8. november 2022, og fortsætter med senere Windows-opdateringer indtil håndhævelsesfasen. Denne opdatering føjer signaturer til Kerberos PAC-bufferen, men kontrollerer ikke for signaturer under godkendelsen. Dermed er sikkerhedstilstand som standard deaktiveret.

Denne opdatering:

• Føjer PAC-signaturer til Kerberos PAC-bufferen.
• Tilføjer foranstaltninger for at løse sikkerhedsrisikoen ved tilsidesættelse af sikkerhed i Kerberos-protokollen.

13. december 2022 – anden udrulningsfase

Den anden installationsfase starter med opdateringer, der er udgivet d. 13. december 2022. Disse og nyere opdateringer foretager ændringer i Kerberos-protokollen for at overvåge Windows-enheder ved at flytte Windows-domænecontrollere til overvågningstilstand.

Med denne opdatering er alle enheder som standard i overvågningstilstand:

• Hvis signaturen enten mangler eller er ugyldig, er godkendelse tilladt. Desuden oprettes der en overvågningslog.
• Hvis signaturen mangler, kan du oprette en hændelse og tillade godkendelsen.
• Hvis signaturen findes, skal du validere den. Hvis signaturen er forkert, skal du oprette en hændelse og tillade godkendelsen.

13. juni 2023 – Tredje udrulningsfase

De Windows-opdateringer, der er udgivet den 13. juni 2023 eller derefter, gør følgende:

• Fjern muligheden for at deaktivere tilføjelse af PAC-signaturer ved at angive undernøglen KrbtgtFullPacSignature til en værdi på 0.

11. juli 2023 – Indledende håndhævelsesfase

De Windows-opdateringer, der er udgivet den 11. juli 2023 eller derefter, gør følgende:

• Fjerner muligheden for at angive værdi 1 for KrbtgtFullPacSignature-undernøglen .
• Flytter opdateringen til håndhævelsestilstand (standard) (KrbtgtFullPacSignature = 3), som kan tilsidesættes af en administrator med en eksplicit overvågningsindstilling.

10. oktober 2023 – fuld håndhævelsesfase

De Windows-opdateringer, der er udgivet den 10. oktober 2023 eller derefter, vil gøre følgende:

• Fjerner understøttelse af undernøglen KrbtgtFullPacSignature i registreringsdatabasen.
• Fjerner understøttelse af overvågningstilstand.
• Alle serviceanmodninger uden de nye PAC-signaturer nægtes godkendelse.

Retningslinjer for udrulning

Hvis du vil installere Windows-opdateringer, der er dateret 8. november 2022 eller nyere Windows-opdateringer, skal du følge disse trin:

1. OPDATER dine Windows-domænecontrollere med en opdatering, der er udgivet den 8. november 2022 eller senere.
2. FLYT dine domænecontrollere til overvågningstilstand ved hjælp af afsnittet Indstilling af registreringsdatabasenøgle .
3. MONITOR-hændelser , der er arkiveret i overvågningstilstand for at hjælpe med at sikre dit miljø.
4. AKTIVÉR Håndhævelsestilstand for at adressere CVE-2022-37967 i dit miljø.

TRIN 1: OPDATER

Udrul opdateringerne fra den 8. november 2022 eller nyere til alle relevante Windows-domænecontrollere (DC'er). Når du har installeret opdateringen, vil opdaterede Windows-domænecontrollere få signaturer føjet til Kerberos PAC-bufferen og vil som standard være usikre (PAC-signaturen er ikke valideret).

• Under opdateringen skal du sørge for at bevare registreringsdatabaseværdien KrbtgtFullPacSignature i standardtilstand, indtil alle Windows-domænecontrollere er opdateret.

TRIN 2: FLYT

Når Windows-domænecontrollerne er opdateret, kan du skifte til overvågningstilstand ved at ændre værdien KrbtgtFullPacSignature til 2.

TRIN 3: SØG/OVERVÅG

Identificer områder, der enten mangler PAC-signaturer, eller hvor PAC-signaturer ikke kan valideres gennem hændelseslogfilerne, som udløses under overvågningstilstand.

• Sørg for, at domænets funktionsniveau er indstillet til mindst 2008 eller højere, før du skifter til gennemtvingelsestilstand. Hvis du skifter til håndhævelsestilstand med domæner på 2003-domænefunktionsniveauet, kan det medføre godkendelsesfejl.
• Overvågningshændelser vises, hvis dit domæne ikke er fuldt opdateret, eller hvis der stadig findes udestående tidligere udstedte servicebilletter på dit domæne.
• Hold fortsat øje med yderligere hændelseslogfiler, der angiver enten manglende PAC-signaturer eller mislykkede validering af eksisterende PAC-signaturer.
• Når hele domænet er opdateret, og alle udestående billetter er udløbet, bør overvågningshændelserne ikke længere vises. Derefter bør du kunne gå til håndhævelsestilstand uden fejl.

TRIN 4: AKTIVÉR

Aktivér håndhævelsestilstand for at adressere CVE-2022-37967 i dit miljø.

• Når alle overvågningshændelser er blevet løst og ikke længere vises, skal du flytte dine domæner til håndhævelsestilstand ved at opdatere værdien KrbtgtFullPacSignature i registreringsdatabasen som beskrevet i afsnittet Indstillinger for registreringsdatabasenøgler .
• Hvis en servicebillet har en ugyldig PAC-signatur eller mangler PAC-signaturer, mislykkes valideringen, og en fejlhændelse logføres.

