Ændringslog
|
Ændring 1: 5. april 2023: Fasen "Gennemtvingelse som standard" af registreringsdatabasenøglen er blevet flyttet fra den 11. april 2023 til den 13. juni 2023 i afsnittet "Tidsplan for opdateringer for at håndtere CVE-2022-38023". Ændring 2: 20. april 2023: Fjernet unøjagtig reference til gruppepolitikobjektet "Domænecontroller: Tillad sårbare Netlogon-forbindelser til sikker kanal" i sektionen "Indstillinger for registreringsdatabasenøgler". Ændring 3: 19. juni 2023:
|
|---|
Denne artikel indeholder
- Sammendrag
- Tidspunkt for opdateringer af adresse til CVE-2022-38023
- Indstillinger for registreringsdatabasenøgle
- Windows-hændelser, der er relateret til CVE-2022-38023
- Ofte stillede spørgsmål
- Ordliste
Sammendrag
Windows-opdateringerne fra den 8. november 2022 og senere løser svagheder i Netlogon-protokollen, når RPC-signering bruges i stedet for RPC-forsegling. Du kan finde flere oplysninger i CVE-2022-38023 .
Netlogon Remote Protocol RPC-grænsefladen (Remote Procedure Call) bruges primært til at vedligeholde relationen mellem en enhed og dens domæne og relationer mellem domænecontrollere og domæner.
Denne opdatering beskytter Windows-enheder mod CVE-2022-38023 som standard. For tredjepartsklienter og domænecontrollere fra tredjeparter er opdateringen som standard i kompatibilitetstilstand og tillader sårbare forbindelser fra disse klienter. Se afsnittet Indstillinger for registreringsdatabasenøgler for at få oplysninger om, hvordan du overgår til håndhævelsestilstand.
Hvis du vil beskytte dit miljø, skal du installere Windows-opdateringen, der er dateret den 8. november 2022 eller en nyere Windows-opdatering på alle enheder, herunder domænecontrollere.
Vigtigt Fra og med juni 2023 aktiveres håndhævelsestilstand på alle Windows-domænecontrollere og blokerer sårbare forbindelser fra enheder, der ikke overholder angivne standarder. På det tidspunkt vil du ikke kunne deaktivere opdateringen, men kan gå tilbage til indstillingen Kompatibilitetstilstand. Kompatibilitetstilstand fjernes i juli 2023, som beskrevet i afsnittet Tidsplan for opdateringer til håndtering af Netlogon-sårbarhed CVE-2022-38023 .
Tidspunkt for opdateringer af adresse til CVE-2022-38023
Opdateringer frigives i flere faser: den indledende fase for opdateringer, der er udgivet den 8. november 2022 eller derefter, og håndhævelsesfasen for opdateringer, der er udgivet den 11. juli 2023 eller senere.
8. november 2022 – Indledende udrulningsfase
Den indledende udrulningsfase starter med de opdateringer, der blev udgivet d. 8. november 2022, og fortsætter med senere Windows-opdateringer indtil håndhævelsesfasen. Windows-opdateringer den 8. november 2022 eller derefter løser sikkerhedstilsidesættelsessårbarhed i CVE-2022-38023 ved at gennemtvinge RPC-forsegling på alle Windows-klienter.
Enheder indstilles som standard i kompatibilitetstilstand. Windows-domænecontrollere kræver, at Netlogon-klienter bruger RPC-segl, hvis de kører Windows, eller hvis de fungerer som enten domænecontrollere eller som tillidskonti.
11. april 2023 – Indledende håndhævelsesfase
De Windows-opdateringer, der er udgivet den 11. april 2023 eller derefter, fjerner muligheden for at deaktivere RPC-forsegling ved at angive værdi 0 til RequireSeal-undernøglen i registreringsdatabasen.
13. juni 2023 – Gennemtvingelse som standard
Undernøglen RequireSeal i registreringsdatabasen flyttes til gennemtvunget tilstand, medmindre administratorer eksplicit konfigurerer til at være under kompatibilitetstilstand. Sårbare forbindelser fra alle klienter, herunder tredjeparter, nægtes godkendelse. Se Ændring 1.
