KB4598347: upravljanje implementacijom Kerberos S4U promjena za CVE-2020-17049

8. prosinca 2020: faza početne implementacije

Početna faza implementacije započinje pomoću servisa Windows Update objavljenom u prosincu 8, 2020, a nastavlja se s kasnijim ažuriranjem sustava Windows za fazu provedbe. Ta i novija ažuriranja sustava Windows mijenjaju se u Kerberos. Ovaj Prosinac 8, 2020 Update sadrži ispravke za sve poznate probleme koje je prvobitno uveo 10. studenog 2020, izdanje CVE-2020-17049. Ovo ažuriranje dodaje i podršku za Windows Server 2008 SP2 i Windows Server 2008 R2.

Ovo izdanje:

• Adrese CVE-2020-17049 (u načinu implementacije po zadanom).

• Dodaje podršku za vrijednost registra Performticketsignature radi omogućivanja zaštite na poslužiteljima kontrolera domene servisa Active Directory. Ta vrijednost po zadanom ne postoji.

Ublažavanje promjene sastoji se od instalacije ažuriranja sustava Windows na svim uređajima koji su domaćin uloge kontrolera domene Active Directory i kontroleri domena samo za čitanje (RODCs), a zatim Omogućavanje načina provedbe.

13. travnja 2021: druga faza implementacije

Druga faza implementacije počinje pomoću servisa Windows Update izdan 13. travnja 2021. Ova faza uklanja postavku Performticketsignature0. Postavljanje Performticketsignatura na 0 nakon instalacije ovog ažuriranja imat će isti učinak kao i postavljanje performticketsignature na 1. Funkcija DB bit će u načinu implementacije.

Napomene

• Ova faza nije potrebna ako Performticketsignature nikada nije postavljen na 0 u vašem okruženju. Ova faza pridonosi tome da se korisnici koji su postavili Performticketsignature na 0 premještaju na postavku 1 prije faze provedbe .

• Uz implementaciju ažuriranja za Travanj 13, 2021, postavljanje Performticketsignature na 1 omogućit će obnovljive servisne karte. To je promjena u ponašanju od pre-Travanj 2021 ažuriranja sustava Windows prilikom postavljanja Performticketsignature na 1 koji je uzrokovao neobnovljive ulaznice za servis.

• Ovo ažuriranje pretpostavlja da se svi kontroleri domena ažuriraju pomoću ažuriranja ili novija ažuriranja za 2020.

• Kada instalirate ovo ažuriranje i ručno ili programsko postavljanje Performticketsignature na 1 ili noviji, nepodržani Kontroleri domene sustava Windows neće više raditi s podržanim kontrolorima domena. To obuhvaća Windows Server 2008 i Windows Server 2008 R2 bez proširenih sigurnosnih ažuriranja (ESU) i Windows Server 2003.

Srpanj 13, 2021: faza provedbe

Srpanj 13, 2021 release prijelaze u fazu provedbe. Faza provedbe nameće promjene u adresi CVE-2020-17049. Kontroleri domena servisa Active Directory sada su sposobni za provedbu načina rada. U načinu rada za provedbu zahtijeva se da svi kontroleri domena servisa Active Directory imaju instaliran Update za Prosinac 8, 2020 ili noviji Windows Update. U ovom će se trenutku postavke ključa registra Performticketsignature ignorirati i način provedbe nije moguće nadjačati. 

Prije instaliranja ovog ažuriranja

Da biste primijenili ovo ažuriranje, morate imati instaliranu sljedeću potrebnu nadogradnju. Ako koristite Windows Update, ta će se obavezna ažuriranja ponuditi automatski po potrebi.

• Morate imati verziju SHA-2 Update (KB4474419) koja datira iz rujna 23, 2019 ili novije ažuriranje Sha-2, a zatim ponovno pokrenite uređaj prije nego što primijenite ovo ažuriranje. Dodatne informacije o promjenama u programu SHA-2 potražite u članku 2019 Sha-2 kod potpisivanja zahtjeva za podršku za Windows i WSUS.

