KB5020805: Cara mengelola perubahan protokol Kerberos yang terkait dengan CVE-2022-37967

Di artikel ini

• Ringkasan
• Waktu pembaruan untuk alamat CVE-2022-37967
• Panduan penyebaran
• Pengaturan kunci registri
• Peristiwa Windows yang terkait dengan CVE-2022-37967
• Perangkat pihak ketiga yang menerapkan protokol Kerberos
• Glosarium

Ringkasan

Pembaruan Windows 8 November 2022 membahas bypass keamanan dan peningkatan kerentanan hak istimewa dengan tanda tangan Privilege Attribute Certificate (PAC). Pembaruan keamanan ini mengatasi kerentanan Kerberos di mana penyerang dapat mengubah tanda tangan PAC secara digital, sehingga meningkatkan hak istimewa mereka.

Untuk membantu mengamankan lingkungan Anda, instal pembaruan Windows ini ke semua perangkat, termasuk pengontrol domain Windows. Semua pengontrol domain di domain Anda harus diperbarui terlebih dahulu sebelum mengalihkan pembaruan ke mode Diterapkan.

Untuk mempelajari selengkapnya tentang kerentanan ini, lihat CVE-2022-37967.

Mengambil tindakan

Untuk membantu melindungi lingkungan dan mencegah pemadaman, kami menyarankan Anda melakukan langkah-langkah berikut:

1. PERBARUI pengontrol domain Windows Anda dengan pembaruan Windows yang dirilis pada atau setelah 8 November 2022.
2. PINDAHKAN pengontrol domain Windows Anda ke mode Audit menggunakan bagian pengaturan Kunci Registri .
3. PANTAU peristiwa yang diajukan selama mode Audit untuk mengamankan lingkungan Anda.
4. AKTIFKAN Mode penegakan untuk menangani CVE-2022-37967 di lingkungan Anda.

catatan Langkah 1 menginstal pembaruan yang dirilis pada atau setelah 8 November 2022 TIDAK akan mengatasi masalah keamanan di CVE-2022-37967 untuk perangkat Windows secara default. Untuk sepenuhnya mengurangi masalah keamanan untuk semua perangkat, Anda harus beralih ke mode Audit (diuraikan pada Langkah 2) diikuti dengan mode Diterapkan (diuraikan pada Langkah 4) sesegera mungkin di semua pengontrol domain Windows.

Penting Mulai Juli 2023, mode Penegakan akan diaktifkan di semua pengontrol domain Windows dan akan memblokir koneksi rentan dari perangkat yang tidak sesuai.  Pada saat itu, Anda tidak akan dapat menonaktifkan pembaruan, tetapi dapat kembali ke pengaturan mode Audit. Mode audit akan dihapus pada Oktober 2023, seperti yang diuraikan di bagian Pengaturan waktu pembaruan untuk mengatasi kerentanan Kerberos CVE-2022-37967 .

Waktu pembaruan untuk alamat CVE-2022-37967

Updates akan dirilis secara bertahap: fase awal untuk pembaruan yang dirilis pada atau setelah 8 November 2022 dan fase Penerapan untuk pembaruan yang dirilis pada atau setelah 13 Juni 2023.

8 November 2022 - Tahap penerapan awal

Fase penyebaran awal dimulai dengan pembaruan yang dirilis pada 8 November 2022 dan berlanjut dengan pembaruan Windows selanjutnya hingga fase Penegakan. Pembaruan ini menambahkan tanda tangan ke buffer PAC Kerberos tetapi tidak memeriksa tanda tangan selama autentikasi. Dengan demikian, mode aman dinonaktifkan secara default.

Pembaruan ini:

• Menambahkan tanda tangan PAC ke buffer PAC Kerberos.
• Menambahkan langkah-langkah untuk mengatasi kerentanan melewati keamanan dalam protokol Kerberos.

13 Desember 2022 - Tahap penerapan kedua

Fase penyebaran kedua dimulai dengan pembaruan yang dirilis pada 13 Desember 2022. Pembaruan ini dan yang lebih baru membuat perubahan pada protokol Kerberos untuk mengaudit perangkat Windows dengan memindahkan pengontrol domain Windows ke mode Audit.

Dengan pembaruan ini, semua perangkat akan berada dalam mode Audit secara default:

• Jika tanda tangan hilang atau tidak valid, autentikasi diperbolehkan. Selain itu, log audit akan dibuat.
• Jika tanda tangan hilang, munculkan peristiwa dan izinkan autentikasi.
• Jika tanda tangan ada, validasi. Jika tanda tangan salah, munculkan kejadian dan izinkan autentikasi.

13 Juni 2023 - Tahap penerapan ketiga

Pembaruan Windows yang dirilis pada atau setelah 13 Juni 2023 akan melakukan hal berikut:

• Hapus kemampuan untuk menonaktifkan penambahan tanda tangan PAC dengan mengatur subkey KrbtgtFullPacSignature ke nilai 0.