11. juli 2023 – Håndhævelsesfase
De Windows-opdateringer, der blev udgivet den 11. juli 2023, fjerner muligheden for at angive værdi 1 til RequireSeal-undernøglen i registreringsdatabasen. Dette aktiverer håndhævelsesfasen for CVE-2022-38023.
Indstillinger for registreringsdatabasenøgle
Når Windows-opdateringerne, der er dateret den 8. november 2022 eller derefter, er installeret, er følgende undernøgle i registreringsdatabasen tilgængelig for Netlogon-protokollen på Windows-domænecontrollere.
Bemærk
VIGTIGT Denne opdatering samt fremtidige håndhævelsesændringer tilføjer eller fjerner ikke automatisk undernøglen "RequireSeal" i registreringsdatabasen. Denne undernøgle i registreringsdatabasen skal tilføjes manuelt for at kunne læses. Se ændring 3.
RequireSeal-undernøgle
| Registreringsdatabasenøgle | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Værdi | RequireSeal |
| Datatype | REG_DWORD |
| Data |
0 – Deaktiveret 1 – Kompatibilitetstilstand. Windows-domænecontrollere kræver, at Netlogon-klienter bruger RPC-forsegling, hvis de kører Windows, eller hvis de fungerer som enten domænecontrollere eller tillidskonti. 2 – Håndhævelsestilstand. Alle klienter skal bruge RPC Seal. Se Ændring 2. |
| Kræves genstart? | Nej |
Windows-hændelser, der er relateret til CVE-2022-38023
Bemærk
BEMÆRK Følgende hændelser har en buffer på 1 time, hvor dublerede hændelser, der indeholder de samme oplysninger, kasseres i løbet af bufferen.
Netlogon-tjenesten stødte på en klient, der brugte RPC-signering i stedet for RPC-forsegling
| Hændelseslog | System |
|---|---|
| Hændelsestype | Fejl |
| Hændelseskilde | NETLOGON |
| Hændelses-id | 5838 |
| Begivenhedstekst | Netlogon-tjenesten stødte på en klient, der brugte RPC-signering i stedet for RPC-forsegling. |
Hvis du finder denne fejlmeddelelse i dine hændelseslogfiler, skal du gøre følgende for at løse systemfejlen:
- Bekræft, at enheden kører en understøttet version af Windows.
- Kontrollér, at alle enheder er opdateret.
- Kontrollér, at Domænemedlem: Domænemedlem Digital kryptering eller signering af sikre kanaldata (altid) er indstillet til Aktiveret .
Netlogon-tjenesten stødte på et tillidsforhold, der brugte RPC-signering i stedet for RPC-forsegling
| Hændelseslog | System |
|---|---|
| Hændelsestype | Fejl |
| Hændelseskilde | NETLOGON |
| Hændelses-id | 5839 |
| Begivenhedstekst | Netlogon-tjenesten stødte på et tillidsforhold, der brugte RPC-signering i stedet for RPC-forsegling. |
Netlogon-tjenesten oprettede en sikker kanal med en klient ved hjælp af RC4
| Hændelseslog | System |
|---|---|
| Hændelsestype | Advarsel |
| Hændelseskilde | NETLOGON |
| Hændelses-id | 5840 |
| Begivenhedstekst | Netlogon-tjenesten oprettede en sikker kanal med en klient med RC4. |
Hvis du finder hændelse 5840, er det et tegn på, at en klient i dit domæne bruger svag kryptografi.
Netlogon-tjenesten afviste en klient, der bruger RC4 på grund af indstillingen 'RejectMd5Clients'
| Hændelseslog | System |
|---|---|
| Hændelsestype | Fejl |
| Hændelseskilde | NETLOGON |
| Hændelses-id | 5841 |
| Begivenhedstekst | Netlogon-tjenesten afviste en klient, der bruger RC4 på grund af indstillingen 'RejectMd5Clients'. |
Hvis du finder hændelse 5841, er dette et tegn på, at værdien RejectMD5Clients er indstillet til SAND .
Nøglen RejectMD5Clients er en allerede eksisterende nøgle i Netlogon-tjenesten. For mere information, se RejectMD5Clients beskrivelse af den abstrakte datamodel.
Ofte stillede spørgsmål
Hvem er sårbar for det problem, der er angivet i CVE-2022-38023?
