KB5037754: Πώς μπορείτε να διαχειριστείτε τις αλλαγές επικύρωσης PAC που σχετίζονται με τα CVE-2024-26248 και CVE-2024-29056

Η αρχική φάση ανάπτυξης ξεκινά με τις ενημερώσεις που κυκλοφόρησαν στις 9 Απριλίου 2024. Αυτή η ενημέρωση προσθέτει νέα συμπεριφορά που αποτρέπει την αναβάθμιση των ευπαθειών δικαιωμάτων που περιγράφονται στις εκδόσεις CVE-2024-26248 και CVE-2024-29056 , αλλά δεν την επιβάλλει, εκτός εάν ενημερωθούν τόσο οι ελεγκτές τομέα των Windows όσο και τα προγράμματα-πελάτες Windows στο περιβάλλον.

Για να ενεργοποιήσετε τη νέα συμπεριφορά και να μετριάσετε τις ευπάθειες, πρέπει να βεβαιωθείτε ότι ολόκληρο το περιβάλλον των Windows (συμπεριλαμβανομένων των ελεγκτών τομέα και των πελατών) είναι ενημερωμένο. Τα συμβάντα ελέγχου θα καταγράφονται για τον προσδιορισμό των συσκευών που δεν έχουν ενημερωθεί.

Ενημερώσεις που θα κυκλοφορήσει στις ή μετά τις 15 Οκτωβρίου 2024, θα μετακινήσει όλους τους ελεγκτές τομέα και τους υπολογιστές-πελάτες των Windows στο περιβάλλον σε Ισχύουσα λειτουργία, αλλάζοντας τις ρυθμίσεις δευτερεύοντος κλειδιού μητρώου σε PacSignatureValidationLevel=3 και CrossDomainFilteringLevel=4, επιβάλλοντας την ασφαλή συμπεριφορά από προεπιλογή.

Οι ρυθμίσεις Επιβολή από προεπιλογή μπορούν να παρακαμφθούν από ένα διαχειριστή για επαναφορά στην κατάσταση λειτουργίας συμβατότητας .

Οι ενημερώσεις ασφαλείας των Windows που κυκλοφόρησαν στις ή μετά τις 8 Απριλίου 2025, θα καταργήσουν την υποστήριξη για τα δευτερεύοντα κλειδιά μητρώου PacSignatureValidationLevel και CrossDomainFilteringLevel και θα επιβάλουν τη νέα ασφαλή συμπεριφορά. Δεν θα υπάρχει υποστήριξη για τη λειτουργία συμβατότητας μετά την εγκατάσταση αυτής της ενημέρωσης.

Αυτό το κλειδί μητρώου μπορεί να αναπτυχθεί τόσο στους διακομιστές των Windows που αποδέχονται εισερχόμενο έλεγχο ταυτότητας Kerberos, όσο και σε οποιονδήποτε ελεγκτή τομέα των Windows που επικυρώνει τη νέα ροή σύνδεσης δελτίου δικτύου στην πορεία.

Αυτό το συμβάν εμφανίζεται όταν ένας ελεγκτής τομέα έλαβε μια μη θανατηφόρα ενέργεια κατά τη διάρκεια μιας ροής σύνδεσης δελτίου δικτύου. Προς το παρόν, καταγράφονται οι ακόλουθες ενέργειες:

• Τα SID χρηστών φιλτράρονταν.

• Οι κάρτες SID συσκευής έχουν φιλτραριστεί.

• Η σύνθετη ταυτότητα καταργήθηκε λόγω φιλτραρίσματος SID που δεν επιτρέπει την ταυτότητα της συσκευής.

• Η σύνθετη ταυτότητα καταργήθηκε λόγω φιλτραρίσματος SID που δεν επιτρέπει το όνομα τομέα της συσκευής.

Αυτό το συμβάν εμφανίζεται όταν ένας ελεγκτής τομέα απέρριψε την αίτηση σύνδεσης δελτίου δικτύου για τους λόγους που εμφανίζονται στην εκδήλωση. ​​​​​​

• Αυτό το συμβάν εμφανίζεται ως προειδοποίηση εάν η ρύθμιση PacSignatureValidationLevel AND CrossDomainFilteringLevel δεν έχει οριστεί σε Επιβολή ή αυστηρότερη. Όταν καταγράφηκε ως προειδοποίηση, το συμβάν υποδεικνύει ότι η ροή σύνδεσης δελτίου δικτύου επικοινώνησε με έναν ελεγκτή τομέα ή μια ισοδύναμη συσκευή που δεν κατανόησε τον νέο μηχανισμό. Ο έλεγχος ταυτότητας είχε τη δυνατότητα να επιστρέψει σε προηγούμενη συμπεριφορά.

