KB5066014 – Netlogon RPC Hardening (CVE-2025-49716)

I denne artikel:

• Sammendrag

• Gør noget

• Tidsindstilling for Windows-opdateringer

• Installationsvejledning

• Nyligt tilføjede begivenheder

• Ofte stillede spørgsmål (ofte stillede spørgsmål)

Sammendrag

CVE-2025-49716 løser en Denial-of-Service-sårbarhed, hvor eksterne ikke-godkendte brugere kunne foretage en række Netlogon-baserede RPC-opkald (Remote Procedure Calls), der til sidst bruger al hukommelse på en domænecontroller (DC). For at afhjælpe denne sårbarhed blev der foretaget en kodeændring i opdateringen for maj 2025 Windows Sikkerhed for Windows Server 2025 og juli 2025-Windows Sikkerhed Opdateringer for alle andre serverplatforme fra Windows Server 2008SP2 til Windows Server 2022, begge inklusive.  Denne opdatering indeholder en ændring af sikkerhedshærdning til Microsoft RPC Netlogon-protokollen. Denne ændring forbedrer sikkerheden ved at stramme adgangskontrollen for et sæt RPC-anmodninger (Remote Procedure Call). Når denne opdatering er installeret, tillader Active Directory-domænecontrollere ikke længere anonyme klienter at aktivere visse RPC-anmodninger via Netlogon RPC-serveren. Disse anmodninger er typisk relateret til placeringen af domænecontrolleren.

Efter denne ændring kan nogle fil-& udskriftstjenestesoftware blive påvirket, herunder Samba. Samba har udgivet en opdatering for at imødekomme denne ændring. Se Samba 4.22.3 – Produktbemærkninger for at få flere oplysninger.

For at imødekomme scenarier, hvor påvirket tredjepartssoftware ikke kan opdateres, har vi udgivet yderligere konfigurationsfunktioner i august 2025-Windows Sikkerhed-opdateringen. Denne ændring implementerer en nøglebaseret til/fra-funktion i registreringsdatabasen mellem standardhåndhævelsestilstanden, en overvågningstilstand, der logfører ændringer, men ikke blokerer ikke-godkendte Netlogon RPC-opkald og en deaktiveret tilstand (anbefales ikke).)

Gør noget

Hvis du vil beskytte dit miljø og undgå afbrydelser, skal du først opdatere alle enheder, der er vært for Active Directory-domænecontrolleren eller LDS-serverrollen, ved at installere de seneste opdateringer til Windows. Domænecontrollere, der har den 8. juli 2025 eller nyere Windows Sikkerhed Opdateringer (eller Windows Server 2025-DCs med opdateringer fra maj) er som standard sikre og accepterer ikke ikke-godkendte Netlogon-baserede RPC-opkald som standard. Domænecontrollere, der har den 12. august 2025 eller nyere Windows Sikkerhed Opdateringer accepterer ikke ikke-godkendte Netlogon-baserede RPC-opkald som standard, men kan konfigureres til at gøre det midlertidigt.

1. Overvåg dit miljø for adgangsproblemer. Hvis problemet opstår, skal du bekræfte, om Ændringerne i Netlogon RPC-hærdning er den egentlige årsag.

   1. Hvis der kun installeres opdateringer fra juli, skal du aktivere detaljeret Netlogon-logføring ved hjælp af kommandoen "Nltest.exe /dbflag:0x2080ffff" og derefter overvåge de resulterende logfiler for poster, der ligner følgende linje. Felterne OpNum og Metode kan variere og repræsentere den handling og RPC-metode, der blev blokeret:

      06/23 10:50:39 [CRITICAL] [5812] NlRpcSecurityCallback: afvise et uautoriseret RPC-opkald fra [IPAddr] OpNum:34 Method:DsrGetDcNameEx2

   2. Hvis august eller nyere Windows-opdateringer er installeret, skal du søge efter Security-Netlogon Hændelse 9015 på dine domænecontrollere for at finde ud af, hvilke RPC-kald der afvises. Hvis disse opkald er vigtige, kan du sætte domænecontrolleren i overvågningstilstand eller deaktiveret tilstand midlertidigt, mens du foretager fejlfinding.

   3. Foretag ændringer, så appen bruger godkendte Netlogon RPC-opkald, eller kontakt din softwareleverandør for at få flere oplysninger.

2. Hvis du placerer pc'er i overvågningstilstand, skal du overvåge Security-Netlogon hændelse 9016 for at afgøre, hvilke RPC-opkald der vil blive afvist, hvis du har slået Gennemtvingelsestilstand til. Foretag derefter ændringer, så appen bruger godkendte Netlogon RPC-opkald, eller kontakt din softwareleverandør for at få flere oplysninger.

Tidsindstilling for Windows-opdateringer

Disse Windows-opdateringer blev udgivet i flere faser:

1. Første ændring den Windows Server 2025 (13. maj 2025) – Den oprindelige opdatering, der hærdede mod ikke-godkendte Netlogon-baserede RPC-opkald, blev inkluderet i maj 2025-Windows Sikkerhed opdateringen til Windows Server 2025.

2. Indledende ændringer på andre serverplatforme (8. juli 2025) – De opdateringer, der hærdede mod ikke-godkendte Netlogon-baserede RPC-kald for andre serverplatforme, blev inkluderet i juli 2025-Windows Sikkerhed Opdateringer.

3. Tilføjelse af overvågningstilstand og deaktiveret tilstand (12. august 2025) – Gennemtvingelse som standard med en indstilling for overvågningstilstand eller deaktiveret tilstand var inkluderet i august 2025-Windows Sikkerhed Opdateringer.

4. Fjernelse af overvågningstilstand og deaktiveret tilstand (TBD) – På et senere tidspunkt kan overvågningstilstand og deaktiveret tilstand fjernes fra operativsystemet. Denne artikel opdateres, når yderligere oplysninger bekræftes.

Installationsvejledning

Hvis du installerer august-Windows Sikkerhed Opdateringer og vil konfigurere dine pc'er i overvågningstilstand eller deaktiveret tilstand, skal du installere registreringsdatabasenøglen nedenfor med den relevante værdi. Der kræves ingen genstart.

Nyligt tilføjede begivenheder

Den 12. august 2025 Windows Sikkerhed Opdateringer tilføjer også nye hændelseslogge på Windows Server 2012 via Windows Server 2022-domænecontrollere:

Ofte stillede spørgsmål (ofte stillede spørgsmål)