Προστασία για CVE-2025-26647 (Έλεγχος ταυτότητας Kerberos)

8 Απριλίου 2025: Φάση αρχικής ανάπτυξης – Λειτουργία ελέγχου

Η αρχική φάση ανάπτυξης (Λειτουργία ελέγχου ) ξεκινά με τις ενημερώσεις που κυκλοφόρησαν στις 8 Απριλίου 2025. Αυτές οι ενημερώσεις αλλάζουν τη συμπεριφορά που εντοπίζει την ευπάθεια ανύψωσης δικαιωμάτων που περιγράφεται στο CVE-2025-26647 , αλλά δεν την επιβάλλουν αρχικά.

Κατά τη λειτουργία ελέγχου , το αναγνωριστικό συμβάντος: 45 θα καταγράφεται στον ελεγκτή τομέα όταν λαμβάνει μια αίτηση ελέγχου ταυτότητας Kerberos με μη ασφαλές πιστοποιητικό. Η αίτηση ελέγχου ταυτότητας θα επιτρέπεται και δεν αναμένονται σφάλματα προγράμματος-πελάτη.

Για να ενεργοποιήσετε την αλλαγή συμπεριφοράς και να είστε ασφαλείς από την ευπάθεια, πρέπει να βεβαιωθείτε ότι όλοι οι ελεγκτές τομέα των Windows ενημερώνονται με μια έκδοση ενημέρωσης των Windows στις ή μετά τις 8 Απριλίου 2025 και ότι η ρύθμιση κλειδιού μητρώου AllowNtAuthPolicyBypass έχει οριστεί σε 2 για ρύθμιση παραμέτρων για τη λειτουργία επιβολής .

Όταν βρίσκεστε σε λειτουργία επιβολής , εάν ο ελεγκτής τομέα λάβει μια αίτηση ελέγχου ταυτότητας Kerberos με μη ασφαλές πιστοποιητικό, θα καταγράψει το αναγνωριστικό συμβάντος παλαιού τύπου: 21 και θα απορρίψει την αίτηση.

Για να ενεργοποιήσετε τα μέτρα προστασίας που παρέχονται από αυτήν την ενημέρωση, ακολουθήστε τα εξής βήματα:

1. Εφαρμόστε την ενημέρωση των Windows που κυκλοφόρησε στις ή μετά τις 8 Απριλίου 2025 σε όλους τους ελεγκτές τομέα στο περιβάλλον σας. Μετά την εφαρμογή της ενημέρωσης, η ρύθμιση AllowNtAuthPolicyBypass ορίζεται από προεπιλογή σε 1 (Έλεγχος) που επιτρέπει τον έλεγχο NTAuth και τα συμβάντα προειδοποίησης αρχείου καταγραφής ελέγχου.
   
   ΣΗΜΑΝΤΙΚΌΣ Αν δεν είστε έτοιμοι να προχωρήσετε στην εφαρμογή των προστατευμένων που παρέχονται από αυτήν την ενημέρωση, ορίστε το κλειδί μητρώου σε 0 για να απενεργοποιήσετε προσωρινά αυτήν την αλλαγή. Ανατρέξτε στην ενότητα Πληροφορίες κλειδιού μητρώου για περισσότερες πληροφορίες.

2. Παρακολουθήστε νέα συμβάντα που θα είναι ορατά σε ελεγκτές τομέα για να προσδιορίσετε τις επηρεαζόμενες αρχές έκδοσης πιστοποιητικών που δεν αποτελούν μέρος του χώρου αποθήκευσης NTAuth. Το αναγνωριστικό συμβάντος που πρέπει να παρακολουθήσετε είναι το αναγνωριστικό συμβάντος: 45. Ανατρέξτε στην ενότητα Συμβάντα ελέγχου για περισσότερες πληροφορίες σχετικά με αυτά τα συμβάντα.

3. Βεβαιωθείτε ότι όλα τα πιστοποιητικά προγράμματος-πελάτη είναι έγκυρα και έχουν συνδεθεί με αλυσίδα σε μια αξιόπιστη αρχή έκδοσης πιστοποιητικών στον χώρο αποθήκευσης NTAuth.

4. Μετά από όλο το αναγνωριστικό συμβάντος: 45 συμβάντα επιλύονται και, στη συνέχεια, μπορείτε να προχωρήσετε σε λειτουργία επιβολής . Για να το κάνετε αυτό, ορίστε την τιμή μητρώου AllowNtAuthPolicyBypass σε 2. Ανατρέξτε στην ενότητα Πληροφορίες κλειδιού μητρώου για περισσότερες πληροφορίες.
   