Alle domænetilknyttede computerkonti påvirkes af dette CVE. Hændelser viser, hvem der er mest påvirket af dette problem, når Windows-opdateringerne for 8. november 2022 eller senere er installeret. Gennemse afsnittet Fejl i hændelsesloggen for at løse problemerne.
For at hjælpe med at registrere ældre klienter, der ikke bruger den stærkeste tilgængelige krypto, introducerer denne opdatering hændelseslogge for klienter, der bruger RC4.
Hvad er RPC-signering og RPC-forsegling?
RPC-signering er, når Netlogon-protokollen bruger RPC til at signere de meddelelser, den sender via ledningen. RPC-forsegling er, når Netlogon-protokollen både signerer og krypterer de beskeder, den sender over ledningen.
Hvordan bestemmer Windows-domænecontrollere, om en Netlogon-klient kører Windows?
Windows Domain Controller fastslår, om en Netlogon-klient kører Windows ved at forespørge attributten "OperatingSystem" i Active Directory for Netlogon-klienten og kontrollere for følgende strenge:
- "Windows", "Hyper-V Server" og "Azure Stack HCI"
Vi anbefaler eller understøtter ikke, at denne attribut ændres af Netlogon-klienter eller domæneadministratorer til en værdi, der ikke er repræsentativ for det operativsystem (OS), som Netlogon-klienten kører. Vær opmærksom på, at vi til enhver tid kan ændre søgekriterierne. Se ændring 3.
Vil håndhævelsesfasen afvise RC4 Netlogon-klienter?
Håndhævelsesfasen afviser ikke Netlogon-klienter baseret på typen af kryptering, som klienterne bruger. Den afviser kun Netlogon-klienter, hvis de udfører RPC-signering i stedet for RPC-forsegling. Afvisning af RC4 Netlogon-klienter er baseret på registreringsdatabasenøglen "RejectMd5Clients", der er tilgængelig for Windows Server 2008 R2 og nyere Windows-domænecontrollere. Håndhævelsesfasen for denne opdatering ændrer ikke værdien "RejectMd5Clients". Vi anbefaler, at kunderne aktiverer værdien "RejectMd5Clients" for at opnå højere sikkerhed i deres domæner. Se ændring 3.
Ordliste
AES
Advanced Encryption Standard (AES) er en blokkryptering, der erstatter Data Encryption Standard (DES). AES kan bruges til at beskytte elektroniske data. AES-algoritmen kan bruges til at kryptere (kryptere) og dekryptere (dechifrere) oplysninger. Kryptering konverterer data til en uforståelig form kaldet kodetekst; Dekryptering af kryptering af krypteringsteksten konverterer dataene tilbage til deres oprindelige form, kaldet almindelig tekst. AES bruges i kryptografi med symmetrisk nøgle, hvilket betyder, at den samme nøgle bruges til krypterings- og dekrypteringshandlinger. Det er også en blokkryptering, hvilket betyder, at den fungerer på blokke med fast størrelse af almindelig tekst og krypteringstekst, og kræver, at størrelsen på almindelig tekst samt kodetekst er et nøjagtigt multiplum af denne blokstørrelse. AES er også kendt som Rijndaels symmetriske krypteringsalgoritme [FIPS197] .
Netlogon
I et Windows NT-operativsystemkompatibelt netværkssikkerhedsmiljø, den komponent, der er ansvarlig for synkroniserings- og vedligeholdelsesfunktionerne mellem en primær domænecontroller (PDC) og backupdomænecontrollere (BDC). Netlogon er en forløber for DRS-protokollen (Directory Replication Server). Netlogon Remote Protocol RPC-grænsefladen (Remote Procedure Call) bruges primært til at vedligeholde relationen mellem en enhed og dens domæne og relationer mellem domænecontrollere og domæner. Du kan finde flere oplysninger under Netlogon Remote Protocol.
RC4-HMAC
RC4-HMAC (RC4) er en symmetrisk krypteringsalgoritme med variabel nøglelængde. For yderligere oplysninger, se [SCHNEIER] afsnit 17.1.
Sikker kanal
En godkendt RPC-forbindelse (Remote Procedure Call) mellem to computere i et domæne med en etableret sikkerhedskontekst , der bruges til signering og kryptering af RPC-pakker .