הערה
מעודכן 20 במרץ 2023 - מקטע זמינות
סיכום
הפרוטוקול המרוחק של מודל אובייקט רכיב מבוזר (DCOM) הוא פרוטוקול לחשיפת אובייקטי יישום באמצעות קריאות לפרוצדורה מרוחקת (RPC). DCOM משמש לתקשורת בין רכיבי התוכנה של מכשירים ברשת. שינויי הקשחה ב-DCOM נדרשו עבור CVE-2021-26414. לכן, מומלץ שתבדוק אם יישומי לקוח או שרת בסביבתך המשתמשים ב- DCOM או RPC פועלים כצפוי כאשר שינויי ההקשחה מופעלים.
הערה אנו ממליצים בחום להתקין את עדכון האבטחה הזמין העדכני ביותר. הן מספקות הגנות מתקדמות מפני איומי האבטחה העדכניים ביותר. הן גם מספקות יכולות שהוספנו לתמיכה בהעברה. למידע נוסף והקשר על האופן שבו אנו מקשיחים את DCOM, ראה הקשחת אימות DCOM: מה שאתה צריך לדעת.
השלב הראשון של עדכוני DCOM שוחרר ב-8 ביוני 2021. בעדכון זה, הקשחת DCOM הושבתה כברירת מחדל. באפשרותך להפוך אותם לזמינים על-ידי שינוי הרישום כמתואר בסעיף "הגדרת רישום כדי להפעיל או להשבית את שינויי ההקשחה" להלן. השלב השני של עדכוני DCOM שוחרר ב-14 ביוני 2022. פעולה זו שינתה את ההקשחה לזמינה כברירת מחדל, אך שמרה על היכולת להפוך את השינויים ללא זמינים באמצעות הגדרות מפתח רישום. השלב האחרון של עדכוני DCOM ישוחרר במרץ 2023. זה ישמור על הקשחת ה-DCOM מופעלת ויסיר את היכולת להשבית אותה.
ציר זמן
| מהדורת עדכון | שינוי באופן הפעולה |
|---|---|
| יוני 8, 2021 | מהדורה שלב 1 - שינויי הקשחה אינם זמינים כברירת מחדל, אך עם היכולת להפעיל אותם באמצעות מפתח רישום. |
| 14 ביוני 2022 | מהדורת שלב 2 - שינויי הקשחה מופעלים כברירת מחדל, אך עם היכולת להשבית אותם באמצעות מפתח רישום. |
| במרץ 14, 2023 | מהדורת שלב 3 - שינויי הקשחה מופעלים כברירת מחדל ללא יכולת להשבית אותם. בשלב זה, עליך לפתור את כל בעיות התאימות עם שינויי ההתקשות והיישומים בסביבה שלך. |
בדיקת תאימות להקשחת DCOM
אירועי שגיאה חדשים של DCOM
כדי לעזור לך לזהות את היישומים שעשויים להיתקל בבעיות תאימות לאחר שנאפשר שינויי הקשחה של אבטחת DCOM, הוספנו אירועי שגיאה חדשים של DCOM ביומן המערכת. עיין בטבלאות שלהלן. המערכת תרשום אירועים אלה אם תזהה שיישום לקוח DCOM מנסה להפעיל שרת DCOM באמצעות רמת אימות נמוכה מ-RPC_C_AUTHN_LEVEL_PKT_INTEGRITY. באפשרותך לעקוב אחר מכשיר הלקוח מיומן האירועים בצד השרת ולהשתמש ביומני אירועים בצד הלקוח כדי למצוא את היישום.
אירועי שרת - לציין שהשרת מקבל בקשות ברמה נמוכה יותר
| מזהה האירוע | הודעה |
|---|---|
| 10036 | "מדיניות רמת האימות בצד השרת אינה מאפשרת למשתמש %1\%2 SID (%3) מכתובת %4 להפעיל שרת DCOM. הרם את רמת אימות ההפעלה לפחות כדי RPC_C_AUTHN_LEVEL_PKT_INTEGRITY ביישום הלקוח." (%1 – תחום, %2 – שם משתמש, %3 – SID של משתמש, %4 – כתובת IP של לקוח) |
אירועי לקוח – מציינים איזה יישום שולח בקשות ברמה נמוכה יותר
| מזהה האירוע | הודעה |
|---|---|
| 10037 | "יישום %1 עם PID %2 מבקש להפעיל את CLSID %3 במחשב %4 עם רמת אימות מוגדרת במפורש ב-%5. רמת אימות ההפעלה הנמוכה ביותר הנדרשת על-ידי DCOM היא 5(RPC_C_AUTHN_LEVEL_PKT_INTEGRITY). כדי להעלות את רמת אימות ההפעלה, פנה לספק היישום." |
| 10038 | "יישום %1 עם PID %2 מבקש להפעיל את CLSID %3 במחשב %4 עם רמת אימות הפעלה ברירת מחדל ב-%5. רמת אימות ההפעלה הנמוכה ביותר הנדרשת על-ידי DCOM היא 5(RPC_C_AUTHN_LEVEL_PKT_INTEGRITY). כדי להעלות את רמת אימות ההפעלה, פנה לספק היישום." (%1 – נתיב יישום, %2 – יישום PID, %3 – CLSID של מחלקת ה-COM שהיישום מבקש להפעיל, %4 – שם מחשב, %5 – ערך רמת אימות) |
זמינות
אירועי שגיאה אלה זמינים רק עבור קבוצת משנה של גירסאות Windows; עיין בטבלה שלהלן.