   Σημείωση Συνιστάται να καθυστερήσετε προσωρινά τη ρύθμιση του AllowNtAuthPolicyBypass = 2 μέχρι μετά την εφαρμογή της ενημέρωσης των Windows που κυκλοφόρησε μετά τον Μάιο του 2025 σε ελεγκτές τομέα, οι οποίοι εξυπηρετούν τον αυτο-υπογεγραμμένο έλεγχο ταυτότητας βάσει πιστοποιητικού που χρησιμοποιείται σε πολλά σενάρια. Σε αυτούς περιλαμβάνονται οι ελεγκτές τομέα που Windows Hello για επιχειρήσεις Βασική αξιοπιστία και έλεγχος ταυτότητας δημόσιου κλειδιού συσκευής που συνδέεται με τομέα.

Ιούλιος 2025: Επιβολή από προεπιλεγμένη φάση

Ενημερώσεις που θα κυκλοφορήσει τον Ιούλιο του 2025 ή μετά θα επιβάλει τον έλεγχο του NTAuth Store από προεπιλογή. Η ρύθμιση κλειδιού μητρώου AllowNtAuthPolicyBypass θα εξακολουθεί να επιτρέπει στους πελάτες να επιστρέψουν στη λειτουργία ελέγχου , εάν είναι απαραίτητο. Ωστόσο, η δυνατότητα πλήρης απενεργοποίησης αυτής της ενημέρωσης ασφαλείας θα καταργηθεί.

Οκτώβριος 2025: Λειτουργία επιβολής κυρώσεων

Ενημερώσεις που θα κυκλοφορήσει τον Οκτώβριο του 2025 ή μετά θα διακόψει την υποστήριξη της Microsoft για το κλειδί μητρώου AllowNtAuthPolicyBypass. Σε αυτό το στάδιο, όλα τα πιστοποιητικά πρέπει να εκδίδονται από τις αρχές που αποτελούν μέρος του χώρου αποθήκευσης NTAuth. 

Πληροφορίες κλειδιού μητρώου

Το ακόλουθο κλειδί μητρώου επιτρέπει τον έλεγχο ευάλωτων σεναρίων και, στη συνέχεια, την επιβολή της αλλαγής μόλις αντιμετωπιστούν τα ευάλωτα πιστοποιητικά. Το κλειδί μητρώου δεν προστίθεται αυτόματα. Εάν θέλετε να αλλάξετε τη συμπεριφορά, πρέπει να δημιουργήσετε με μη αυτόματο τρόπο το κλειδί μητρώου και να ορίσετε την τιμή που χρειάζεστε. Σημειώστε ότι η συμπεριφορά του λειτουργικού συστήματος όταν το κλειδί μητρώου δεν έχει ρυθμιστεί θα εξαρτάται από τη φάση ανάπτυξης στην οποία βρίσκεται.

AllowNtAuthPolicyBypass

Συμβάντα ελέγχου

Αναγνωριστικό συμβάντος: 45 | Συμβάν ελέγχου ελέγχου ελέγχου nt auth store

Οι διαχειριστές θα πρέπει να παρακολουθήσουν το ακόλουθο συμβάν που προστέθηκε με την εγκατάσταση των ενημερώσεων των Windows που κυκλοφόρησαν στις ή μετά τις 8 Απριλίου 2025. Εάν υπάρχει, υποδηλώνει ότι ένα πιστοποιητικό εκδόθηκε από μια αρχή που δεν αποτελεί μέρος του χώρου αποθήκευσης NTAuth.

Αναγνωριστικό συμβάντος: 21 | Συμβάν αποτυχίας AS-REQ

Μετά την αντιμετώπιση του συμβάντος Kerberos-Key-Distribution-Center 45, η καταγραφή αυτού του γενικού συμβάντος παλαιού τύπου υποδεικνύει ότι το πιστοποιητικό προγράμματος-πελάτη εξακολουθεί να μην θεωρείται αξιόπιστο. Αυτό το συμβάν μπορεί να καταγραφεί για πολλούς λόγους, ένας εκ των οποίων είναι ότι ένα έγκυρο πιστοποιητικό προγράμματος-πελάτη ΔΕΝ είναι συνδεδεμένο με μια αρχή έκδοσης CA στο χώρο αποθήκευσης NTAuth.