• Za Windows Server 2008 R2 SP1 morate imati instaliran servis za ažuriranje stog (SSU) (KB4490628) koji je datirani Ožujak 12, 2019. Kada instalirate Update KB4490628 , preporučujemo vam da instalirate najnovije SSU ažuriranje. Dodatne informacije o najnovijem ažuriranju SSU-a potražite u članku ADV990001 | Najnovija ažuriranja stogservisa.

• Za Windows Server 2008 SP2 morate imati instaliran servis za ažuriranje stog (SSU) (KB4493730) koji je datiran od travnja 9, 2019. Kada instalirate Update KB4493730 , preporučujemo vam da instalirate najnovije SSU ažuriranje. Dodatne informacije o najnovijim promjenama u SSU-u potražite u članku ADV990001 | Najnovija ažuriranja stogservisa.

• Kupci su obavezni kupiti prošireno Sigurnosno ažuriranje (ESU) za lokalne verzije sustava Windows Server 2008 SP2 ili Windows Server 2008 R2 SP1 nakon proširene podrške koja je završila u siječnju 14., 2020. Kupci koji su kupili ESU moraju pratiti procedure u KB4522133 da bi nastavili primati sigurnosne ažuriranja. Dodatne informacije o ESU i izdanjima koji su podržani potražite u članku KB4497181.

Važno Nakon instalacije tih potrebnih ažuriranja morate ponovno pokrenuti uređaj.

Instalacija svih ažuriranja

Da biste riješili sigurnosnu ranjivost, instalirajte sva ažuriranja u sustavu Windows i omogućite provedbu način rada tako da slijedite ove korake:

1. Implementirajte najmanje jedno od ažuriranja između 8. prosinca 2020 i Ožujak 9, 2021 u sve kontrolori domena servisa Active Directory u šumi.

2. Implementacija 12. travnja 2021 ažurirati najmanje jedan ili više tjedana nakon prvog koraka.

3. Nakon ažuriranja svih kontrolera domena servisa Active Directory, Pričekajte najmanje cijeli tjedan da biste dopustili svim neizvršenim servisima za korisnike (S4U2self) Kerberos servisne karte da izbudu, a zatim potpunu zaštitu možete omogućiti tako da implementirate način provedbe kontrolora domene servisa Active Directory.
   
   Bilješke

   • Ako ste promijenili vrijeme isteka ulaznice za Kerberos iz zadanih postavki (zadano je 7 dana), morate čekati najmanje broj dana kao što je konfigurirano u vašem okruženju.

   • U sljedećim se koracima pretpostavlja da Performticketsignature nikada nije postavljen na 0 u vašem okruženju. Ako je Performticketsignature postavljen na 0, morate se premjestiti na postavku 1 prije premještanja na postavku 2 (provedba mode) i čekati najmanje tjedan dana da biste dozvolili da svi otvoreni servisi za korisnika u samostalnu (S4U2self) Kerberos usluge ulaznice isteču. Ne morate se kretati izravno od postavljanja 0 do postavke 2 (način provedbe).

Prvi korak: instalacija ažuriranja za Windows

Instalirajte odgovarajuće Windows Update za Prosinac 8, 2020 ili noviji Windows Update na sve uređaje koji su domaćini uloge kontrolora domene servisa Active Directory u šumi, uključujući kontrolori domena samo za čitanje.

Drugi korak: Omogućivanje rada za provedbu

Nakon ažuriranja svih uređaja koji su domaćini uloge kontrolera domene servisa Active Directory, Pričekajte najmanje cijeli tjedan da biste dopustili da svi neplaćeni ulaznice za S4U2self Kerberos istekne. Zatim omogućite potpunu zaštitu tako da implementirate način provedbe. Da biste to učinili, omogućite ključ registra rada za provedbu.

Upozorenje Ako neispravno mijenjate registar pomoću uređivača registra ili pomoću nekog drugog načina, može doći do ozbiljnih problema. Za te probleme možda će biti potrebno ponovno instalirati operacijski sustav. Microsoft ne može jamčiti da će se ti problemi riješiti. Izmijenite registar na vlastitu odgovornost.

Napomena Ovo ažuriranje uvodi podršku za sljedeću vrijednost registra da bi se omogućio način provedbe. Ta se vrijednost registra ne stvara tako da instalirate ovo ažuriranje. Ovu vrijednost registra morate dodati ručno.