KB4598347: Verwaltung der Bereitstellung von Änderungen an Kerberos S4U für CVE-2020-17049

8. Dezember 2020: Erst Bereitstellungsphase

Die erste Bereitstellungsphase beginnt mit dem am 8. Dezember 2020 veröffentlichten Windows-Update und wird mit einem späteren Windows-Update für die Erzwingungsphase fortgesetzt. Durch diese und spätere Windows-Updates werden Änderungen an Kerberos vorgenommen. Dieses Update vom 8. Dezember 2020 enthält Fixes für alle bekannten Probleme, die erstmals mit der Veröffentlichung von CVE-2020-17049 vom 10. November 2020 bekanntgemacht wurden. Mit diesem Update wird zudem die Unterstützung für Windows Server 2008 SP2 und Windows Server 2008 R2 hinzugefügt.

Diese Version:

• Behebt CVE-2020-17049 (standardmäßig im Bereitstellungsmodus).

• Fügt die Unterstützung für den Registrierungsschlüssel PerformTicketSignature hinzu, um den Schutz auf Active Directory-Domänencontroller-Servern zu aktivieren. Dieser Eintrag ist standardmäßig nicht vorhanden.

Die Risikominderung besteht in der Installation der Windows-Updates auf allen Geräten, auf denen die Active Directory-Domänencontrollerrolle und schreibgeschützte Domänencontroller (Read-Only Domain Controllers, RODC) gehostet werden, gefolgt vom Aktivieren des Erzwingungsmodus.

13. April 2021: Zweite Bereitstellungsphase

Die zweite Bereitstellungsphase beginnt mit dem Windows-Update, das am 13. April 2021 veröffentlicht wird. In dieser Phase wird die Einstellung von PerformTicketSignature auf 0 entfernt. Wenn Sie PerformTicketSignature nach der Installation dieses Updates auf 0 festlegen, hat dies den gleichen Effekt wie das Festlegen von PerformTicketSignature auf 1. Die Domänencontroller befinden sich dann im Bereitstellungsmodus.

Hinweise

• Diese Phase ist nicht erforderlich, wenn PerformTicketSignature in Ihrer Umgebung nie auf 0 gesetzt worden ist. In dieser Phase wird sichergestellt, dass Kunden, die PerformTicketSignature auf 0 gesetzt haben, vor der Erzwingungsphase auf die Einstellung 1 umgestellt werden.

• Mit der Bereitstellung der Updates vom 13. April 2021 ermöglicht das Festlegen von PerformTicketSignature auf 1 die Erneuerung von Diensttickets. Dies ist eine Änderung des Verhaltens im Vergleich zu Windows-Updates vor April 2021, bei denen durch das Festlegen von PerformTicketSignature auf 1 die Diensttickets nicht erneuert werden konnten.

• Bei diesem Update wird davon ausgegangen, dass alle Domänencontroller zuvor mit den Updates vom 8. Dezember 2020 oder höher aktualisiert werden.

• Nach der Installation dieses Updates und dem manuellen oder programmgesteuerten Festlegen von PerformTicketSignature auf 1 oder höher funktionieren nicht unterstützte Windows Server-Domänencontroller nicht mehr mit unterstützten Domänencontrollern. Dies umfasst Windows Server 2008 und Windows Server 2008 R2 ohne erweiterte Sicherheitsupdates (Extended Security Updates, ESU) sowie Windows Server 2003.

13. Juli 2021: Erzwingungsphase

Mit der Veröffentlichung vom 13. Juli 2021 beginnt die Erzwingungsphase. In der Erzwingungsphase werden die Änderungen zur Behebung von CVE-2020-17049 erzwungen. Active Directory-Domänencontroller können jetzt im Erzwingungsmodus ausgeführt werden. Bevor sie auf den Erzwingungsmodus umgestellt werden können, müssen alle Active Directory-Domänencontroller das Update vom 8. Dezember 2020 oder ein neueres Windows-Update installiert haben. Zu diesem Zeitpunkt werden die Registrierungsschlüsseleinstellungen für PerformTicketSignature ignoriert, und der Erzwingungsmodus kann nicht außer Kraft gesetzt werden. 

Vor der Installation dieses Updates

Sie müssen die folgenden erforderlichen Updates installiert haben, bevor Sie dieses Update anwenden. Wenn Sie Windows Update verwenden, werden diese erforderlichen Updates bei Bedarf automatisch vorgeschlagen.

• Sie müssen das SHA-2-Update (KB4474419) vom 23. September 2019 oder ein späteres SHA-2-Update installiert haben und dann Ihr Gerät neu starten, bevor Sie dieses Update anwenden. Weitere Informationen zu SHA-2-Updates finden Sie unter Unterstützung der SHA-2-Codesignierung für Windows und WSUS (2019).

