KB5020805: Come gestire le modifiche al protocollo Kerberos relative a CVE-2022-37967

Si applica a
Windows Server 2022 Windows Server 2019, all editions Windows Server 2016, all editions Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 Enterprise ESU Windows Server 2008 R2 Standard ESU Windows Server 2008 R2 Datacenter ESU Windows Server 2008 Datacenter ESU Windows Server 2008 Standard ESU Windows Server 2008 Enterprise ESU

Nota

  • Aggiornato
  • 10 aprile 2023: Aggiornata la "Terza fase di distribuzione" dall'11 aprile 2023 al 13 giugno 2023 nella sezione "Tempistica degli aggiornamenti per risolvere il problema CVE-2022-37967".

Contenuto dell'articolo

Riepilogo

Gli aggiornamenti di Windows dell'8 novembre 2022 risolvono le vulnerabilità di aggiramento della sicurezza e di elevazione dei privilegi con firme PAC (Privilege Attribute Certificate). Questo aggiornamento della sicurezza risolve le vulnerabilità Kerberos in cui un utente malintenzionato può modificare digitalmente le firme PAC, aumentando i propri privilegi.

Per proteggere l'ambiente, installa questo aggiornamento di Windows in tutti i dispositivi, inclusi i controller di dominio Windows. Tutti i controller di dominio nel dominio devono essere aggiornati prima di passare l'aggiornamento alla modalità applicata.

Per ulteriori informazioni su queste vulnerabilità, vedere CVE-2022-37967.

Entrare in azione

Per proteggere l'ambiente e prevenire le interruzioni, è consigliabile eseguire i passaggi seguenti:

  1. AGGIORNA i controller di dominio Windows con un aggiornamento di Windows rilasciato a partire dall'8 novembre 2022.
  2. SPOSTA i controller di dominio Windows in modalità Audit usando la sezione Impostazione chiave del Registro di sistema .
  3. MONITORARE gli eventi archiviati durante la modalità di controllo per proteggere l'ambiente.
  4. ABILITA Modalità di applicazione per risolvere CVE-2022-37967 nel tuo ambiente.

Avvertenza Il passaggio 1 dell'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022 NON risolverà i problemi di sicurezza in CVE-2022-37967 per i dispositivi Windows per impostazione predefinita. Per ridurre completamente il problema di sicurezza per tutti i dispositivi, è necessario passare alla modalità di controllo (descritta nel passaggio 2) seguita dalla modalità applicata (descritta nel passaggio 4) il prima possibile in tutti i controller di dominio Windows.

Consigli A partire da luglio 2023, la modalità di applicazione sarà abilitata in tutti i controller di dominio Windows e bloccherà le connessioni vulnerabili da dispositivi non conformi.  A quel punto non sarà possibile disabilitare l'aggiornamento, ma è possibile tornare all'impostazione della modalità di controllo. La modalità di controllo sarà rimossa nel mese di ottobre 2023, come indicato nella sezione Tempistica degli aggiornamenti per risolvere la vulnerabilità Kerberos CVE-2022-37967 .

Tempistica degli aggiornamenti per risolvere il problema CVE-2022-37967

Gli aggiornamenti verranno rilasciati in fasi: la fase iniziale per gli aggiornamenti rilasciati a partire dall'8 novembre 2022 e la fase di applicazione per gli aggiornamenti rilasciati a partire dal 13 giugno 2023.

8 novembre 2022: fase di distribuzione iniziale

La fase di distribuzione iniziale inizia con gli aggiornamenti rilasciati l'8 novembre 2022 e prosegue con gli aggiornamenti Windows successivi fino alla fase di imposizione. Questo aggiornamento aggiunge le firme al buffer PAC Kerberos, ma non controlla la presenza di firme durante l'autenticazione. Pertanto, la modalità protetta è disabilitata per impostazione predefinita.

Questo aggiornamento:

  • Aggiunge le firme PAC al buffer PAC Kerberos.
  • Aggiunge misure per risolvere la vulnerabilità di aggiramento della sicurezza nel protocollo Kerberos.
13 dicembre 2022: seconda fase di distribuzione

La seconda fase di distribuzione inizia con gli aggiornamenti rilasciati il 13 dicembre 2022. Questi aggiornamenti e gli aggiornamenti successivi apportano modifiche al protocollo Kerberos per controllare i dispositivi Windows spostando i controller di dominio Windows in modalità Audit.

