Symptômes
L’impression et l’analyse peuvent échouer lorsque ces appareils utilisent l’authentification par carte à puce (PIV).
Remarque
Remarque Les appareils concernés lors de l’utilisation de l’authentification par carte à puce (PIV) doivent fonctionner comme prévu lors de l’utilisation de l’authentification par nom d’utilisateur et mot de passe.
Cause
Le 13 juillet 2021, Microsoft a publié des modifications de renforcement pour CVE-2021-33764 Cela peut provoquer ce problème lorsque vous installez les mises à jour publiées le 13 juillet 2021 ou versions ultérieures sur un contrôleur de domaine (DC). Les appareils concernés sont des imprimantes, des scanners et des périphériques multifonctions d’authentification carte intelligente qui ne prennent pas en charge l'Diffie-Hellman (DH) pour l’échange de clés lors de l’authentification Kerberos PKINIT ou qui n’annoncent pas la prise en charge de des-ede3-cbc (« triple DES ») lors de la requête Kerberos AS.
Conformément à la section 3.2.1 de la spécification RFC 4556, pour que cet échange de clés fonctionne, le client doit à la fois prendre en charge et informer le centre de distribution de clés (KDC) de son support pour des-ede3-cbc (« triple DES »). Les clients qui lancent Kerberos PKINIT avec l’échange de clés en mode de chiffrement mais qui ne prennent pas en charge et ne disent pas au KDC qu’ils prennent en charge des-ede3-cbc (« triple DES »), seront rejetés.
Pour que les périphériques clients d’impression et de numérisation soient conformes, ils doivent :
- Utiliser Diffie-Hellman pour l’échange de clés pendant l’authentification Kerberos PKINIT (préféré).
- Vous pouvez également prendre en charge le centre de distribution de clés Kerberos (KDC) et informer le KDC de son soutien pour des-ede3-cbc (« triple DES »).
Étapes suivantes
Si vous rencontrez ce problème avec vos périphériques d’impression ou de numérisation, vérifiez que vous utilisez le microprogramme et les pilotes les plus récents disponibles pour votre périphérique. Si votre microprogramme et vos pilotes sont à jour et que vous rencontrez toujours ce problème, nous vous recommandons de contacter le fabricant du périphérique. Demandez si un changement de configuration est nécessaire pour rendre l’appareil conforme à la modification de renforcement pour CVE-2021-33764 ou si une mise à jour conforme sera disponible.
S’il n’existe actuellement aucun moyen de mettre vos appareils en conformité avec la section 3.2.1 de la spécification RFC 4556 comme l’exige la CVE-2021-33764, une atténuation temporaire est désormais disponible pendant que vous travaillez avec votre fabricant d’appareil d’impression ou de numérisation pour rendre votre environnement conforme dans la chronologie ci-dessous.
Remarque
Important Vos appareils non conformes doivent être mis à jour et conformes ou remplacés avant le 12 juillet 2022, date à laquelle l’atténuation temporaire ne sera pas utilisable dans les mises à jour de sécurité.
Avis important
Toutes les atténuations temporaires pour ce scénario seront supprimées en juillet 2022 et en août 2022, en fonction de la version de Windows que vous utilisez (voir le tableau ci-dessous). Il n’y aura pas d’autre option de secours dans les mises à jour ultérieures. Tous les appareils non conformes doivent être identifiés à l’aide des événements d’audit à partir de janvier 2022 et mis à jour ou remplacés par la suppression de l’atténuation à partir de fin juillet 2022.
Après juillet 2022, les appareils qui ne sont pas conformes à la spécification RFC 4456 et CVE-2021-33764 ne seront pas utilisables avec un appareil Windows mis à jour.
