Fontos
A cikkben korábban jelzett kiadási dátumok megváltoztak. Kérjük, vegye figyelembe az új kiadási dátumokat a "Művelet" és "A Windows-frissítések időzítése" szakaszokban.
Összegzés
Biztonsági funkció kikerülését okozó biztonsági biztonsági rést okoz az a mód, ahogyan a kulcsszolgáltató ( KDC) megállapítja, hogy egy Kerberos-szolgáltatási jegy használható-e a Kerberos korlátozott delegáláson (KCD) keresztüli delegálásra. A biztonsági rés kihasználása érdekében egy feltört, KCD használatára konfigurált szolgáltatás illetéktelenül módosíthatja a delegálásra nem érvényes Kerberos-szolgáltatási jegyet, és így kényszerítheti a KDC-t annak elfogadására. Ezek a Windows-frissítések a biztonsági rés megszüntetésére megváltoztatják, hogy a KDC hogyan ellenőrzi a KCD-vel használt Kerberos-szolgáltatási jegyeket.
További információ erről a biztonsági résről: CVE-2020-17049.
|
Művelet A környezet védelme és a szolgáltatáskimaradások megelőzése érdekében kövesse az alábbi lépéseket:
|
|---|
Ezen Windows-frissítések időzítése
Ezek a Windows-frissítések három fázisban jelennek meg:
- A 2020. december 8-án vagy azt követően kiadott Windows-frissítések kezdeti központi telepítési fázisa.
- A második telepítési fázis, amely eltávolítja a 0-sPerformTicketSignature 0-es beállítást, és az 1-es vagy a 2-es beállítást igényli 2021. április 13-án vagy azt követően.
- A 2021. július 13-án vagy azt követően kiadott Windows-frissítések kényszerítési fázisa.
2020. december 8.: Kezdeti központi telepítési fázis
A kezdeti központi telepítési fázis a 2020. december 8-án kiadott Windows-frissítéssel kezdődik, és egy későbbi Windows-frissítéssel folytatódik a kényszerítési szakaszhoz. Ezek és a későbbi Windows-frissítések módosítják a Kerberos nyelvet. Ez a 2020. december 8-i frissítés tartalmazza az összes ismert probléma javítását, amelyet eredetileg a CVE-2020-17049 2020. november 10-i kiadása vezetett be. Ez a frissítés emellett támogatja a Windows Server 2008 SP2 és a Windows Server 2008 R2 rendszert is.
Ez a kiadás:
- Kijavítottuk a CVE-2020-17049-et (alapértelmezés szerint üzembe helyezési módban).
- Támogatja a PerformTicketSignature beállításazonosítót az Active Directory tartományvezérlő-kiszolgálók védelmének engedélyezéséhez. Ez az érték alapértelmezés szerint nem létezik.
A megoldás a Windows-frissítések telepítéséből áll az Active Directory tartományvezérlői szerepkört futtató összes eszközön és az írásvédett tartományvezérlőkön (RODC-k), majd a kényszerítési mód engedélyezéséből.
2021. április 13.: Második központi telepítési fázis
A második központi telepítési fázis a 2021. április 13-án kiadott Windows-frissítéssel kezdődik. Ez a fázis eltávolítja a PerformTicketSignature0-s beállítását. A PerformTicketSignature0-ra állítása a frissítés telepítése után ugyanazzal a hatással lesz, mintha a PerformTicketSignatureértékét 1-re állítaná. A tartományvezérlők üzembehelyezési módban lesznek.
Megjegyzések
- Ez a fázis nem szükséges, ha a PerformTicketSignature soha nem lett 0-ra állítva a környezetben. Ezzel a fázissal biztosítható, hogy a PerformTicketSignatureértékét 0 értékre állító ügyfelek a kényszerítési fázis előtt átkerüljenek az 1-es beállításra.
- A 2021. április 13-i frissítések üzembe helyezésével a PerformTicketSignature1 értékre állítása lehetővé teszi a szolgáltatási jegyek megújítását. Ez egy változás a 2021 áprilisa előtti Windows-Frissítések viselkedésében, amikor a PerformTicketSignatureértékét 1-re állították, ami miatt a szolgáltatási jegyek nem voltak megújíthatók.
- Ez a frissítés azt feltételezi, hogy az összes tartományvezérlő frissül a 2020. december 8-i vagy újabb frissítésekkel.
- A frissítés telepítése, valamint a PerformTicketSignature1 vagy újabb értékre való manuális vagy programozott beállítása után a nem támogatott Windows Server tartományvezérlők többé nem fognak működni a támogatott tartományvezérlőkkel. Ide tartozik a Windows Server 2008 és a Windows Server 2008 R2 Meghosszabbított biztonsági Frissítések (ESU) nélkül, valamint a Windows Server 2003.
