Verwalten von PAC-Validierungsänderungen im Zusammenhang mit CVE-2024-26248 und CVE-2024-29056

Die erste Bereitstellungsphase beginnt mit den am 9. April 2024 veröffentlichten Updates. Dieses Update fügt ein neues Verhalten hinzu, das die in CVE-2024-26248 und CVE-2024-29056 beschriebenen Sicherheitsanfälligkeiten bezüglich Rechteerweiterungen verhindert, sie jedoch nicht erzwingt, es sei denn, sowohl Windows-Domänencontroller als auch Windows-Clients in der Umgebung werden aktualisiert.

Um das neue Verhalten zu aktivieren und die Sicherheitsanfälligkeiten zu mindern, müssen Sie sicherstellen, dass Ihre gesamte Windows-Umgebung (einschließlich der Domänencontroller und Clients) aktualisiert ist. Überwachungsereignisse werden protokolliert, um nicht aktualisierte Geräte zu identifizieren.

Updates, die im oder nach Januar 2025 veröffentlicht werden, verschieben alle Windows-Domänencontroller und -Clients in der Umgebung in den erzwungenen Modus. Dieser Modus erzwingt standardmäßig sicheres Verhalten. Vorhandene Registrierungsschlüsseleinstellungen, die zuvor festgelegt wurden, überschreiben diese Standardverhaltensänderung.

Die Standardeinstellungen für den erzwungenen Modus können von einem Administrator überschrieben werden, um in den Kompatibilitätsmodus rückgängig zu machen.

Die Windows-Sicherheitsupdates, die im oder nach April 2025 veröffentlicht wurden, entfernen die Unterstützung für die Registrierungsunterschlüssel PacSignatureValidationLevel und CrossDomainFilteringLevel und erzwingen das neue sichere Verhalten. Nach der Installation des Updates vom April 2025 wird es keine Unterstützung für den Kompatibilitätsmodus geben.

Dieser Registrierungsschlüssel kann sowohl auf Windows-Servern bereitgestellt werden, die eingehende Kerberos-Authentifizierung akzeptieren, als auch auf jedem Windows-Domänencontroller, der dabei den neuen Netzwerkticket-Anmeldevorgang überprüft.

Dieses Ereignis wird angezeigt, wenn ein Domänencontroller während eines Netzwerkticket-Anmeldevorgangs eine nicht schwerwiegende Aktion ausgeführt hat. Ab sofort werden folgende Aktionen protokolliert:

• Benutzer-SIDs wurden gefiltert.
• Geräte-SIDs wurden gefiltert.
• Die Verbundidentität wurde entfernt, da die SID-Filterung die Identität des Geräts nicht zulässt.
• Die Verbundidentität wurde entfernt, da die SID-Filterung den Domänennamen des Geräts nicht zulässt.

Dieses Ereignis wird angezeigt, wenn ein Domänencontroller die Netzwerkticket-Anmeldeanforderung aus den im Ereignis angegebenen Gründen abgelehnt hat.

• Dieses Ereignis wird als Warnung angezeigt, wenn PacSignatureValidationLevel UND CrossDomainFilteringLevel nicht auf "Erzwingen" oder strenger festgelegt sind. Wenn das Ereignis als Warnung protokolliert wird, gibt es an, dass die Netzwerkticketanmeldeflows einen Domänencontroller oder ein gleichwertiges Gerät kontaktiert haben, der den neuen Mechanismus nicht verstanden hat. Die Authentifizierung konnte auf das vorherige Verhalten zurückgesetzt werden.
• Dieses Ereignis wird als Fehler angezeigt, wenn PacSignatureValidationLevel ODER CrossDomainFilteringLevel auf Erzwingen oder strenger festgelegt ist. Dieses Ereignis gibt als "Fehler" an, dass der Netzwerkticket-Anmeldevorgang einen Domänencontroller oder ein gleichwertiges Gerät kontaktiert hat, der den neuen Mechanismus nicht verstanden hat. Die Authentifizierung wurde verweigert und konnte nicht auf das vorherige Verhalten zurückgesetzt werden.

Dieses Ereignis wird generiert, wenn Netlogon während einer Netzwerkticket-Anmeldeanforderung auf einen unerwarteten Fehler gestoßen ist. Dieses Ereignis wird protokolliert, wenn AuditKerberosTicketLogonEvents auf (1) oder höher festgelegt ist.

Dieses Ereignis wird generiert, wenn Netlogon die Netzwerkticketanmeldung nicht abschließen konnte, weil ein Domänencontroller die Änderungen nicht verstanden hat. Aufgrund von Einschränkungen im Netlogon-Protokoll kann der Netlogon-Client nicht bestimmen, ob der Domänencontroller, mit dem der Netlogon-Client direkt kommuniziert, derjenige ist, der die Änderungen nicht versteht, oder ob es sich um einen Domänencontroller entlang der Weiterleitungskette handelt, der die Änderungen nicht versteht.

• Wenn die Dienstticketdomäne mit der Domäne des Computerkontos übereinstimmt, ist es wahrscheinlich, dass der Domänencontroller im Ereignisprotokoll den Netzwerkticket-Anmeldevorgang nicht versteht.
• Wenn die Dienstticketdomäne nicht mit der Domäne des Computerkontos übereinstimmt, hat einer der Domänencontroller auf dem Weg von der Domäne des Computerkontos zur Domäne des Dienstkontos den Netzwerkticket-Anmeldevorgang nicht verstanden

Dieses Ereignis ist standardmäßig deaktiviert. Microsoft empfiehlt Benutzern, zuerst ihre gesamte Flotte zu aktualisieren, bevor sie das Ereignis aktivieren.

Dieses Ereignis wird protokolliert, wenn AuditKerberosTicketLogonEvents auf (2) festgelegt ist.

Ein Domänencontroller, der nicht aktualisiert wird, erkennt diese neue Anforderungsstruktur nicht. Dies führt dazu, dass die Sicherheitsüberprüfung fehlschlägt. Im Kompatibilitätsmodus wird die alte Anforderungsstruktur verwendet. Dieses Szenario ist weiterhin anfällig für CVE-2024-26248 und CVE-2024-29056.

Ja. Dies liegt daran, dass der neue Netzwerkticket-Anmeldevorgang möglicherweise domänenübergreifend weitergeleitet werden muss, um die Domäne des Dienstkontos zu erreichen.

Die PAC-Überprüfung kann unter bestimmten Umständen übersprungen werden, einschließlich, aber nicht beschränkt auf die folgenden Szenarien:

• Wenn der Dienst über TCB-Berechtigungen verfügt. Im Allgemeinen verfügen Dienste, die im Kontext des SYSTEM-Kontos ausgeführt werden (z. B. SMB-Dateifreigaben oder LDAP-Server), über diese Berechtigung.
• Wenn der Dienst über den Taskplaner ausgeführt wird.

Andernfalls wird die PAC-Überprüfung für alle eingehenden Kerberos-Authentifizierungsflüsse durchgeführt.

Bei diesen CVEs handelt es sich um lokale Rechteerweiterungen, bei denen ein böswilliges oder kompromittiertes Dienstkonto, das auf der Windows-Arbeitsstation ausgeführt wird, versucht, seine Berechtigungen zu erhöhen, um lokale Administratorrechte zu erlangen. Dies bedeutet, dass nur die Windows-Arbeitsstation betroffen ist, die die eingehende Kerberos-Authentifizierung akzeptiert.