Con questo aggiornamento, tutti i dispositivi saranno in modalità Audit per impostazione predefinita:

  • Se la firma è mancante o non valida, l'autenticazione è consentita. Verrà anche creato un log di controllo.
  • Se la firma manca, genera un evento e consenti l'autenticazione.
  • Se la firma è presente, convalidarla. Se la firma non è corretta, genera un evento e consenti l'autenticazione.
13 giugno 2023 - Terza fase di distribuzione

Gli aggiornamenti di Windows rilasciati a partire dal 13 giugno 2023 effettueranno le seguenti operazioni:

  • Rimuovere la possibilità di disabilitare l'aggiunta della firma PAC impostando la sottochiave KrbtgtFullPacSignature su un valore pari a 0.
11 luglio 2023 - Fase iniziale di applicazione

Gli aggiornamenti di Windows rilasciati a partire dall'11 luglio 2023 effettueranno le seguenti operazioni:

  • Rimuove la possibilità di impostare il valore 1 per la sottochiave KrbtgtFullPacSignature .
  • Sposta l'aggiornamento in modalità di applicazione (impostazione predefinita) (KrbtgtFullPacSignature = 3), che può essere sostituita da un amministratore con un'impostazione di controllo esplicita.
10 ottobre 2023 - Fase di applicazione completa

Gli aggiornamenti di Windows rilasciati a partire dal 10 ottobre 2023 effettueranno le seguenti operazioni:

  • Rimuove il supporto per la sottochiave del Registro di sistema KrbtgtFullPacSignature.
  • Rimuove il supporto per la modalità Audit.
  • A tutti i ticket di servizio senza le nuove firme PAC verrà negata l'autenticazione.

Linee guida per la distribuzione

Per distribuire gli aggiornamenti di Windows datati 8 novembre 2022 o aggiornamenti Windows successivi, procedi come segue:

  1. AGGIORNA i controller di dominio Windows con un aggiornamento rilasciato a partire dall'8 novembre 2022.
  2. SPOSTARE i controller di dominio in modalità Audit usando la sezione Impostazione chiave del Registro di sistema .
  3. MONITORARE gli eventi archiviati durante la modalità di controllo per proteggere l'ambiente.
  4. ABILITA Modalità di applicazione per risolvere CVE-2022-37967 nel tuo ambiente.

PASSAGGIO 1: AGGIORNA

Distribuire gli aggiornamenti dell'8 novembre 2022 o successivi a tutti i controller di dominio Windows applicabili. Dopo aver distribuito l'aggiornamento, i controller di dominio Windows che sono stati aggiornati avranno le firme aggiunte al buffer PAC Kerberos e saranno non sicuri per impostazione predefinita (la firma PAC non viene convalidata).

  • Durante l'aggiornamento, assicurati di mantenere il valore del Registro di sistema KrbtgtFullPacSignature nello stato predefinito fino a quando non vengono aggiornati tutti i controller di dominio Windows.

PASSAGGIO 2: SPOSTAMENTO

Dopo aver aggiornato i controller di dominio Windows, passa alla modalità Audit impostando il valore di KrbtgtFullPacSignature su 2.

PASSAGGIO 3: TROVARE/MONITORARE

Identifica le aree in cui mancano le firme PAC o che non superano la convalida tramite i registri eventi attivati durante la modalità di controllo.

  • Assicurarsi che il livello di funzionalità del dominio sia impostato almeno su 2008 o versione successiva prima di passare alla modalità di imposizione. Il passaggio alla modalità di applicazione con i domini nel livello di funzionalità del dominio 2003 può causare errori di autenticazione.
  • Gli eventi di controllo verranno visualizzati se il dominio non è completamente aggiornato o se nel dominio sono ancora presenti ticket di servizio emessi in precedenza in sospeso.
  • Continuare a monitorare la presenza di ulteriori registri eventi archiviati che indicano firme PAC mancanti o errori di convalida di firme PAC esistenti.
  • Dopo che l'intero dominio è stato aggiornato e tutti i ticket in sospeso sono scaduti, gli eventi di controllo non dovrebbero più essere visualizzati. Dovrebbe quindi essere possibile passare alla modalità di imposizione senza errori.

PASSAGGIO 4: ABILITARE

Abilita la modalità di applicazione per risolvere CVE-2022-37967 nel tuo ambiente.