11 Juli 2023 - Tahap Penegakan Awal

Pembaruan Windows yang dirilis pada atau setelah 11 Juli 2023 akan melakukan hal berikut:

• Menghapus kemampuan untuk mengatur nilai 1 untuk subkey KrbtgtFullPacSignature .
• Memindahkan pembaruan ke mode Penegakan (Default) (KrbtgtFullPacSignature = 3), yang dapat ditimpa oleh Administrator dengan pengaturan Audit eksplisit.

10 Oktober 2023 - Fase Penegakan Penuh

Pembaruan Windows yang dirilis pada atau setelah 10 Oktober 2023 akan melakukan hal berikut:

• Menghapus dukungan untuk subkey registri KrbtgtFullPacSignature.
• Menghapus dukungan untuk mode Audit.
• Semua tiket layanan tanpa tanda tangan PAC baru akan ditolak autentikasi.

Panduan penyebaran

Untuk menyebarkan pembaruan Windows yang tertanggal 8 November 2022 atau pembaruan Windows yang lebih baru, ikuti langkah-langkah berikut:

1. PERBARUI pengontrol domain Windows Anda dengan pembaruan yang dirilis pada atau setelah 8 November 2022.
2. PINDAHKAN pengontrol domain Anda ke mode Audit menggunakan bagian pengaturan Kunci Registri .
3. PANTAU peristiwa yang diajukan selama mode Audit untuk membantu mengamankan lingkungan Anda.
4. AKTIFKAN Mode penegakan untuk menangani CVE-2022-37967 di lingkungan Anda.

LANGKAH 1: PERBARUI

Sebarkan pembaruan 8 November 2022 atau yang lebih baru ke semua pengontrol domain (DC) Windows yang berlaku. Setelah menyebarkan pembaruan, tanda tangan pengontrol domain Windows yang telah diperbarui akan memiliki tanda tangan yang ditambahkan ke Buffer PAC Kerberos dan akan tidak aman secara default (tanda tangan PAC tidak divalidasi).

• Saat memperbarui, pastikan untuk mempertahankan nilai registri KrbtgtFullPacSignature dalam status default hingga semua pengontrol domain Windows diperbarui.

LANGKAH 2: PINDAHKAN

Setelah pengontrol domain Windows diperbarui, beralihlah ke mode Audit dengan mengubah nilai KrbtgtFullPacSignature menjadi 2.

LANGKAH 3: TEMUKAN/PANTAU

Identifikasi area yang kehilangan tanda tangan PAC atau memiliki Tanda Tangan PAC yang gagal validasi melalui Log Peristiwa yang dipicu selama mode Audit.

• Pastikan tingkat fungsional domain diatur ke setidaknya 2008 atau lebih tinggi sebelum beralih ke mode Penegakan. Beralih ke mode Penegakan dengan domain di tingkat fungsional domain 2003 dapat mengakibatkan kegagalan autentikasi.
• Peristiwa audit akan muncul jika domain Anda belum diperbarui sepenuhnya, atau jika tiket layanan yang diterbitkan sebelumnya masih ada di domain Anda.
• Lanjutkan memantau log kejadian tambahan yang diajukan yang menunjukkan tanda tangan PAC yang hilang atau kegagalan validasi tanda tangan PAC yang ada.
• Setelah seluruh domain diperbarui dan semua tiket terutang telah kedaluwarsa, kejadian audit tidak akan muncul lagi. Kemudian, Anda seharusnya dapat berpindah ke mode Penegakan tanpa kegagalan.

LANGKAH 4: AKTIFKAN

Aktifkan mode Penerapan untuk menangani CVE-2022-37967 di lingkungan Anda.

• Setelah semua kejadian audit diselesaikan dan tidak lagi muncul, pindahkan domain Anda ke mode Penegakan dengan memperbarui nilai registri KrbtgtFullPacSignature seperti yang dijelaskan di bagian pengaturan Kunci Registri .
• Jika tiket layanan memiliki tanda tangan PAC yang tidak valid atau tidak memiliki tanda tangan PAC, validasi akan gagal dan kejadian kesalahan akan dicatat.

Pengaturan kunci registri

Protokol Kerberos

Setelah menginstal pembaruan Windows yang tertanggal pada atau setelah 8 November 2022, kunci registri berikut tersedia untuk protokol Kerberos:

• KrbtgtFullPacSignature

  Kunci registri ini digunakan untuk membatasi penyebaran perubahan Kerberos. Kunci registri ini bersifat sementara, dan tidak akan dibaca lagi setelah tanggal Penegakan penuh 10 Oktober 2023. 

