Avaldamise algne kuupäev: 8. aprill 2025
KB ID: 5057784
|
Muuda kuupäeva |
Muuda kirjeldust |
|
22. juuli 2025 |
|
|
9. mai 2025 |
|
Selle artikli teemad
Kokkuvõte
Windowsi turbevärskendused, mis anti välja 8. aprillil 2025 või hiljem, sisaldavad kaitset Kerberose autentimise nõrkuste eest. See värskendus muudab käitumist, kui turbesubjekti serdipõhise autentimise (CBA) jaoks kasutatava serdi väljaandev asutus on usaldusväärne, kuid mitte NTAuthi salves, ja serdipõhist autentimist kasutavas turbesubjekti atribuudis altSecID on olemas teemavõtme identifikaatori (SKI) vastendus. Lisateavet selle nõrkuse kohta leiate teemast CVE-2025-26647.
Toiming
Teie keskkonna kaitsmiseks ja katkestuste vältimiseks soovitame teha järgmist.
-
Värskendage kõiki domeenikontrollereid Windowsi värskendusega, mis on välja antud 8. aprillil 2025 või hiljem.
-
Jälgige uusi sündmusi, mis kuvatakse domeenikontrollerites mõjutatud sertimiskeskuse tuvastamiseks.
-
LUBA Jõustamisrežiim pärast teie keskkonda kasutab nüüd ainult NTAuthi poes olevate asutuste välja antud sisselogimisserte.
altSecID atribuudid
Järgmises tabelis on loetletud kõik alternatiivsete turbeidentifikaatorite (altSecID) atribuudid ja altSecID-d, mida see muudatus mõjutab.
|
Loendi serdiatribuutidest, mida saab vastendada atribuutidega altSecID |
AltSecID-id, mis nõuavad NTAuthi salve aheldamiseks vastavat serti |
|
X509IssuerSubject X509IssuerSerialNumber X509SKI X509SHA1PublicKey X509RFC822 X509SubjectOnly X509NSubjectOnly X509PublicKeyOnly |
X509IssuerSerialNumber X509SKI X509SHA1PublicKey X509IssuerSubject X509NSubjectOnly |
Muudatuste ajaskaala
8. aprill 2025: algne juurutamise etapp – auditirežiim
Algne juurutusetapp (auditirežiim ) algab 8. aprillil 2025 välja antud värskendustega. Need värskendused muudavad käitumist, mis tuvastab õiguste kõrguse nõrkuse, mida on kirjeldatud versioonis CVE-2025-26647 , kuid ei jõusta seda algselt.
Auditirežiimis logitakse sündmuse ID: 45 domeenikontrollerisse, kui see saab Ebaturvalise serdiga Kerberose autentimistaotluse. Autentimistaotlus on lubatud ja klienditõrkeid ei eeldata.
Käitumise muutuse lubamiseks ja nõrkuse eest turvalisuse tagamiseks peate tagama, et kõik Windowsi domeenikontrollerid värskendatakse Windowsi värskenduse väljaandega 8. aprillil 2025 või pärast seda ja registrivõtme AllowNtAuthPolicyBypass säte on jõustamisrežiimi konfigureerimiseks seatud väärtusele 2.
Kui jõustamisrežiimis saab domeenikontroller Ebaturvalise serdiga Kerberose autentimistaotluse, logib see pärandsündmuse ID: 21 ja lükkab taotluse tagasi.
Selle värskendusega pakutavate kaitsete sisselülitamiseks tehke järgmist.
-
Rakendage 8. aprillil 2025 või hiljem välja antud Windowsi värskendus kõigile teie keskkonna domeenikontrolleritele. Pärast värskenduse rakendamist on sätte AllowNtAuthPolicyBypass vaikeväärtus 1 (Audit), mis lubab NTAuthi kontrolli ja auditilogi hoiatussündmused.TÄHTIS Kui te pole valmis selle värskenduse pakutavate kaitsete rakendamist jätkama, määrake selle muudatuse ajutiseks keelamiseks registrivõtme väärtuseks 0 . Lisateavet leiate jaotisest Registrivõtme teave .
-
Jälgige uusi sündmusi, mis on nähtavad domeenikontrollerites, et tuvastada mõjutatud sertimiskeskused, mis ei kuulu NTAuth-salve. Sündmuse ID, mida peate jälgima, on sündmuse ID: 45. Lisateavet nende sündmuste kohta leiate jaotisest Auditisündmused .
-
Veenduge, et kõik kliendiserdid oleksid kehtivad ja aheldatud NTAuth-i salve usaldusväärse väljalaske-CA-ga.
-
Pärast kogu sündmuse ID: 45 sündmuse lahendamist saate jätkata jõustamisrežiimiga. Selleks määrake registriväärtuse AllowNtAuthPolicyBypass väärtuseks 2. Lisateavet leiate jaotisest Registrivõtme teave .Märkus Soovitame ajutiselt edasi lükata sätte AllowNtAuthPolicyBypass = 2 määramise kuni pärast 2025. aasta mai välja antud Windowsi värskenduse rakendamist domeenikontrolleritele, mida teenuse iseallkirjastatud serdipõhine autentimine kasutab mitmes stsenaariumis. See hõlmab domeenikontrollereid, mis Windows Hello äriklientidele võtmeusaldusteenus ja domeeniga liitunud seadme avaliku võtme autentimine.
