KB5037754: Sådan administrerer du ændringer i PAC-validering relateret til CVE-2024-26248 og CVE-2024-29056

Den indledende installationsfase starter med de opdateringer, der blev udgivet d. 9. april 2024. Denne opdatering tilføjer en ny funktionsmåde, der forhindrer udvidelse af rettighedssårbarheder beskrevet i CVE-2024-26248 og CVE-2024-29056 , men gennemtvinger den ikke, medmindre både Windows-domænecontrollere og Windows-klienter i miljøet opdateres.

Hvis du vil aktivere den nye funktionsmåde og afhjælpe sårbarhederne, skal du sørge for, at hele Windows-miljøet (herunder både domænecontrollere og klienter) er opdateret. Overvågningshændelser logføres for at identificere enheder, der ikke opdateres.

Opdateringer, der er udgivet den 15. oktober 2024 eller derefter, flytter alle Windows-domænecontrollere og -klienter i miljøet til Gennemtvunget tilstand ved at ændre indstillingerne for undernøgler i registreringsdatabasen til PacSignatureValidationLevel=3 og CrossDomainFilteringLevel=4, så den sikre funktionsmåde som standard gennemtvinges.

Indstillingerne Gennemtvinges som standard kan tilsidesættes af en administrator for at vende tilbage til kompatibilitetstilstand .

De Windows-sikkerhedsopdateringer, der er udgivet den 8. april 2025 eller derefter, fjerner understøttelse af undernøglerne PacSignatureValidationLevel og CrossDomainFilteringLevel i registreringsdatabasen og gennemtvinger den nye sikre funktionsmåde. Der vil ikke være nogen understøttelse af kompatibilitetstilstand , når du har installeret denne opdatering.

Denne registreringsdatabasenøgle kan installeres på begge Windows-servere, der accepterer indgående Kerberos-godkendelse, samt enhver Windows-domænecontroller, der validerer det nye flow til logon af netværksbillet undervejs.

Hændelsen vises, når en domænecontroller har udført en ikke-alvorlig handling under logonflowet for en netværksbillet. I øjeblikket logføres følgende handlinger:

• Bruger-ID'er blev filtreret.

• Enheds-SIM-kort blev filtreret.

• Sammensat identitet blev fjernet på grund af SID-filtrering, der ikke tilstod enhedens identitet.

• Sammensat identitet blev fjernet på grund af SID-filtrering, der ikke tilstod enhedens domænenavn.

Hændelsen vises, når en domænecontroller afviste anmodningen om logon til netværksbillet af de årsager, der er vist i begivenheden. ​​​​​​

• Hændelsen vises som en advarsel, hvis PacSignatureValidationLevel OG CrossDomainFilteringLevel ikke er indstillet til Gennemtving eller strengere. Når logføres som en advarsel, angiver hændelsen, at netværksbilletlogonflowet kontaktede en domænecontroller eller tilsvarende enhed, der ikke forstod den nye mekanisme. Godkendelsen fik tilladelse til at gå tilbage til tidligere funktionsmåde.

• Hændelsen vises som en fejl, hvis PacSignatureValidationLevel ELLER CrossDomainFilteringLevel er indstillet til Gennemtving eller strengere. Hændelsen som "fejl" angiver, at flowet netværksbilletlogon kontaktede en domænecontroller eller tilsvarende enhed, der ikke forstod den nye mekanisme. Godkendelsen blev nægtet og kunne ikke gå tilbage til tidligere funktionsmåde.

Hændelsen genereres, når Netlogon stødte på en uventet fejl under logonanmodningen om en netværksbillet. Hændelsen logføres, når AuditKerberosTicketLogonEvents er indstillet til (1) eller højere.

Hændelsen genereres, når Netlogon ikke kunne fuldføre logon med netværksbillet, fordi en domænecontroller ikke forstod ændringerne. På grund af begrænsninger i Netlogon-protokollen kan Netlogon-klienten ikke afgøre, om den domænecontroller, som Netlogon-klienten taler med direkte, er den, der ikke forstår ændringerne, eller om det er en domænecontroller langs videresendelseskæden, der ikke forstår ændringerne.

• Hvis servicebilletdomænet er det samme som computerkontoens domæne, er det sandsynligt, at domænecontrolleren i hændelsesloggen ikke forstår netværksbilletlogonflowet.

• Hvis domænet for servicebillet er forskelligt fra computerkontoens domæne, forstod en af domænecontrolleren undervejs fra computerkontoens domæne til tjenestekontoens domæne ikke flowet til logon af netværksbillet

Hændelsen er som standard deaktiveret. Microsoft anbefaler, at brugerne først opdaterer hele deres flåde, før de aktiverer begivenheden.

Hændelsen logføres, når AuditKerberosTicketLogonEvents er indstillet til (2).

En domænecontroller, der ikke er opdateret, genkender ikke denne nye anmodningsstruktur. Dette medfører, at sikkerhedskontrollen mislykkes. I kompatibilitetstilstand bruges den gamle anmodningsstruktur. Dette scenarie er stadig sårbart over for CVE-2024-26248 og CVE-2024-29056.

Ja. Dette skyldes, at det nye flow network ticket logon muligvis skal distribueres på tværs af domæner for at nå domænet for tjenestekontoen.

PAC-validering kan ignoreres under visse omstændigheder, herunder, men ikke begrænset til, følgende scenarier:

• Hvis tjenesten har TCB-rettigheder. Generelt har tjenester, der kører under konteksten af SYSTEM-kontoen (f.eks. SMB-filshares eller LDAP-servere), denne rettighed.

• Hvis tjenesten køres fra Opgavestyring.

Ellers udføres PAC-validering på alle indgående Kerberos-godkendelsesflows.

Disse cv'er omfatter en lokal rettighedsudvidelse, hvor en ondsindet eller kompromitteret tjenestekonto, der kører på Windows Workstation, forsøger at øge deres rettigheder til at opnå lokale administrationsrettigheder. Det betyder, at det kun er Windows Workstation, der accepterer indgående Kerberos-godkendelse, der påvirkes.