2021. július 13.: Végrehajtási szakasz
A 2021. július 13-i kiadás végrehajtási fázisba lép. A végrehajtási szakaszban érvénybe léptetjük a módosításokat a CVE-2020-17049 hiba elhárítása érdekében. Az Active Directory tartományvezérlői most már képesek kényszerítési módra. A kényszerítési módra váltáshoz minden Active Directory tartományvezérlőn telepítve kell lennie a 2020. december 8-i vagy újabb Windows-frissítésnek. Ekkor a rendszer figyelmen kívül hagyja a PerformTicketSignature beállításkulcs beállításait, és a kényszerítési módot nem lehet felülírni.
Telepítési útmutató
A frissítés telepítése előtt
A frissítés telepítése előtt telepítenie kell a következő szükséges frissítéseket. A Windows Update használata esetén a rendszer automatikusan felajánlja ezeket a szükséges frissítéseket szükség szerint.
- A frissítés telepítése előtt rendelkeznie kell az egy 2019. szeptember 23-i vagy későbbi SHA-2 frissítéssel(KB4474419), amelynek a telepítése után újra kell indítani az eszközt. A SHA-2 frissítésekkel kapcsolatos további információkért tekintse meg a 2019 SHA-2-kódaláírás támogatási követelménye Windowshoz és WSUS-hez című témakört.
- A Windows Server 2008 R2 SP1 rendszerhez telepítenie kell a 2019. március 12-i összegző frissítést (SSU) (KB4490628). A KB4490628 frissítés telepítése után javasoljuk, hogy telepítse a legújabb SSU-frissítést. A legújabb SSU-frissítéssel kapcsolatos további információkért lásd: ADV990001 | A szervizelési stack legújabb Frissítések.
- A Windows Server 2008 SP2 rendszerhez telepítenie kell a 2019. április 9-i összegző frissítést (SSU) (KB4493730). A KB4493730 frissítés telepítése után javasoljuk, hogy telepítse a legújabb SSU-frissítést. A legújabb SSU-frissítésekkel kapcsolatos további információkért lásd: ADV990001 | A szervizelési stack legújabb Frissítések.
- A meghosszabbított támogatás 2020. január 14-i megszűnését követően az ügyfeleknek meg kell vásárolniuk a Windows Server 2008 SP2 vagy a Windows Server 2008 R2 SP1 helyszíni verzióihoz készült meghosszabbított biztonsági frissítést (ESU). Az ESU-t megvásároló ügyfeleknek az KB4522133 alábbi eljárásait kell követniük, hogy továbbra is megkapják a biztonsági frissítéseket. Az ESU-ra vonatkozó további információkat, valamint a támogatott kiadásokat a KB4497181 jelű cikkben találja.
Fontos: A szükséges frissítések telepítése után újra kell indítani az eszközt.
Az összes frissítés telepítése
A biztonsági rés elhárításához telepítse az összes Windows-frissítést, és engedélyezze a kényszerítési módot az alábbi lépéseket követve:
2020. december 8. és 2021. március 9. közötti frissítések közül legalább az egyiket telepítse az erdő összes Active Directory tartományvezérlőjére.
Az 1. lépés után legalább egy vagy több héttel telepítse a 2021. április 12-i frissítést.
Az összes Active Directory-tartományvezérlő frissítése után várjon legalább egy teljes hetet , hogy az összes függőben lévő Felhasználónak szóló Kerberos-szolgáltatásjegy (S4U2self) lejárjon, majd az Active Directory tartományvezérlő kényszerítési módjának telepítésével engedélyezhető a teljes körű.
Megjegyzések
- Ha az alapértelmezett beállításokról (alapértelmezés 7 nap) módosította a Kerberos-szolgáltatási jegyek lejárati idejét, akkor legalább annyi napot kell várnia, amennyi a környezetében konfigurálva van.
- Ezek a lépések azt feltételezik, hogy a PerformTicketSignature még soha nem lett 0-ra állítva a környezetben. Ha a PerformTicketSignature értéke 0, akkor a 2-es beállítás (Kényszerítési mód) előtt lépjen az 1-es beállításra, és várjon legalább egy hetet, hogy minden függőben lévő Felhasználó (S4U2self) Kerberos-szolgáltatási jegy lejárjon. A 0 beállításról ne lépjen közvetlenül a 2-es beállításra (Kényszerítési mód).
1. lépés: Windows-frissítések telepítése
Telepítse a megfelelő 2020. december 8-i vagy későbbi Windows-frissítést minden olyan eszközre, amely Active Directory tartományvezérlői szerepkört üzemeltet az erdőben, beleértve az írásvédett tartományvezérlőket is.
