Schutz für CVE-2025-26647 (Kerberos-Authentifizierung)

8. April 2025: Phase der ersten Bereitstellung – Überwachungsmodus

Die erste Bereitstellungsphase (Überwachungsmodus ) beginnt mit den Updates, die am 8. April 2025 veröffentlicht wurden. Diese Updates ändern das Verhalten, das das in CVE-2025-26647 beschriebene Sicherheitsrisiko durch Rechteerweiterungen erkennt, dies jedoch zunächst nicht erzwingt.

Im Überwachungsmodus wird die Ereignis-ID 45 auf dem Domänencontroller protokolliert, wenn er eine Kerberos-Authentifizierungsanforderung mit einem unsicheren Zertifikat empfängt. Die Authentifizierungsanforderung ist zulässig, und es werden keine Clientfehler erwartet.

Um die Verhaltensänderung zu aktivieren und vor der Sicherheitsanfälligkeit zu schützen, müssen Sie sicherstellen, dass alle Windows-Domänencontroller am oder nach dem 8. April 2025 mit einer Windows Update-Version aktualisiert werden, und die Registrierungsschlüsseleinstellung AllowNtAuthPolicyBypass ist auf 2 festgelegt, um den Erzwingungsmodus zu konfigurieren.

Wenn der Domänencontroller im Erzwingungsmodus eine Kerberos-Authentifizierungsanforderung mit einem unsicheren Zertifikat empfängt, protokolliert er die Legacyereignis-ID: 21 und lehnt die Anforderung ab.

Führen Sie die folgenden Schritte aus, um die von diesem Update gebotenen Schutzmaßnahmen zu aktivieren:

1. Wenden Sie das windows-Update, das am oder nach dem 8. April 2025 veröffentlicht wurde, auf alle Domänencontroller in Ihrer Umgebung an. Nach dem Anwenden des Updates ist die Einstellung AllowNtAuthPolicyBypass standardmäßig auf 1 (Audit) festgelegt, wodurch die NTAuth-Überprüfung und die Überwachungsprotokollwarnungsereignisse aktiviert werden.
   
   WICHTIG Wenn Sie nicht bereit sind, die von diesem Update gebotenen Schutzmaßnahmen anzuwenden, legen Sie den Registrierungsschlüssel auf 0 fest, um diese Änderung vorübergehend zu deaktivieren. Weitere Informationen finden Sie im Abschnitt Registrierungsschlüsselinformationen .

2. Überwachen Sie neue Ereignisse, die auf Domänencontrollern angezeigt werden, um betroffene Zertifizierungsstellen zu identifizieren, die nicht Teil des NTAuth-Speichers sind. Die Ereignis-ID, die Sie überwachen müssen , ist Ereignis-ID: 45. Weitere Informationen zu diesen Ereignissen finden Sie im Abschnitt Überwachungsereignisse .

3. Stellen Sie sicher, dass alle Clientzertifikate gültig und mit einer vertrauenswürdigen ausstellenden Zertifizierungsstelle im NTAuth-Speicher verkettet sind.

4. Nachdem alle Ereignis-ID: 45 Ereignisse aufgelöst wurden, können Sie mit dem Erzwingungsmodus fortfahren. Legen Sie dazu den Registrierungswert AllowNtAuthPolicyBypass auf 2 fest. Weitere Informationen finden Sie im Abschnitt Registrierungsschlüsselinformationen .
   
   Anmerkung Es wird empfohlen, das Festlegen von AllowNtAuthPolicyBypass = 2 vorübergehend zu verzögern, bis das nach Mai 2025 veröffentlichte Windows-Update auf Domänencontroller angewendet wurde, die die selbstsignierte zertifikatbasierte Authentifizierung in mehreren Szenarien unterstützen. Dies schließt Domänencontroller ein, die Windows Hello for Business Schlüsselvertrauensstellung und die Authentifizierung mit öffentlichem Schlüssel des Geräts in die Domäne einbinden.

Juli 2025: Standardmäßig erzwungene Phase

Updates, die im oder nach Juli 2025 veröffentlicht wurden, erzwingt standardmäßig die NTAuth Store-Überprüfung. Mit der Registrierungsschlüsseleinstellung AllowNtAuthPolicyBypass können Kunden bei Bedarf in den Überwachungsmodus zurückkehren. Die Möglichkeit, dieses Sicherheitsupdate vollständig zu deaktivieren, wird jedoch entfernt.

Oktober 2025: Erzwingungsmodus

Updates, die im Oder nach Oktober 2025 veröffentlicht wurden, wird die Microsoft-Unterstützung für den Registrierungsschlüssel AllowNtAuthPolicyBypass eingestellt. In diesem Stadium müssen alle Zertifikate von Autoritäten ausgestellt werden, die Teil des NTAuth-Speichers sind. 

Registrierungsschlüsselinformationen

Der folgende Registrierungsschlüssel ermöglicht das Überwachen anfälliger Szenarien und das anschließende Erzwingen der Änderung, sobald anfällige Zertifikate behoben wurden. Der Registrierungsschlüssel wird nicht automatisch hinzugefügt. Wenn Sie das Verhalten ändern müssen, müssen Sie den Registrierungsschlüssel manuell erstellen und den benötigten Wert festlegen. Beachten Sie, dass das Verhalten des Betriebssystems, wenn der Registrierungsschlüssel nicht konfiguriert ist, von der Phase der Bereitstellung abhängt, in der es sich befindet.

AllowNtAuthPolicyBypass

Überwachungsereignisse

Ereignis-ID: 45 | NT Auth Store Check Audit Event

Administratoren sollten für das folgende Ereignis watch, das durch die Installation von Windows-Updates hinzugefügt wurde, die am oder nach dem 8. April 2025 veröffentlicht wurden. Wenn es vorhanden ist, bedeutet dies, dass ein Zertifikat von einer Zertifizierungsstelle ausgestellt wurde, die nicht Teil des NTAuth-Speichers ist.

Ereignis-ID: 21 | AS-REQ-Fehlerereignis

Nach der Behandlung von Kerberos-Key-Distribution-Center Event 45 gibt die Protokollierung dieses generischen Legacyereignisses an, dass das Clientzertifikat immer noch NICHT vertrauenswürdig ist. Dieses Ereignis kann aus mehreren Gründen protokolliert werden. Einer davon ist, dass ein gültiges Clientzertifikat NICHT mit einer ausstellenden Zertifizierungsstelle im NTAuth-Speicher verkettet ist.