KB4577252: Διαχείριση ανάπτυξης αλλαγών RBCD/Προστατευμένου χρήστη για το CVE-2020-16996

Σύνοψη

Εάν χρησιμοποιείτε τις επιλογές Προστατευμένοι χρήστες και Περιορισμένη ανάθεση βάσει πόρων (RBCD), ενδέχεται να υπάρχει ευπάθεια ασφαλείας στους ελεγκτές τομέα της υπηρεσίας καταλόγου Active Directory. Για να μάθετε περισσότερα σχετικά με την ευαισθησία στην ασφάλεια, ανατρέξτε στο θέμα CVE-2020-16996.

Χρονισμός ενημερώσεων

Αυτές οι ενημερώσεις Windows θα κυκλοφορήσουν σε δύο φάσεις:

• Η φάση αρχικής ανάπτυξης για Windows ενημερώσεις που κυκλοφόρησαν στις ή μετά τις 8 Δεκεμβρίου 2020.

• Η φάση ενεργοποίησης για Windows ενημερώσεις που κυκλοφόρησαν στις ή μετά τις 9 Μαρτίου 2021.

Οδηγίες εγκατάστασης

Βήμα 2: Ενεργοποίηση λειτουργίας ενεργοποίησης

Μετά την ενημέρωση όλων των συσκευών που φιλοξενούν το ρόλο του ελεγκτή τομέα Active Directory, περιμένετε τουλάχιστον μια ολόκληρη ημέρα για να λήξουν όλα τα δελτία υπηρεσίας που εκκρεμούν για τον χρήστη στον εαυτό (S4U2self) Kerberos. Στη συνέχεια, ενεργοποιήστε την πλήρη προστασία με την ανάπτυξη της λειτουργίας επιβολής. Για να το κάνετε αυτό, ενεργοποιήστε το κλειδί μητρώου της λειτουργίας ενεργοποίησης.

Προειδοποίηση Εάν τροποποιήσετε εσφαλμένα το μητρώο χρησιμοποιώντας τον Επεξεργαστή Μητρώου ή κάποια άλλη μέθοδο, ενδέχεται να προκύψουν σοβαρά προβλήματα. Αυτά τα προβλήματα ενδέχεται να απαιτήσουν την επανεγκατάσταση του λειτουργικού συστήματος. Η Microsoft δεν μπορεί να εγγυηθεί ότι αυτά τα προβλήματα μπορούν να επιλυθούν. Τροποποιήστε το μητρώο με δική σας ευθύνη.

Σημείωση Αυτή η τιμή μητρώου δεν δημιουργείται με την εγκατάσταση αυτής της ενημέρωσης. Πρέπει να προσθέσετε αυτή την τιμή μητρώου με μη αυτόματο τρόπο.

Σημειώσεις σχετικά με τηντιμήμητρώου "NonForwardableDelegation":

• Εάν έχει οριστεί η τιμή μητρώου, θα έχει προτεραιότητα σε σχέση με τη ρύθμιση της λειτουργίας ενεργοποίησης που περιλαμβάνεται στις ενημερώσεις της 9ης Μαρτίου 2021 Windows.

  • Εάν η τιμή μητρώου οριστεί σε 1 (Απενεργοποίηση), η προώθηση θα επιτρέπεται σε δελτία υπηρεσίας Kerberos που ΔΕΝ έχουν επισημανθεί ως προωθήσιμα.

  • Εάν η τιμή μητρώου οριστεί σε 0 (Ενεργοποίηση), ΔΕΝ θα επιτρέπεται η προώθηση σε δελτία υπηρεσίας Kerberos που ΔΕΝ έχουν επισημανθεί ως προωθήσιμα.

• Εάν ο τομέας σας περιλαμβάνει Windows Server 2008 R2 ή παλαιότερους ελεγκτές τομέα Active Directory, δεν χρειάζεται να ορίσετε λειτουργία ενεργοποίησης, επειδή αυτοί οι ελεγκτές τομέα δεν υποστηρίζουν RBCD.

• Εάν δεν ενημερώσετε με συνέπεια όλους τους ελεγκτές τομέα Active Directory κατά την ενεργοποίηση της λειτουργίας ενεργοποίησης, θα υπάρξουν κατά διαστήματα αποτυχίες ανάθεσης υπηρεσίας.

• Πριν από τη ρύθμιση της λειτουργίας ενεργοποίησης:

  • Όλοι οι ελεγκτές τομέα Active Directory πρέπει να ενημερωθούν με την ενημέρωση της Windows της 8ης Δεκεμβρίου 2020 ή με νεότερη Windows ενημέρωση και

  • Όλα τα εκκρεμή δελτία υπηρεσίας S4USelf Kerberos πρέπει να έχουν λήξει σε αναμονή μία ημέρα μετά την ολοκλήρωση της ανάπτυξης ενημερώσεων του Windows σε όλους τους ελεγκτές τομέα Active Directory.

Επιπλέον ζητήματα

Όταν είναι ενεργοποιημένη αυτή η προστασία, ενοποιεί τη λογική για Resource-Based Περιορισμένη ανάθεση (RBCD) με την αρχική περιορισμένη ανάθεση. Αυτό μπορεί να προκαλέσει προβλήματα στα δύο παρακάτω σενάρια:

• Μια μεμονωμένη υπηρεσία χρησιμοποιεί ταυτόχρονα την αρχική περιορισμένη ανάθεση Kerberos (KCD) χωρίς τη μετάβαση πρωτοκόλλου σε έναν προορισμό ενώ χρησιμοποιεί το RBCD με τη μετάβαση πρωτοκόλλου σε έναν άλλο. Μετά από αυτή την αλλαγή, η μετάβαση άρνηση πρωτοκόλλου θα εφαρμοστεί και στα δύο στυλ ανάθεσης.

• Το RBCD χρησιμοποιείται σε έναν τομέα που χρησιμοποιεί ελεγκτές τομέα που δεν ενημερώνονται με CVE-2020-16996 ή εκτελούν παλαιότερες εκδόσεις του Windows Server (παλαιότερες από τον Window Server 2012) που δεν διαθέτουν διαθέσιμη ενημέρωση για το CVE-2020-16996. Τα βασικά κέντρα διανομής (KDC) που δεν ενημερώνονται δεν θα επισημάνουν δελτία υπηρεσίας S4USelf Kerberos ως εντάξει για την ανάθεση και τη μετάβαση πρωτοκόλλου δεν θα απορρίπτεται.