Log perubahan
|
Perubahan 1: 5 April 2023: Memindahkan fase "Penerapan secara Default" kunci registri dari 11 April 2023 ke 13 Juni 2023 di bagian "Waktu pembaruan untuk mengatasi CVE-2022-38023". Perubahan 2: 20 April 2023: Menghapus referensi yang tidak akurat ke "Pengendali Domain: Izinkan koneksi saluran aman Netlogon yang rentan" objek kebijakan grup (GPO) di bagian "Pengaturan Kunci Registri". Perubahan 3: 19 Juni 2023:
|
|---|
Di artikel ini
- Ringkasan
- Waktu pembaruan untuk mengatasi CVE-2022-38023
- Pengaturan kunci registri
- Peristiwa Windows yang terkait dengan CVE-2022-38023
- Tanya Jawab Umum (FAQ)
- Glosarium
Ringkasan
Pembaruan Windows 8 November 2022 dan yang lebih baru mengatasi kelemahan dalam protokol Netlogon saat penandatanganan RPC digunakan sebagai pengganti penyegelan RPC. Informasi lebih lanjut dapat ditemukan di CVE-2022-38023 .
Antarmuka panggilan prosedur jarak jauh (RPC) Netlogon Remote Protocol terutama digunakan untuk menjaga hubungan antara perangkat dan domainnya , dan hubungan antara pengontrol domain (DC) dan domain.
Pembaruan ini melindungi perangkat Windows dari CVE-2022-38023 secara default. Untuk klien pihak ketiga dan pengontrol domain pihak ketiga, pembaruan secara default berada dalam mode Kompatibilitas dan memungkinkan koneksi rentan dari klien tersebut. Lihat bagian pengaturan Kunci Registri untuk mengetahui langkah-langkah berpindah ke mode Penegakan.
Untuk membantu mengamankan lingkungan Anda, instal pembaruan Windows tertanggal 8 November 2022 atau pembaruan Windows yang lebih baru ke semua perangkat, termasuk pengontrol domain.
Penting Mulai Juni 2023, mode Penegakan akan diaktifkan di semua pengontrol domain Windows dan akan memblokir koneksi rentan dari perangkat yang tidak sesuai. Pada saat itu, Anda tidak akan dapat menonaktifkan pembaruan, tetapi dapat kembali ke pengaturan Mode kompatibilitas. Mode kompatibilitas akan dihapus pada Juli 2023, seperti yang diuraikan di bagian Pengaturan waktu pembaruan untuk mengatasi kerentanan Netlogon CVE-2022-38023 .
Waktu pembaruan untuk mengatasi CVE-2022-38023
Updates akan dirilis dalam beberapa fase: fase awal untuk pembaruan yang dirilis pada atau setelah 8 November 2022 dan fase Penerapan untuk pembaruan yang dirilis pada atau setelah 11 Juli 2023.
8 November 2022 - Tahap penerapan awal
Fase penyebaran awal dimulai dengan pembaruan yang dirilis pada 8 November 2022 dan berlanjut dengan pembaruan Windows selanjutnya hingga fase Penegakan. Pembaruan Windows pada atau setelah 8 November 2022 mengatasi kerentanan melewati keamanan CVE-2022-38023 dengan memberlakukan penyegelan RPC di semua klien Windows.
Secara default, perangkat akan diatur dalam mode Kompatibilitas. Pengontrol domain Windows akan mengharuskan klien Netlogon menggunakan segel RPC jika menjalankan Windows, atau jika mereka bertindak sebagai pengontrol domain atau sebagai akun kepercayaan.
11 April 2023 - Tahap penegakan awal
Pembaruan Windows yang dirilis pada atau setelah 11 April 2023 akan menghapus kemampuan untuk menonaktifkan penyegelan RPC dengan mengatur nilai 0 ke subkunci registri RequireSeal .
13 Juni 2023 - Penegakan secara default
Subkey registri RequireSeal akan dipindahkan ke mode Ditegakkan kecuali Administrator mengonfigurasi secara eksplisit untuk berada dalam mode Kompatibilitas. Koneksi rentan dari semua klien, termasuk pihak ketiga, akan ditolak autentikasi. Lihat perubahan 1.
11 Juli 2023 - Tahap penegakan
Pembaruan Windows yang dirilis pada 11 Juli 2023 akan menghapus kemampuan untuk mengatur nilai 1 ke subkey registri RequireSeal . Hal ini memungkinkan fase Penegakan CVE-2022-38023.