| Date cible | Événement | S’applique à |
|---|---|---|
| 13 juillet 2021 | Mises à jour publiées avec des modifications de renforcement pour CVE-2021-33764. Cette modification de renforcement est activée par défaut dans toutes les mises à jour ultérieures. | Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 27 juillet 2021 | Mises à jour publiées avec une atténuation temporaire pour résoudre les problèmes d’impression et d’analyse sur les périphériques non conformes. Les mises à jour publiées à cette date ou à une date ultérieure doivent être installées sur votre contrôleur de domaine et l’atténuation doit être activée via une clé de Registre en suivant les étapes ci-dessous. | Windows Server 2019 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 29 juillet 2021 | Mises à jour publiées avec une atténuation temporaire pour résoudre les problèmes d’impression et d’analyse sur les périphériques non conformes. Les mises à jour publiées à cette date ou à une date ultérieure doivent être installées sur votre contrôleur de domaine et l’atténuation doit être activée via une clé de Registre en suivant les étapes ci-dessous. | Windows Server 2016 |
| mercredi 25 janvier 2022 | Les mises à jour consignent les événements d’audit sur les contrôleurs de domaine Active Directory qui identifient les imprimantes incompatibles RFC-4456 qui échouent à l’authentification une fois que les contrôleurs de domaine ont installé les mises à jour de juillet 2022/août 2022 ou ultérieures. | Windows Server 2022 Windows Server 2019 |
| 8 février 2022 | Les mises à jour consignent les événements d’audit sur les contrôleurs de domaine Active Directory qui identifient les imprimantes incompatibles RFC-4456 qui échouent à l’authentification une fois que les contrôleurs de domaine ont installé les mises à jour de juillet 2022/août 2022 ou ultérieures. | Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| samedi 21 juillet 2022 | Publication facultative d’une mise à jour de préversion pour supprimer l’atténuation temporaire nécessitant des appareils d’impression et d’analyse de plainte dans votre environnement. | Windows Server 2019 |
| vendredi 9 août 2022 |
Important Publication de la mise à jour de sécurité pour supprimer l’atténuation temporaire nécessitant des appareils d’impression et d’analyse de plainte dans votre environnement. Toutes les mises à jour publiées ce jour-là ou ultérieurement ne pourront pas utiliser l’atténuation temporaire. Les imprimantes et scanners d’authentification par carte à puce doivent être conformes à la section 3.2.1 de la spécification RFC 4556 requise pour CVE-2021-33764 après l’installation de ces mises à jour ou ultérieures sur les contrôleurs de domaine Active Directory |
Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
Pour utiliser l’atténuation temporaire dans votre environnement, suivez ces étapes sur tous les contrôleurs de domaine :
Sur les contrôleurs de domaine, définissez la valeur de Registre d’atténuation temporaire répertoriée ci-dessous sur 1 (activer) à l’aide de l’Éditeur du Registre ou des outils d’automatisation disponibles dans votre environnement.
Remarque
Remarque Cette étape 1 peut être effectuée avant ou après les étapes 2 et 3.
Installez une mise à jour qui autorise l’atténuation temporaire disponible dans les mises à jour publiées le 27 juillet 2021 ou une version ultérieure (voici les premières mises à jour à autoriser l’atténuation temporaire) :
Redémarrez votre contrôleur de domaine.
Valeur de Registre pour l’atténuation temporaire :
Remarque
Avertissement Toute modification incorrecte du Registre à l’aide de l’Éditeur du Registre ou d’une autre méthode peut entraîner des problèmes sérieux. Ces problèmes peuvent nécessiter la réinstallation du système d’exploitation. Microsoft ne peut pas garantir que ces problèmes peuvent être résolus. Vous assumez l’ensemble des risques liés à la modification du Registre.
| Sous-clé de Registre | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc |
|---|---|
| Valeur | Allow3DesFallback |
| Type de données | DWORD |
| Données |
1 – Activer l’atténuation temporaire. 0 – activer le comportement par défaut, exigeant que vos appareils soient conformes à la section 3.2.1 de la spécification RFC 4556. |
| Redémarrage requis ? | Non |
La clé de Registre ci-dessus peut être créée, ainsi que la valeur et le jeu de données à l’aide de la commande suivante :
- reg add HKLM\System\CurrentControlSet\Services\Kdc /v Allow3DesFallback /t REG_DWORD /d 1 /f
Audit des événements
La mise à jour Windows du 25 janvier 2022 et du 8 février 2022 ajoute également de nouveaux ID d’événement pour vous permettre d’identifier les appareils affectés.
| Journal des événements | Système |
|---|---|
| Type d’événement | Erreur |
| Source de l’événement | Kdcsvc |
| ID d’événement | 307 39 (Windows Server 2008 R2 SP1, Windows Server 2008 SP2) |
| Texte de l’événement | Le client Kerberos n’a pas fourni de type de chiffrement pris en charge pour une utilisation avec le protocole PKINIT à l’aide du mode de chiffrement.
|
| Journal des événements | Système |
|---|---|
| Type d’événement | Avertissement |
| Source de l’événement | Kdcsvc |
| ID d’événement | 308 40 (Windows Server 2008 R2 SP1, Windows Server 2008 SP2) |
| Texte de l’événement | Client PKINIT Kerberos non conforme authentifié sur ce contrôleur de domaine. L’authentification a été autorisée car KDCGlobalAllowDesFallBack a été défini. À l’avenir, l’authentification de ces connexions échouera. Identifiez l’appareil et cherchez à mettre à niveau son implémentation Kerberos
|
État
Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la liste des produits concernés par cet article.