• Αυτό το συμβάν εμφανίζεται ως σφάλμα εάν η ρύθμιση PacSignatureValidationLevel OR CrossDomainFilteringLevel έχει οριστεί σε Επιβολή ή αυστηρότερη. Αυτό το συμβάν ως "σφάλμα" υποδεικνύει ότι η ροή σύνδεσης δελτίου δικτύου επικοινώνησε με έναν ελεγκτή τομέα ή μια αντίστοιχη συσκευή που δεν κατανόησε τον νέο μηχανισμό. Ο έλεγχος ταυτότητας απορρίφθηκε και δεν ήταν δυνατή η επαναφορά σε προηγούμενη συμπεριφορά.

Αυτό το συμβάν δημιουργείται κάθε φορά που το Netlogon αντιμετώπισε ένα μη αναμενόμενο σφάλμα κατά τη διάρκεια μιας αίτησης σύνδεσης δελτίου δικτύου. Αυτό το συμβάν καταγράφεται όταν το AuditKerberosTicketLogonEvents έχει οριστεί σε (1) ή νεότερη έκδοση.

Αυτό το συμβάν δημιουργείται κάθε φορά που το Netlogon δεν μπορούσε να ολοκληρώσει τη σύνδεση με δελτίο δικτύου, επειδή ένας ελεγκτής τομέα δεν καταλάβαινε τις αλλαγές. Λόγω περιορισμών στο πρωτόκολλο Netlogon, το πρόγραμμα-πελάτης Netlogon δεν είναι σε θέση να προσδιορίσει εάν ο ελεγκτής τομέα στον οποίο συνομιλεί απευθείας το πρόγραμμα-πελάτης Netlogon είναι αυτός που δεν κατανοεί τις αλλαγές ή εάν είναι ένας ελεγκτής τομέα κατά μήκος της αλυσίδας προώθησης που δεν κατανοεί τις αλλαγές.

• Εάν ο τομέας service ticket είναι ίδιος με τον τομέα του λογαριασμού υπολογιστή, είναι πιθανό ότι ο ελεγκτής τομέα στο αρχείο καταγραφής συμβάντων δεν κατανοεί τη ροή σύνδεσης δελτίου δικτύου.

• Εάν ο τομέας service ticket είναι διαφορετικός από τον τομέα του λογαριασμού υπολογιστή, ένας από τους ελεγκτές τομέα στην πορεία από τον τομέα του λογαριασμού υπολογιστή στον τομέα του λογαριασμού υπηρεσίας δεν κατάλαβε τη ροή σύνδεσης δελτίου δικτύου

Αυτό το συμβάν είναι απενεργοποιημένο από προεπιλογή. Η Microsoft συνιστά στους χρήστες να ενημερώσουν πρώτα ολόκληρο τον στόλο τους προτού ενεργοποιήσουν την εκδήλωση.

Αυτό το συμβάν καταγράφεται όταν η ρύθμιση AuditKerberosTicketLogonEvents έχει οριστεί σε (2).

Ένας ελεγκτής τομέα που δεν ενημερώνεται δεν θα αναγνωρίσει αυτήν τη νέα δομή αίτησης. Αυτό θα προκαλέσει την αποτυχία του ελέγχου ασφαλείας. Σε κατάσταση λειτουργίας συμβατότητας, θα χρησιμοποιηθεί η παλιά δομή αίτησης. Αυτό το σενάριο εξακολουθεί να είναι ευάλωτο σε CVE-2024-26248 και CVE-2024-29056.

Ναι. Αυτό συμβαίνει επειδή η νέα ροή σύνδεσης δελτίου δικτύου ενδέχεται να πρέπει να δρομολογηθεί σε πολλούς τομείς για να φτάσει στον τομέα του λογαριασμού υπηρεσίας.

Η επικύρωση PAC ενδέχεται να παραλειφθεί σε ορισμένες περιπτώσεις, συμπεριλαμβανομένων, ενδεικτικά, των ακόλουθων σεναρίων:

• Εάν η υπηρεσία έχει δικαιώματα TCB. Γενικά, οι υπηρεσίες που εκτελούνται στο περιβάλλον του λογαριασμού SYSTEM (όπως τα κοινόχρηστα στοιχεία αρχείων SMB ή οι διακομιστές LDAP) έχουν αυτό το δικαίωμα.

• Εάν η υπηρεσία εκτελείται από το Χρονοδιάγραμμα εργασιών.

Διαφορετικά, η επικύρωση PAC εκτελείται σε όλες τις εισερχόμενες ροές ελέγχου ταυτότητας Kerberos.

Αυτά τα CVE περιλαμβάνουν έναν τοπικό προβιβασμό δικαιωμάτων, όπου ένας κακόβουλος ή παραβιασμένος λογαριασμός υπηρεσίας που εκτελείται στο Windows Workstation επιχειρεί να αυξήσει το προνόμιό του για να αποκτήσει δικαιώματα τοπικής διαχείρισης. Αυτό σημαίνει ότι επηρεάζεται μόνο ο έλεγχος ταυτότητας εισερχομένων Kerberos που δέχεται το Windows Workstation.