Juuli 2025: vaikimisi jõustatud faas
Teabevärskendused, mis on välja antud 2025. aasta juulis või hiljem, jõustab vaikimisi NTAuthi poe kontrolli. Registrivõtme AllowNtAuthPolicyBypass säte võimaldab klientidel vajaduse korral auditirežiimi naasta. Siiski eemaldatakse võimalus see turbevärskendus täielikult keelata.
Oktoober 2025: Jõustamisrežiim
Teabevärskendused, mis anti välja oktoobris 2025 või hiljem, lõpetab Microsofti toe registrivõtme AllowNtAuthPolicyBypass jaoks. Selles etapis peavad kõik serdid olema välja antud NTAuth-salve kuuluvate asutuste poolt.
Registrisätted ja sündmuselogid
Registrivõtme teave
Järgmine registrivõti võimaldab haavatavaid stsenaariume auditeerida ja seejärel jõustada muudatuse, kui haavatavad serdid on adresseeritud. Registrivõtit ei lisata automaatselt. Kui teil on vaja käitumist muuta, peate registrivõtme käsitsi looma ja määrama soovitud väärtuse. Pange tähele, et operatsioonisüsteemi käitumine, kui registrivõti on konfigureerimata, sõltub sellest, millises juurutusetapis see on.
AllowNtAuthPolicyBypass
|
Registri alamvõti |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc |
|
|
Väärtus |
AllowNtAuthPolicyBypass |
|
|
Andmetüüp |
REG_DWORD |
|
|
Väärtuseandmed |
0 |
Keelab muudatuse täielikult. |
|
1 |
Sooritab NTAuthi kontrollimis- ja logihoiatussündmuse, mis näitab serti, mille on väljastanud asutus, mis ei kuulu NTAuth-salve (auditirežiim). (Vaikekäitumine alates 8. aprillist 2025.) |
|
|
2 |
Tehke NTAuthi kontroll ja kui see nurjub, siis sisselogimist ei lubata. Logige AS-REQ tõrke tavasündmused (olemasolevad ) tõrkekoodiga, mis näitab NTAuthi kontrolli nurjumist (jõustatud režiim). |
|
|
Kommentaarid |
Registrisätet AllowNtAuthPolicyBypass tuleks konfigureerida ainult Windowsi KDCdes, kuhu on installitud 2025. aasta aprillis või hiljem välja antud Windowsi värskendused. |
|
Auditisündmused
Sündmuse ID: 45 | NT autentimissalve kontrolli auditisündmus
Administraatorid peaksid jälgima järgmist sündmust, mille on lisanud 8. aprillil 2025 või hiljem välja antud Windowsi värskenduste installimine. Kui see on olemas, tähendab see, et serdi on välja andnud asutus, mis ei kuulu NTAuth-salve.
|
Sündmuste logi |
Logisüsteem |
|
Sündmuse tüüp |
Hoiatus! |
|
Sündmuse allikas |
Kerberos-Key-Distribution-Center |
|
Sündmuse ID |
45 |
|
Sündmuse tekst |
Võtmelevituskeskuses (KDC) ilmnes kliendisert, mis oli kehtiv, kuid mitte NTAuth-salve juurserdiga ühendatud. Selliste sertide tugi, mis ei ahelda NTAuth-salve, on iganenud. Sertide aheldamise tugi mitte-NTAuth-kauplustes on iganenud ja ebaturvaline.Lisateavet leiate teemast https://go.microsoft.com/fwlink/?linkid=2300705 . Kasutaja: <UserName> Serdi teema: <serdi teema> Serdi väljaandja: <serdi väljaandja> Serdi seerianumber: serdi<seerianumber> Serdi sõrmejälg: < CertThumbprint> |
|
Kommentaarid |
|
Sündmuse ID: 21 | AS-REQ tõrkesündmus
Pärast Kerberos-Key-Distribution-Center sündmuse 45 adresseerimist näitab selle üldise pärandsündmuse logimine, et kliendi sert pole ikka veel usaldusväärne. See sündmus võib olla logitud mitmel põhjusel, millest üks on see, et kehtiv kliendisert POLE ahelas NTAuthi salve väljaandva CA-ga.
|
Sündmuste logi |
Logisüsteem |
|
Sündmuse tüüp |
Hoiatus! |
|
Sündmuse allikas |
Kerberos-Key-Distribution-Center |
|
Sündmuse ID |
21 |
|
Sündmuse tekst |
Kasutaja kliendisert <Domain\UserName> ei sobi ja selle tulemuseks on kiipkaardi sisselogimine nurjunud. Kiipkaardi sisselogimiseks kasutatava serdi kohta lisateabe saamiseks pöörduge kasutaja poole. Ahela olek oli : õigesti töödeldud sertimisahel, kuid poliitikapakkuja ei usalda ühte CA serti. |
|
Kommentaarid |
|
Teadaolev probleem
Kliendid teatasid probleemidest sündmuse ID-ga 45 ja sündmuse ID-ga: 21, mille käivitas serdipõhine autentimine iseallkirjastatud sertide abil. Lisateavet leiate Windowsi väljaande seisundi kohta dokumenteeritud teadaolevast probleemist.
-
Windows Server 2025: Sisselogimine võib võtmeusaldusrežiimis Windows Hello nurjuda ja Kerberose sündmused logida
-
Windows Server 2022: Sisselogimine võib võtmeusaldusrežiimis Windows Hello nurjuda ja Kerberose sündmused logida
-
Windows Server 2019: Sisselogimine võib võtmeusaldusrežiimis Windows Hello nurjuda ja Kerberose sündmused logida
-
Windows Server 2016: Sisselogimine võib võtmeusaldusrežiimis Windows Hello nurjuda ja Kerberose sündmused logida
