Protections pour CVE-2025-26647 (authentification Kerberos)

8 avril 2025 : Phase de déploiement initiale – Mode Audit

La phase de déploiement initiale (mode Audit ) commence par les mises à jour publiées le 8 avril 2025. Ces mises à jour modifient le comportement qui détecte la vulnérabilité d’élévation de privilège décrite dans CVE-2025-26647 , mais qui ne l’applique pas initialement.

En mode Audit , l’ID d’événement : 45 est enregistré sur le contrôleur de domaine lorsqu’il reçoit une demande d’authentification Kerberos avec un certificat non sécurisé. La demande d’authentification est autorisée et aucune erreur client n’est attendue.

Pour activer le changement de comportement et être sécurisé contre la vulnérabilité, vous devez vous assurer que tous les contrôleurs de domaine Windows sont mis à jour avec une mise à jour Windows à partir du 8 avril 2025 et que le paramètre de clé de Registre AllowNtAuthPolicyBypass est défini sur 2 pour configurer le mode d’application .

En mode Application , si le contrôleur de domaine reçoit une demande d’authentification Kerberos avec un certificat non sécurisé, il enregistre l’ID d’événement hérité : 21 et refuse la demande.

Pour activer les protections offertes par cette mise à jour, procédez comme suit :

1. Appliquez la mise à jour Windows publiée le ou après le 8 avril 2025 à tous les contrôleurs de domaine de votre environnement. Après l’application de la mise à jour, le paramètre AllowNtAuthPolicyBypass est défini par défaut sur 1 (Audit), ce qui active l’case activée NTAuth et les événements d’avertissement du journal d’audit.
   
   IMPORTANT Si vous n’êtes pas prêt à appliquer les protections offertes par cette mise à jour, définissez la clé de Registre sur 0 pour désactiver temporairement cette modification. Pour plus d’informations, consultez la section Informations sur la clé de Registre .

2. Surveillez les nouveaux événements qui seront visibles sur les contrôleurs de domaine pour identifier les autorités de certification affectées qui ne font pas partie du magasin NTAuth. L’ID d’événement que vous devez surveiller est ID d’événement : 45. Pour plus d’informations sur ces événements, consultez la section Événements d’audit.

3. Vérifiez que tous les certificats clients sont valides et chaînés à une autorité de certification émettrice approuvée dans le magasin NTAuth.

4. Une fois que tous les ID d’événement : 45 événements sont résolus, vous pouvez passer au mode d’application . Pour ce faire, définissez la valeur de Registre AllowNtAuthPolicyBypass sur 2. Pour plus d’informations, consultez la section Informations sur la clé de Registre .
   
   Note Nous vous recommandons de retarder temporairement la définition de AllowNtAuthPolicyBypass = 2 jusqu’à ce qu’après avoir appliqué la mise à jour Windows publiée après mai 2025 aux contrôleurs de domaine qui utilisent l’authentification basée sur un certificat auto-signé utilisée dans plusieurs scénarios. Cela inclut les contrôleurs de domaine qui Windows Hello Entreprise l’approbation de clé et l’authentification par clé publique d’appareil jointe au domaine.

Juillet 2025 : Appliqué par la phase par défaut

Mises à jour publiée en juillet 2025 ou après cette date appliqueront la case activée NTAuth Store par défaut. Le paramètre de clé de Registre AllowNtAuthPolicyBypass permet toujours aux clients de revenir en mode Audit si nécessaire. Toutefois, la possibilité de désactiver complètement cette mise à jour de sécurité sera supprimée.

Octobre 2025 : Mode d’application

Mises à jour publiée en octobre 2025 ou après cessera la prise en charge par Microsoft de la clé de Registre AllowNtAuthPolicyBypass. À ce stade, tous les certificats doivent être émis par les autorités qui font partie du magasin NTAuth. 

Informations sur la clé de Registre

La clé de Registre suivante permet d’auditer les scénarios vulnérables, puis d’appliquer la modification une fois les certificats vulnérables traités. La clé de Registre n’est pas ajoutée automatiquement. Si vous devez modifier le comportement, vous devez créer manuellement la clé de Registre et définir la valeur dont vous avez besoin. Notez que le comportement du système d’exploitation lorsque la clé de Registre n’est pas configurée dépend de la phase du déploiement dans laquelle il se trouve.

AllowNtAuthPolicyBypass

Événements d’audit

ID d’événement : 45 | NT Auth Store Check Audit Event

Les administrateurs doivent watch pour l’événement suivant ajouté par l’installation des mises à jour Windows publiées à partir du 8 avril 2025. S’il existe, cela implique qu’un certificat a été émis par une autorité qui ne fait pas partie du magasin NTAuth.

ID d’événement : 21 | Événement d’échec AS-REQ

Après avoir abordé l’événement Kerberos-Key-Distribution-Center 45, la journalisation de cet événement générique hérité indique que le certificat client n’est toujours pas approuvé. Cet événement peut être journalisé pour plusieurs raisons, notamment le fait qu’un certificat client valide n’est PAS chaîné à une autorité de certification émettrice dans le magasin NTAuth.