Pengaturan kunci registri
Setelah pembaruan Windows yang tertanggal pada atau setelah 8 November 2022 diinstal, subkey registri berikut tersedia untuk protokol Netlogon pada pengontrol domain Windows.
Catatan
PENTING Pembaruan ini, serta perubahan penegakan di masa mendatang, tidak secara otomatis menambahkan atau menghapus subkey registri "RequireSeal". Subkunci registri ini harus ditambahkan secara manual agar dapat dibaca. Lihat perubahan 3.
Subkey RequireSeal
| Kunci registri | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Value | Segel Memerlukan |
| Tipe data | REG_DWORD |
| Data |
0 – Dinonaktifkan 1 – Mode kompatibilitas. Pengontrol domain Windows akan mengharuskan klien Netlogon menggunakan Segel RPC jika mereka menjalankan Windows, atau jika mereka bertindak sebagai pengontrol domain atau akun Kepercayaan. 2 - Mode penegakan. Semua klien diharuskan menggunakan Segel RPC. Lihat perubahan 2. |
| Perlu menghidupkan ulang? | Nomor |
Peristiwa Windows yang terkait dengan CVE-2022-38023
Catatan
CATATAN Kejadian berikut memiliki buffer 1 jam di mana kejadian duplikat yang berisi informasi yang sama dibuang selama buffer tersebut.
Layanan Netlogon menemukan klien yang menggunakan penandatanganan RPC, bukan penyegelan RPC
| Log Peristiwa | Sistem |
|---|---|
| Tipe Kejadian | Kesalahan |
| sumber acara | NETLOGON |
| ID Peristiwa | 5838 |
| Teks acara | Layanan Netlogon menemukan klien yang menggunakan penandatanganan RPC, bukan penyegelan RPC. |
Jika menemukan pesan kesalahan ini di log peristiwa, Anda harus melakukan tindakan berikut untuk mengatasi kesalahan sistem:
- Konfirmasikan bahwa perangkat menjalankan versi Windows yang didukung.
- Periksa untuk memastikan semua perangkat sudah diperbarui.
- Periksa untuk memastikan bahwa Anggota domain: Anggota domain Mengenkripsi atau menandatangani data saluran aman secara digital (selalu) diatur ke Diaktifkan .
Layanan Netlogon menemukan kepercayaan yang menggunakan penandatanganan RPC, bukan penyegelan RPC
| Log Peristiwa | Sistem |
|---|---|
| Tipe Kejadian | Kesalahan |
| sumber acara | NETLOGON |
| ID Peristiwa | 5839 |
| Teks acara | Layanan Netlogon menemukan kepercayaan yang menggunakan penandatanganan RPC, bukan penyegelan RPC. |
Layanan Netlogon membuat saluran aman dengan klien menggunakan RC4
| Log Peristiwa | Sistem |
|---|---|
| Tipe Kejadian | Peringatan |
| sumber acara | NETLOGON |
| ID Peristiwa | 5840 |
| Teks acara | Layanan Netlogon membuat saluran aman dengan klien dengan RC4. |
Jika Anda menemukan Kejadian 5840, ini adalah tanda bahwa klien di domain Anda menggunakan kriptografi yang lemah.
Layanan Netlogon menolak klien menggunakan RC4 karena pengaturan 'RejectMd5Clients'
| Log Peristiwa | Sistem |
|---|---|
| Tipe Kejadian | Kesalahan |
| sumber acara | NETLOGON |
| ID Peristiwa | 5841 |
| Teks acara | Layanan Netlogon menolak klien menggunakan RC4 karena pengaturan 'RejectMd5Clients'. |
Jika Anda menemukan Kejadian 5841, ini adalah tanda bahwa nilai RejectMD5Clients diatur ke TRUE .
Kunci RejectMD5Clients adalah kunci yang sudah ada sebelumnya dalam layanan Netlogon. Untuk informasi selengkapnya, lihat deskripsi Model Data Abstrak RejectMD5Clients .
Tanya Jawab Umum (FAQ)
Siapa yang rentan terhadap masalah yang tercantum dalam CVE-2022-38023?
Semua akun komputer yang tergabung dengan domain dipengaruhi oleh CVE ini. Acara akan menunjukkan siapa yang paling terkena dampak masalah ini setelah pembaruan Windows 8 November 2022 atau yang lebih baru diinstal, silakan tinjau bagian kesalahan Log Peristiwa untuk mengatasi masalah tersebut.