2020. december 8-i frissítések
| Windows Server-termék | Tudásbázis # | A frissítés típusa |
|---|---|---|
| Windows Server, 20H2-es verzió (Server Core telepítés) | 4592438 | Biztonsági frissítés |
| Windows Server, 2004-es verzió (Server Core telepítés) | 4592438 | Biztonsági frissítés |
| Windows Server, 1909-es verzió (Server Core telepítés) | 4592449 | Biztonsági frissítés |
| Windows Server, 1903-as verzió (Server Core telepítés) | 4592449 | Biztonsági frissítés |
| Windows Server 2019 (Server Core telepítés) | 4592440 | Biztonsági frissítés |
| Windows Server 2019 | 4592440 | Biztonsági frissítés |
| Windows Server 2016 (Server Core telepítés) | 4593226 | Biztonsági frissítés |
| Windows Server 2016 | 4593226 | Biztonsági frissítés |
| Windows Server 2012 R2 (Server Core telepítés) | 4592484 | Havi kumulatív frissítés |
| 4592495 | Csak biztonság | |
| Windows Server 2012 R2 | 4592484 | Havi kumulatív frissítés |
| 4592495 | Csak biztonság | |
| Windows Server 2012 (Server Core telepítés) | 4592468 | Havi kumulatív frissítés |
| 4592497 | Csak biztonság | |
| Windows Server 2012 | 4592468 | Havi kumulatív frissítés |
| 4592497 | Csak biztonság | |
| Windows Server 2008 R2 Service Pack 1 | 4592471 | Havi kumulatív frissítés |
| 4592503 | Csak biztonság | |
| Windows Server 2008 Service Pack 2 | 4592498 | Havi kumulatív frissítés |
| 4592504 | Csak biztonság |
2. lépés: A kényszerítési mód engedélyezése
Miután az Active Directory tartományvezérlői szerepkört üzemeltető összes eszköz frissült, várjon legalább egy teljes hetet , hogy minden függőben lévő S4U2Self Kerberos szolgáltatási jegy lejárjon. Ezután engedélyezze a teljes védelmet kényszerítési mód telepítésével. Ehhez engedélyezze a kényszerítési mód beállításkulcsot.
Figyelmeztetés Ha helytelenül módosítja a beállításjegyzéket a Beállításszerkesztővel vagy más módszerrel, az komoly problémákhoz vezethet. Ilyen problémák esetén még az operációs rendszer újratelepítésére is szükség lehet. A Microsoft nem garantálja a szóban forgó problémák megoldhatóságát. A beállításjegyzéket saját felelősségére módosíthatja.
Megjegyzés Ez a frissítés a kényszerítési mód engedélyezéséhez a következő beállításazonosító támogatását teszi lehetővé. Ez a beállításazonosító nem jön létre a frissítés telepítésével. Ezt a beállításazonosítót manuálisan kell hozzáadnia.
| Beállításjegyzékbeli alkulcs | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Kdc |
|---|---|
| Érték | PerformTicketSignature |
| Adattípus | REG_DWORD |
| Adatok |
1: Engedélyezi a központi telepítési módot. A javítás engedélyezve van a tartományvezérlőn, de az Active Directory tartományvezérlő nem követeli meg, hogy a Kerberos szolgáltatásjegyek megfeleljenek a javításnak. Ez a mód támogatja a jegyaláírásokat a CVE-2020-17049 frissített tartományvezérlőkön, de a tartományvezérlők nem igényelnek jegyek aláírását. Ez lehetővé teszi a kezdeti központi telepítési fázis (a decemberi kezdeti központi telepítési frissítésre frissített tartományvezérlők) és a frissített tartományvezérlők párhuzamos telepítését. Az összes tartományvezérlő frissítésével és az 1-es beállításnál minden új jegy alá lesz írva. Ebben a módban az új jegyek megújíthatóként lesznek megjelölve. 2: Kényszerítési mód engedélyezése Ez kötelező módban engedélyezi a javítást, ahol az összes tartományt frissíteni kell, és minden Active Directory-tartományvezérlőhöz aláírással ellátott Kerberos-szolgáltatási jegyek szükségesek. Ezzel a beállítással minden jegyet alá kell írni ahhoz, hogy érvényesnek minősüljön. Ebben a módban a jegyek ismét megújíthatóként lesznek megjelölve. 0: Nem ajánlott. Letiltja a Kerberos-szolgáltatásjegyek aláírásait, és tartományai nem lesznek védettek. Fontos: A 0-s beállítás nem kompatibilis a 2. kényszerítési beállítással. Időnként hitelesítési hibák léphetnek fel, ha a kényszerítési módot egy későbbi szakaszban alkalmazza, miközben a tartomány 0 értékre van állítva. Javasoljuk az ügyfeleknek, hogy a végrehajtási szakasz előtt térjenek át az 1-es beállításra (legalább egy héttel a végrehajtás alkalmazása előtt). |
| Alapértelmezett | 1 (ha a beállításkulcs nincs beállítva) |
| Szükség van újraindításra? | Nem |