Beskyttelse af CVE-2025-26647 (Kerberos-godkendelse)

8. april 2025: Indledende installationsfase – overvågningstilstand

Den indledende installationsfase (overvågningstilstand ) starter med de opdateringer, der blev udgivet d. 8. april 2025. Disse opdateringer ændrer funktionsmåden, der registrerer rettighedsudvidelsen, der er beskrevet i CVE-2025-26647 , men gennemtvinger den ikke i første omgang.

I overvågningstilstand logføres hændelses-id: 45 på domænecontrolleren, når den modtager en Kerberos-godkendelsesanmodning med et usikkert certifikat. Godkendelsesanmodningen tillades, og der forventes ingen klientfejl.

Hvis du vil aktivere ændringen i funktionsmåden og være sikker mod sikkerhedsrisikoen, skal du sikre dig, at alle Windows-domænecontrollere opdateres med en Windows Update-udgivelse den 8. april 2025 eller derefter, og at registreringsdatabasenøgleindstillingen AllowNtAuthPolicyBypass er indstillet til 2 for at konfigurere til gennemtvingelsestilstand .

Hvis domænecontrolleren modtager en Kerberos-godkendelsesanmodning med et usikkert certifikat i gennemtvingelsestilstand , logføres det ældre hændelses-id: 21 , og anmodningen afvises.

Hvis du vil slå den beskyttelse, som denne opdatering tilbyder, til, skal du følge disse trin:

1. Anvend den Windows-opdatering, der blev udgivet den 8. april 2025 eller derefter, på alle domænecontrollere i dit miljø. Når opdateringen er blevet anvendt, er indstillingen AllowNtAuthPolicyBypass som standard 1 (Overvågning), hvilket aktiverer NTAuth-kontrollen og overvågningsloggens advarselshændelser.
   
   VIGTIG Hvis du ikke er klar til at fortsætte med at anvende den beskyttelse, som denne opdatering tilbyder, skal du indstille registreringsdatabasenøglen til 0 for midlertidigt at deaktivere denne ændring. Se afsnittet Oplysninger om registreringsdatabasenøgle for at få flere oplysninger.

2. Overvåg nye hændelser, der vil være synlige på domænecontrollere, for at identificere berørte nøglecentre, der ikke er en del af NTAuth-lageret. Det hændelses-id, du skal overvåge , er hændelses-id: 45. Se afsnittet Overvågningshændelser for at få flere oplysninger om disse hændelser.

3. Sørg for, at alle klientcertifikater er gyldige og kædet sammen med et udstedende nøglecenter, der er tillid til, i NTAuth-lageret.

4. Når alle hændelses-id'et: 45 hændelser er løst, kan du fortsætte til gennemtvingelsestilstand . Det gør du ved at angive registreringsdatabaseværdien AllowNtAuthPolicyBypass til 2. Se afsnittet Oplysninger om registreringsdatabasenøgle for at få flere oplysninger.
   
   Seddel Vi anbefaler, at du midlertidigt udskyder indstillingen AllowNtAuthPolicyBypass = 2, indtil du har anvendt Den Windows-opdatering, der er udgivet efter maj 2025, til domænecontrollere, som tjeneste selvsigneret certifikatbaseret godkendelse, der bruges i flere scenarier. Dette omfatter domænecontrollere, som tjenesten Windows Hello til virksomheder Nøgletillid og Godkendelse af offentlig nøgle på enhed, der er tilsluttet et domæne.

Juli 2025: Gennemtvunget som standardfase

Opdateringer, der frigives i eller efter juli 2025, gennemtvinger NTAuth Store-kontrollen som standard. Registreringsdatabasenøgleindstillingen AllowNtAuthPolicyBypass giver stadig kunderne mulighed for at gå tilbage til overvågningstilstand , hvis det er nødvendigt. Muligheden for at deaktivere denne sikkerhedsopdatering fuldstændigt fjernes dog.

Oktober 2025: Gennemtvingelsestilstand

Opdateringer, der er udgivet i eller efter oktober 2025, ophører Microsofts understøttelse af registreringsdatabasenøglen AllowNtAuthPolicyBypass. På nuværende tidspunkt skal alle certifikater udstedes af myndigheder, der er en del af NTAuth-butikken. 

Oplysninger om registreringsdatabasenøgle

Følgende registreringsdatabasenøgle giver mulighed for overvågning af sårbare scenarier og gennemtvinger derefter ændringen, når sårbare certifikater er løst. Registreringsdatabasenøglen tilføjes ikke automatisk. Hvis du har brug for at ændre funktionsmåden, skal du manuelt oprette registreringsdatabasenøglen og angive den ønskede værdi. Bemærk, at operativsystemets funktionsmåde, når registreringsdatabasenøglen ikke er konfigureret, afhænger af, hvilken fase af installationen den er i.

AllowNtAuthPolicyBypass

Overvågningshændelser

Hændelses-id: 45 | NT Auth Store Check Audit-hændelse

Administratorer bør holde øje med følgende hændelse, der er tilføjet ved installationen af Windows-opdateringer, der er udgivet den 8. april 2025 eller derefter. Hvis det findes, betyder det, at et certifikat er udstedt af et nøglecenter, der ikke er en del af NTAuth-lageret.

Hændelses-id: 21 | AS-REQ-fejlhændelse

Når du har adresseret Kerberos-Key-Distribution-Center Event 45, angiver logføringen af denne generiske ældre hændelse, at der stadig ikke er tillid til klientcertifikatet. Hændelsen kan logføres af flere årsager, hvoraf den ene er, at et gyldigt klientcertifikat IKKE er kædet sammen med et udstedende nøglecenter i NTAuth-lageret.