Untuk membantu mendeteksi klien lama yang tidak menggunakan kripto terkuat yang tersedia, pembaruan ini memperkenalkan log peristiwa untuk klien yang menggunakan RC4.
Apa itu penandatanganan RPC dan penyegelan RPC?
Penandatanganan RPC adalah ketika protokol Netlogon menggunakan RPC untuk menandatangani pesan yang dikirimnya melalui kabel. Penyegelan RPC adalah ketika protokol Netlogon menandatangani dan mengenkripsi pesan yang dikirimkannya melalui kawat.
Bagaimana Pengontrol Domain Windows menentukan apakah Klien Netlogon menjalankan Windows?
Pengontrol Domain Windows menentukan apakah klien Netlogon menjalankan Windows dengan mengkueri atribut "OperatingSystem" di Direktori Aktif untuk klien Netlogon dan memeriksa string berikut:
- "Windows", "Hyper-V Server", dan "Azure Stack HCI"
Kami tidak merekomendasikan atau mendukung atribut ini diubah oleh klien Netlogon atau administrator domain ke nilai yang tidak mewakili sistem operasi (OS) yang dijalankan klien Netlogon. Anda harus mengetahui bahwa kami dapat mengubah kriteria pencarian kapan saja. Lihat perubahan 3.
Apakah fase Penegakan akan menolak klien RC4 Netlogon?
Fase penegakan tidak menolak klien Netlogon berdasarkan jenis enkripsi yang digunakan klien. Ini hanya akan menolak klien Netlogon jika mereka melakukan penandatanganan RPC, bukan RPC Sealing. Penolakan klien RC4 Netlogon didasarkan pada kunci registri "RejectMd5Clients" yang tersedia untuk Pengontrol Domain Windows Windows Server 2008 R2 dan yang lebih baru. Fase penerapan untuk pembaruan ini tidak mengubah nilai "RejectMd5Clients". Kami menyarankan agar pelanggan mengaktifkan nilai "RejectMd5Clients" untuk keamanan yang lebih tinggi di domain mereka. Lihat perubahan 3.
Glosarium
AES
Advanced Encryption Standard (AES) adalah sandi blok yang menggantikan Standar Enkripsi Data (DES). AES dapat digunakan untuk melindungi data elektronik. Algoritma AES dapat digunakan untuk mengenkripsi (mengenkripsi) dan mendekripsi (menguraikan) informasi. Enkripsi mengonversi data menjadi bentuk yang tidak dapat dipahami yang disebut teks sandi; Mendekripsi teks sandi akan mengonversi data kembali ke bentuk aslinya, yang disebut teks biasa. AES digunakan dalam kriptografi kunci simetris, yang berarti bahwa kunci yang sama digunakan untuk operasi enkripsi dan dekripsi. Ini juga merupakan sandi blok, yang berarti beroperasi pada blok teks biasa dan teks sandi berukuran tetap, dan mengharuskan ukuran teks biasa serta teks sandi menjadi kelipatan yang tepat dari ukuran blok ini. AES juga dikenal sebagai algoritma enkripsi simetris Rijndael [FIPS197] .
Netlogon
Dalam lingkungan keamanan jaringan yang kompatibel dengan sistem operasi Windows NT, komponen yang bertanggung jawab atas fungsi sinkronisasi dan pemeliharaan antara pengontrol domain utama (PDC) dan pengontrol domain cadangan (BDC). Netlogon adalah pendahulu protokol server replikasi direktori (DRS). Antarmuka panggilan prosedur jarak jauh (RPC) Netlogon Remote Protocol terutama digunakan untuk menjaga hubungan antara perangkat dan domainnya , dan hubungan antara pengontrol domain (DC) dan domain. Untuk informasi selengkapnya, lihat Protokol Jarak Jauh Netlogon.
RC4-HMAC
RC4-HMAC (RC4) adalah algoritma enkripsi simetris panjang kunci variabel. Untuk informasi selengkapnya, lihat [SCHNEIER] bagian 17.1.
Saluran Aman
Koneksi panggilan prosedur jarak jauh (RPC) yang diautentikasi antara dua mesin dalam domain dengan konteks keamanan yang ditetapkan yang digunakan untuk menandatangani dan mengenkripsi paket RPC .