Indstillinger for registreringsdatabasenøgle

Kerberos-protokol

Når du har installeret Windows-opdateringer, der er dateret den 8. november 2022 eller derefter, er følgende registreringsdatabasenøgle tilgængelig for Kerberos-protokollen:

• KrbtgtFullPacSignature

  Denne registreringsdatabasenøgle bruges til at kontrollere implementeringen af Kerberos-ændringerne. Denne registreringsdatabasenøgle er midlertidig og kan ikke længere læses efter den fulde håndhævelsesdato den 10. oktober 2023. 

  Registreringsdatabasenøgle	HKEY_LOCAL_MACHINE\System\currentcontrolset\services\kdc
  Værdi	KrbtgtFullPacSignature
  Datatype	REG_DWORD
  Data	0 – Deaktiveret 1 – Nye signaturer tilføjes, men bekræftes ikke. (Standardindstilling) 2 – Overvågningstilstand. Nye signaturer tilføjes og bekræftes, hvis de findes. Hvis signaturen enten mangler eller er ugyldig, tillades godkendelse, og der oprettes overvågningslogge. 3 – Håndhævelsestilstand. Nye signaturer tilføjes og bekræftes, hvis de findes. Hvis signaturen enten mangler eller er ugyldig, nægtes godkendelse, og der oprettes overvågningslogge.
  Kræves genstart?	Nej

  Bemærk Hvis du vil ændre værdien i registreringsdatabasen KrbtgtFullPacSignature , skal du manuelt tilføje og derefter konfigurere registreringsdatabasenøglen for at tilsidesætte standardværdien.

Windows-hændelser, der er relateret til CVE-2022-37967

I overvågningstilstand kan du finde en af følgende fejl, hvis PAC-signaturer mangler eller er ugyldige. Hvis dette problem fortsætter i håndhævelsestilstand, logføres disse hændelser som fejl.

Hvis du finder en af fejlene på din enhed, er det sandsynligt, at alle Windows-domænecontrollere i dit domæne ikke er opdateret med en Windows-opdatering fra den 8. november 2022 eller nyere. Hvis du vil afhjælpe problemerne, skal du undersøge dit domæne yderligere for at finde Windows-domænecontrollere, der ikke er opdaterede.

Bemærk Hvis du finder en fejl med hændelses-id 42, skal du se KB5021131: Sådan administreres Kerberos-protokolændringer, der er relateret til CVE-2022-37966.

Fuld PAC-signatur mislykkedes

Hændelseslog	System
Hændelsestype	Advarsel
Hændelseskilde	Microsoft-Windows-Kerberos-Key-Distribution-Center
Hændelses-id	43
Begivenhedstekst	KDC (Key Distribution Center) stødte på en billet, som det ikke kunne validere fuld PAC-signatur. Se https://go.microsoft.com/fwlink/?linkid=2210019 for at få mere at vide. Klient: <ressource>/<navn>

Fuld PAC-signatur mangler

Hændelseslog	System
Hændelsestype	Advarsel
Hændelseskilde	Microsoft-Windows-Kerberos-Key-Distribution-Center
Hændelses-id	44
Begivenhedstekst	KDC (Key Distribution Center) stødte på en billet, som ikke indeholdt den fulde PAC-signatur. Se https://go.microsoft.com/fwlink/?linkid=2210019 for at få mere at vide. Klient: <ressource>/<navn>

Tredjepartsenheder, der implementerer Kerberos-protokollen

Domæner, der har domænecontrollere fra tredjepart, kan få vist fejl i håndhævelsestilstand.

Domæner med tredjepartsklienter kan tage længere tid om at blive ryddet fuldt ud for overvågningshændelser efter installationen af en Windows-opdatering fra den 8. november 2022 eller senere.

Kontakt producenten af enheden (OEM) eller softwareleverandøren for at finde ud af, om deres software er kompatibel med den seneste protokolændring.

Hvis du vil have oplysninger om protokolopdateringer, skal du se emnet om Windows-protokollen på Microsofts websted.

Ordliste

Kerberos

Kerberos er en protokol til godkendelse af computernetværk, som fungerer baseret på "billetter" for at tillade, at noder, der kommunikerer over et netværk, kan bevise deres identitet over for hinanden på en sikker måde.

Key Distribution Center (KDC)

Kerberos-tjenesten, der implementerer de godkendelses- og billettildelingstjenester, der er angivet i Kerberos-protokollen. Tjenesten kører på computere, der er valgt af administratoren af domænet eller domænet. Den findes ikke på alle computere på netværket. Den skal have adgang til en kontodatabase for det område, den betjener.  KDC'er er integreret i domænecontrollerrollen . Det er en netværkstjeneste, der leverer billetter til klienter til brug for godkendelse til tjenester.

Privilege Attribute Certificate (PAC)

Privilege Attribute Certificate (PAC) er en struktur, der formidler autorisationsrelaterede oplysninger, der leveres af domænecontrollere (DC'er). Få mere at vide under Datastruktur for certifikat for rettighedsattribut.

Billetudstedende billet

En særlig billettype, der kan bruges til at skaffe andre billetter. Den billetudstedende billet (TGT) opnås efter den indledende godkendelse i udvekslingen af godkendelsestjenesten (AS). derefter behøver brugerne ikke at fremvise deres legitimationsoplysninger, men kan bruge TGT til at få efterfølgende billetter.