| גירסת Windows | זמין בתאריכים אלה או אחריהם |
|---|---|
| Windows Server 2022 | עדכון אחרון: 27 בספטמבר 2021 KB5005619 |
| Windows 10, גירסה 2004, Windows 10, גירסה 20H2, Windows 10, גירסה 21H1 | עדכון אחרון: 1 בספטמבר 2021 KB5005101 |
| Windows 10, גירסה 1909 | אוגוסט 26, 2021 KB5005103 |
| Windows Server 2019, Windows 10, גירסה 1809 | אוגוסט 26, 2021 KB5005102 |
| Windows Server 2016, Windows 10, גרסה 1607 | 14 בספטמבר 2021 KB5005573 |
| Windows Server 2012 R2 ו- Windows 8.1 | 12 באוקטובר 2021 KB5006714 |
| Windows 11, גירסה 22H2 | ספטמבר 30, 2022 KB5017389 |
תיקון העלאה אוטומטית של בקשה בצד הלקוח
רמת האימות של כל בקשות ההפעלה שאינן אנונימיות
כדי לעזור להפחית בעיות תאימות של אפליקציות, העלנו באופן אוטומטי את רמת האימות עבור כל בקשות ההפעלה שאינן אנונימיות מלקוחות DCOM מבוססי Windows כדי RPC_C_AUTHN_LEVEL_PKT_INTEGRITY לכל הפחות. עם שינוי זה, רוב בקשות לקוח DCOM מבוססות Windows יתקבלו אוטומטית עם שינויי הקשחת DCOM המופעלים בצד השרת ללא כל שינוי נוסף בלקוח DCOM. בנוסף, רוב לקוחות Windows DCOM יעבדו באופן אוטומטי עם שינויי הקשחה של DCOM בצד השרת ללא כל שינוי נוסף בלקוח DCOM.
הערה תיקון זה ימשיך להיכלל בעדכונים המצטברים.
ציר הזמן לעדכון תיקונים
מאז השחרור הראשוני בנובמבר 2022, לתיקון ההגבהה האוטומטית היו כמה עדכונים.
עדכון נובמבר 2022
- עדכון זה העלה באופן אוטומטי את רמת אימות ההפעלה לתקינות מנות. שינוי זה אינו זמין כברירת מחדל ב- Windows Server 2016 וב- Windows Server 2019.
עדכון דצמבר 2022
- השינוי מנובמבר הופעל כברירת מחדל עבור Windows Server 2016 ו- Windows Server 2019.
- עדכון זה טיפל גם בבעיה שהשפיעה על הפעלה אנונימית ב- Windows Server 2016 וב- Windows Server 2019.
עדכון ינואר 2023
- עדכון זה טופל בבעיה שהשפיעה על הפעלה אנונימית בפלטפורמות מ- Windows Server 2008 עד Windows 10 (הגירסה הראשונית שהופצה ביולי 2015).
אם התקנת את עדכוני האבטחה המצטברים החל מינואר 2023 בלקוחות ובשרתים שלך, התיקון האחרון של העלאה אוטומטית יופעל במלואו.
הגדרת רישום כדי להפוך את שינויי ההקשחה לזמינים או ללא זמינים
במהלך שלבי ציר הזמן שבהם ניתן להפעיל או להשבית את שינויי ההקשחה עבור CVE-2021-26414, באפשרותך להשתמש במפתח הרישום הבא:
- נתיב: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\AppCompat
- שם ערך: "RequireIntegrityActivationAuthenticationLevel"
- סוג: dword
- נתוני ערך: default= 0x00000000 פירושו לא זמין. 0x00000001 פירושו זמין. אם ערך זה אינו מוגדר, הוא יהפוך לזמין כברירת מחדל.
הערה עליך להזין נתוני ערך בתבנית הקסדצימאלית.
חשוב עליך להפעיל מחדש את המכשיר לאחר הגדרת מפתח הרישום כדי שייכנס לתוקף.
הערה הפעלת מפתח הרישום לעיל תגרום לשרתי DCOM לאכוף Authentication-Level של RPC_C_AUTHN_LEVEL_PKT_INTEGRITY ומעלה להפעלה. פעולה זו אינה משפיעה על הפעלה אנונימית (הפעלה באמצעות רמת אימות RPC_C_AUTHN_LEVEL_NONE). אם שרת DCOM מאפשר הפעלה אנונימית, הוא עדיין יהיה מותר גם כאשר שינויי הקשחת DCOM מופעלים.
הערה ערך רישום זה אינו קיים כברירת מחדל; אתה חייב ליצור אותו. Windows יקרא אותו אם הוא קיים ולא יחליף אותו.
הערה התקנה של עדכונים מאוחרים יותר לא תשנה ולא תסיר את ערכי הרישום וההגדרות הקיימים.