• Für Windows Server 2008 R2 SP1 müssen Sie das SSU (Servicing Stack Update) KB4490628 vom 12. März 2019 installiert haben. Nachdem das Update KB4490628 installiert wurde, empfehlen wir, das neueste SSU zu installieren. Weitere Informationen zum neuesten SSU finden Sie unter ADV990001 | Neueste SSU (Servicing Stack Updates).

• Für Windows Server 2008 SP2 müssen Sie das SSU (Servicing Stack Update) KB4493730vom 9. April 2019 installiert haben. Nachdem das Update KB4493730 installiert wurde, empfehlen wir, das neueste SSU zu installieren. Weitere Informationen zu den neuesten SSUs finden Sie unter ADV990001 | Neueste SSU (Servicing Stack Updates).

• Kunden müssen nach Ablauf des erweiterten Supports am 14. Januar 2020 für lokale Versionen von Windows Server 2008 SP2 oder Windows Server 2008 R2 SP1 das Erweiterte Sicherheitsupdate (Extended Security Update, ESU) erwerben. Kunden, die das ESU erworben haben, müssen die Schritte in KB4522133 befolgen, um weiterhin Sicherheitsupdates zu erhalten. Weitere Informationen zu ESU und zu den unterstützten Versionen finden Sie in KB4497181.

Wichtig Sie müssen Ihr Gerät neu starten, nachdem Sie diese erforderlichen Updates installiert haben.

Installieren aller Updates

Um das Sicherheitsrisiko zu beheben, müssen Sie alle Windows Updates installieren und den Erzwingungsmodus aktivieren. Führen Sie dazu die folgenden Schritte aus:

1. Stellen Sie mindestens eines der Updates zwischen dem 8. Dezember 2020 und dem 9. März 2021 für alle Active Directory-Domänencontroller in der Gesamtstruktur zur Verfügung.

2. Stellen Sie das Update vom 12. April 2021 erst mindestens eine Woche nach Schritt 1 bereit.

3. Nachdem alle Active Directory-Domänencontroller aktualisiert wurden, warten Sie mindestens eine volle Woche, bis alle ausstehenden S4U2self-Kerberos-Diensttickets (Service for User to Self) abgelaufen sind. Erst dann kann der vollständige Schutz aktiviert werden, indem der Erzwingungsmodus des Active Directory-Domänencontrollers bereitgestellt wird.
   
   Hinweise

   • Wenn Sie die Ablaufzeiten der Kerberos-Diensttickets gegenüber den Standardeinstellungen geändert haben (Standard ist 7 Tage), müssen Sie mindestens die Anzahl der Tage abwarten, die in Ihrer Umgebung konfiguriert ist.

   • Bei diesen Schritten wird davon ausgegangen, dass PerformTicketSignature in Ihrer Umgebung noch nie auf 0 gesetzt wurde. Wenn PerformTicketSignature auf 0 gesetzt wurde, müssen Sie den Parameter zunächst auf 1 setzen, bevor Sie ihn auf 2 (Erzwingungsmodus) festlegen, und dann mindestens eine Woche warten, damit sichergestellt ist, dass alle ausstehenden S4U2self-Kerberos-Diensttickets (Service for User to Self) abgelaufen sind. Sie sollten ihn nicht direkt von 0 auf 2 (Erzwingungsmodus) umstellen.

Schritt 1: Installieren der Windows-Updates

Installieren Sie das entsprechende Windows-Update vom 8. Dezember 2020 oder ein späteres Windows-Update auf allen Geräten, die die Active Directory-Domänencontrollerrolle in der Gesamtstruktur hosten, einschließlich schreibgeschützter Domänencontroller.

Schritt 2: Aktivieren des Erzwingungsmodus

Nachdem alle Geräte, die die Active Directory-Domänencontrollerrolle hosten, aktualisiert wurden, warten Sie mindestens eine volle Woche, um sicherzustellen, dass alle ausstehenden S4U2self Kerberos-Diensttickets abgelaufen sind. Aktivieren Sie anschließend den vollständigen Schutz durch die Bereitstellung des Erzwingungsmodus. Aktivieren Sie dazu den Registrierungsschlüssel für den Erzwingungsmodus.

Warnung Durch die unsachgemäße Änderung der Registrierung mit dem Registrierungs-Editor oder einer anderen Methode können schwerwiegende Probleme verursacht werden. Diese Probleme können eine Neuinstallation des Betriebssystems erforderlich machen. Microsoft kann nicht garantieren, dass Probleme, die von einer falschen Verwendung des Registrierungs-Editors herrühren, behoben werden können. Änderungen in der Registrierung geschehen auf eigene Verantwortung.

Hinweis Dieses Update führt die Unterstützung für den folgenden Registrierungswert ein, um den Erzwingungsmodus zu aktivieren. Dieser Registrierungswert wird nicht durch die Installation dieses Updates erstellt. Sie müssen diesen Registrierungswert manuell hinzufügen.