KB4598347: Administrerer installation af Kerberos S4U-ændringer for CVE-2020-17049

8. december 2020: Indledende installationsfase

Fasen installationsstart med Windows-opdateringen, der blev udgivet d. 8. december 2020, fortsætter med en senere Windows-opdatering til håndhævelsesfasen. Disse og senere Windows-opdateringer foretager ændringer i Kerberos. Denne opdatering for 8. december 2020 indeholder rettelser til alle kendte problemer, der oprindeligt blev introduceret i udgivelsen af CVE-2020-17049 for 10. november 2020. Denne opdatering understøtter også Windows Server 2008 SP2 og Windows Server 2008 R2.

Denne version:

• Adresserer CVE-2020-17049 (i installationstilstand som standard).

• Tilføjer understøttelse af registreringsdatabaseværdien PerformTicketSignature for at aktivere beskyttelse på Active Directory-domænecontrollerservere. Denne værdi findes ikke som standard.

Afhjælpning består af installation af Windows-opdateringer på alle enheder, der er vært for Active Directory-domænecontrollerrollen og skrivebeskyttede domænecontrollere (RODCs) og derefter aktivering af aktiveringstilstand.

13. april 2021:Anden implementeringsfase

Den anden installationsfase starter med Windows-opdateringen, der blev udgivet d. 13. april 2021. Denne fase fjerner PerformTicketSignature-indstillingen0. Indstilling af PerformTicketSignature til 0, når denne opdatering er installeret, har samme effekt som indstilling af PerformTicketSignature til 1. Distributionskæderne vil være i installationstilstand.

Bemærk!

• Denne fase er ikke nødvendig, hvis PerformTicketSignature aldrig blev angivet til 0 i dit miljø. Denne fase hjælper med at sikre, at kunder, der indstiller PerformTicketSignature til 0, flyttes til indstilling 1før håndhævelsesfasen.

• Med udrulningen af opdateringerne for 13. april 2021 vil indstilling af PerformTicketSignature til 1 gøre det muligt at forny servicebilletter. Dette er en ændring i funktionsmåden fra før april 2021 Windows-opdateringer, når du indstiller PerformTicketSignature til 1, hvilket forårsagede, at servicebilletter ikke kunne fornyes.

• Denne opdatering forudsætter, at alle domænecontrollere opdateres med opdateringerne for 8. december 2020 eller nyere.

• Når du har installeret denne opdatering og manuelt eller programmeringsvis indstillet PerformTicketSignature til 1 eller nyere, fungerer ikke-understøttede Windows Server-domænecontrollere ikke længere med understøttede domænecontrollere. Dette omfatter Windows Server 2008 og Windows Server 2008 R2 uden udvidede sikkerhedsopdateringer (ESU) og Windows Server 2003.

13. juli 2021:Håndhævelsesfase

Udgivelsesovergange for d. 13. juli 2021 i håndhævelsesfasen. Håndhævelsesfasen gennemtvinger ændringerne for at adressere CVE-2020-17049. Active Directory-domænecontrollere kan nu håndhæves. Hvis du går til håndhævelsestilstand, skal alle Active Directory-domænecontrollere have opdateringen fra 8. december 2020 eller en nyere Windows-opdatering installeret. På nuværende tidspunkt ignoreres indstillingerne for registreringsdatabasenøgler i PerformTicketSignature, og håndhævelsestilstand kan ikke tilsidesættes. 

Før du installerer denne opdatering

Du skal have følgende nødvendige opdateringer installeret, før du anvender denne opdatering. Hvis du bruger Windows Update, tilbydes disse nødvendige opdateringer automatisk efter behov.

• Du skal have SHA-2-opdateringen(KB4474419),der er dateret d. 23. september 2019 eller en nyere SHA-2-opdatering, installeret, og derefter genstarte enheden, før du anvender denne opdatering. Du kan finde flere oplysninger om SHA-2-opdateringer i 2019 SHA-2Krav til understøttelse af signering af kode for Windows og WSUS.