  Kunci registri	HKEY_LOCAL_MACHINE\System\currentcontrolset\services\kdc
  Value	KrbtgtFullPacSignature
  Tipe data	REG_DWORD
  Data	0 – Dinonaktifkan 1 – Tanda tangan baru ditambahkan, tetapi tidak diverifikasi. (Pengaturan default) 2 - Mode audit. Tanda tangan baru ditambahkan, dan diverifikasi jika ada. Jika tanda tangan hilang atau tidak valid, autentikasi diizinkan dan log audit dibuat. 3 - Mode penegakan. Tanda tangan baru ditambahkan, dan diverifikasi jika ada. Jika tanda tangan hilang atau tidak valid, autentikasi ditolak dan log audit dibuat.
  Perlu menghidupkan ulang?	Nomor

  catatan Jika Anda perlu mengubah nilai registri KrbtgtFullPacSignature , tambahkan dan konfigurasikan kunci registri secara manual untuk menimpa nilai default.

Peristiwa Windows yang terkait dengan CVE-2022-37967

Dalam mode Audit, Anda mungkin menemukan salah satu kesalahan berikut jika Tanda Tangan PAC hilang atau tidak valid. Jika masalah ini berlanjut selama mode Penegakan, kejadian ini akan dicatat sebagai kesalahan.

Jika Anda menemukan salah satu kesalahan di perangkat, kemungkinan semua pengontrol domain Windows di domain Anda tidak diperbarui dengan pembaruan Windows 8 November 2022 atau yang lebih baru. Untuk mengurangi masalah, Anda perlu menyelidiki domain lebih lanjut untuk menemukan pengontrol domain Windows yang belum diperbarui.

catatan Jika Anda menemukan kesalahan dengan ID Kejadian 42, lihat KB5021131: Cara mengelola perubahan protokol Kerberos yang terkait dengan CVE-2022-37966.

Tanda tangan PAC penuh gagal

Log Peristiwa	Sistem
Tipe Kejadian	Peringatan
sumber acara	Microsoft-Windows-Kerberos-Key-Distribution-Center
ID Peristiwa	43
Teks acara	Pusat Distribusi Kunci (KDC) menemukan tiket yang tidak dapat divalidasi Tanda tangan PAC penuh. Lihat https://go.microsoft.com/fwlink/?linkid=2210019 untuk mempelajari selengkapnya. Klien : <realm>/<Name>

Tanda tangan PAC lengkap hilang

Log peristiwa	Sistem
Tipe acara	Peringatan
sumber acara	Microsoft-Windows-Kerberos-Key-Distribution-Center
ID Peristiwa	44
Teks acara	Pusat Distribusi Kunci (KDC) menemukan tiket yang tidak berisi Tanda Tangan PAC lengkap. Lihat https://go.microsoft.com/fwlink/?linkid=2210019 untuk mempelajari selengkapnya. Klien : <realm>/<Name>

Perangkat pihak ketiga yang menerapkan protokol Kerberos

Domain yang memiliki pengontrol domain pihak ketiga mungkin melihat kesalahan dalam mode Penegakan.

Domain dengan klien pihak ketiga mungkin memerlukan waktu lebih lama untuk sepenuhnya dibersihkan dari kejadian audit setelah penginstalan pembaruan Windows pada 8 November 2022 atau yang lebih baru.

Hubungi produsen perangkat (OEM) atau vendor perangkat lunak untuk menentukan apakah perangkat lunak mereka kompatibel dengan perubahan protokol terbaru.

Untuk informasi tentang pembaruan protokol, lihat topik Protokol Windows di situs web Microsoft.

Glosarium

Kerberos

Kerberos adalah protokol otentikasi jaringan komputer yang bekerja berdasarkan "tiket" untuk memungkinkan node berkomunikasi melalui jaringan untuk membuktikan identitas mereka satu sama lain dengan cara yang aman.

Pusat Distribusi Kunci (KDC)

Layanan Kerberos yang mengimplementasikan layanan autentikasi dan pemberian tiket yang ditentukan dalam protokol Kerberos. Layanan ini berjalan pada komputer yang dipilih oleh administrator ranah atau domain; Itu tidak ada di setiap mesin di jaringan. Itu harus memiliki akses ke database akun untuk ranah yang dilayaninya.  KDC diintegrasikan ke dalam peran pengontrol domain . Ini adalah layanan jaringan yang memasok tiket ke klien untuk digunakan dalam autentikasi ke layanan.

Sertifikat Atribut Hak Istimewa (PAC)

Privilege Attribute Certificate (PAC) adalah struktur yang menyampaikan informasi terkait otorisasi yang disediakan oleh pengontrol domain (DC). Untuk informasi selengkapnya, lihat Struktur Data Sertifikat Atribut Hak Istimewa.

Tiket pemberian tiket

Jenis tiket khusus yang dapat digunakan untuk mendapatkan tiket lain. Tiket pemberian Tiket (TGT) diperoleh setelah otentikasi awal di bursa Layanan Otentikasi (AS); Setelah itu, pengguna tidak perlu menunjukkan kredensial mereka, tetapi dapat menggunakan TGT untuk mendapatkan tiket berikutnya.