• For Windows Server 2008 R2 SP1 skal du have installeret SSU (Servicing Stack Update)(KB4490628),der er dateret d. 12. marts 2019. Når opdateringen KB4490628 er installeret, anbefaler vi, at du installerer den seneste SSU-opdatering. Du kan finde flere oplysninger om den seneste SSU-opdatering under ADV990001 | Seneste opdateringer til serviceringsstakken.

• For Windows Server 2008 SP2 skal du have installeret SSU (Servicing Stack Update)(KB4493730),der er dateret d. 9. april 2019. Når opdateringen KB4493730 er installeret, anbefaler vi, at du installerer den seneste SSU-opdatering. Du kan finde flere oplysninger om de seneste SSU-opdateringer under ADV990001 | Seneste opdateringer til serviceringsstakken.

• Kunder skal købe den udvidede sikkerhedsopdatering (ESU) til lokale versioner af Windows Server 2008 SP2 eller Windows Server 2008 R2 SP1 efter udvidet support ophørte d. 14. januar 2020. Kunder, der har købt ESU, skal følge procedurerne i KB4522133 for at fortsætte med at modtage sikkerhedsopdateringer. Du kan finde flere oplysninger om ESU, og hvilke versioner der understøttes, under KB4497181.

Vigtigt! Du skal genstarte enheden, når du har installeret disse nødvendige opdateringer.

Installér alle opdateringer

Du kan løse sikkerhedsrisikoen ved at installere alle Windows-opdateringer og aktivere aktiveringstilstand ved at følge disse trin:

1. Installér mindst én af opdateringerne fra 8. december 2020 og 9. marts 2021 til alle Active Directory-domænecontrollere i skoven.

2. Installér opdateringen for 12. april 2021 mindst én eller flere uger efter trin 1.

3. Når alle Active Directory-domænecontrollere er blevet opdateret, skal du vente i mindst en hel uge for at tillade, at alle udestående tjenester for bruger selv (S4U2self) Kerberos-servicebilletter udløber, og derefter kan fuld beskyttelse aktiveres ved at udrulle Active Directory-domænecontrollerens håndhævelsestilstand.
   
   Noter

   • Hvis du har ændret udløbstidspunkterne for Kerberos-servicebilletten i standardindstillingerne (standard er 7 dage), skal du som minimum vente det antal dage, der er konfigureret i dit miljø.

   • Disse trin forudsætter, at PerformTicketSignature aldrig er blevet angivet til 0 i dit miljø. Hvis PerformTicketSignature blev angivet til 0,skal du gå til indstilling 1, før du går til indstilling 2 (aktiveringstilstand), og vente mindst en uge med at tillade, at alle udestående servicebilletter for Bruger til sig selv (S4U2self) Kerberos-servicebilletter udløber. Du bør ikke gå direkte fra indstilling 0 til indstilling 2 (Håndhævelsestilstand).

Trin 1: Installer Windows-opdateringer

Installer den relevante 8. december 2020 Windows Update eller en nyere Windows-opdatering på alle enheder, der er vært for Active Directory-domænecontrollerrollen i skoven, herunder skrivebeskyttede domænecontrollere.

Trin 2: Aktivér aktiveringstilstand

Når alle enheder, der er vært for Active Directory-domænecontrollerrollen, er blevet opdateret, skal du vente mindst en hel uge for at tillade, at alle udestående S4U2self Kerberos-tjenestebilletter udløber. Aktivér derefter fuld beskyttelse ved at udrulle aktiveringstilstand. Det gør du ved at aktivere registreringsdatabasenøglen i aktiveringstilstand.

Advarsel! Der kan forekomme alvorlige problemer, hvis du ved hjælp af Registreringseditor eller anden metode redigerer registreringsdatabasen forkert. Disse problemer kan kræve, at du geninstallerer operativsystemet. Microsoft kan ikke garantere, at disse problemer kan løses. Ændringer af registreringsdatabasen er på eget ansvar.

Bemærk! Denne opdatering introducerer understøttelse af følgende registreringsdatabaseværdi for at aktivere aktiveringstilstand. Denne registreringsdatabaseværdi oprettes ikke ved at installere denne opdatering. Du skal tilføje denne registreringsdatabaseværdi manuelt.