  • Una volta che tutti gli eventi di controllo sono stati risolti e non vengono più visualizzati, spostare i domini in modalità Applicazione aggiornando il valore del Registro di sistema KrbtgtFullPacSignature come descritto nella sezione Impostazioni della chiave del Registro di sistema .
  • Se un ticket di servizio ha una firma PAC non valida o una firma PAC mancante, la convalida non riesce e viene registrato un evento di errore.

Impostazioni della chiave del Registro di sistema

protocollo Kerberos

Dopo l'installazione degli aggiornamenti di Windows datati l'8 novembre 2022 o successivi, è disponibile la seguente chiave del Registro di sistema per il protocollo Kerberos:

  • KrbtgtFullPacSignature

    Questa chiave del Registro di sistema viene usata per definire la distribuzione delle modifiche Kerberos. Questa chiave del Registro di sistema è temporanea e non verrà più letta dopo la data di applicazione completa del 10 ottobre 2023. 

    Chiave del Registro di sistema HKEY_LOCAL_MACHINE\System\currentcontrolset\services\kdc
    valore KrbtgtFullPacSignature
    Tipo di dati REG_DWORD
    Dati 0 – Disabilitato
    1 - Nuove firme vengono aggiunte, ma non verificate. (Impostazione predefinita)
    2 - Modalità Audit. Vengono aggiunte nuove firme e, se presenti, vengono verificate. Se la firma è mancante o non valida, l'autenticazione è consentita e vengono creati i log di controllo.
    3 - Modalità di esecuzione. Vengono aggiunte nuove firme e, se presenti, vengono verificate. Se la firma è mancante o non valida, l'autenticazione viene negata e vengono creati i log di controllo.
    È necessario riavviare il computer? No

    Avvertenza Se è necessario modificare il valore del Registro di sistema KrbtgtFullPacSignature , aggiungere manualmente e quindi configurare la chiave del Registro di sistema per sostituire il valore predefinito.

In modalità Audit, è possibile che venga visualizzato uno dei seguenti errori se le firme PAC mancano o non sono valide. Se il problema persiste durante la modalità di imposizione, questi eventi verranno registrati come errori.

Se trovi uno di questi errori nel tuo dispositivo, è probabile che tutti i controller di dominio Windows nel tuo dominio non siano aggiornati con un aggiornamento di Windows dell'8 novembre 2022 o successivo. Per attenuare i problemi, è necessario esaminare ulteriormente il dominio per trovare controller di dominio Windows non aggiornati.

Avvertenza Se si trova un errore con l'ID evento 42, vedere KB5021131: Come gestire le modifiche al protocollo Kerberos correlate a CVE-2022-37966.

Firma PAC completa non riuscita
Registro eventi Sistema
Tipo di evento Avviso
Origine evento Microsoft-Windows-Kerberos-Key-Distribution-Center
ID evento 43
Testo dell'evento Il Centro distribuzione chiavi (KDC) ha rilevato un ticket che non è stato in grado di convalidare
firma PAC completa. Vedi https://go.microsoft.com/fwlink/?linkid=2210019 per saperne di più. Client : <reame>/<nome>
Firma PAC completa mancante
Registro eventi Sistema
Tipo di evento Avviso
Origine evento Microsoft-Windows-Kerberos-Key-Distribution-Center
ID evento 44
Testo dell'evento Il centro distribuzione chiavi (KDC) ha rilevato un ticket che non conteneva la firma PAC completa. Vedi https://go.microsoft.com/fwlink/?linkid=2210019 per saperne di più. Client : <reame>/<nome>

Dispositivi di terze parti che implementano il protocollo Kerberos

I domini con controller di dominio di terze parti potrebbero visualizzare errori in modalità di imposizione.

I domini con client di terze parti potrebbero richiedere più tempo per essere completamente cancellati dagli eventi di controllo in seguito all'installazione di un aggiornamento di Windows dell'8 novembre 2022 o successivo.

Contatta il produttore del dispositivo (OEM) o il fornitore del software per determinare se il software è compatibile con l'ultima modifica del protocollo.

Per informazioni sugli aggiornamenti del protocollo, vedi l'argomento relativo al protocollo di Windows nel sito Web Microsoft.

Glossario

Kerberos

Kerberos è un protocollo di autenticazione di rete di computer che funziona in base a "ticket" per consentire ai nodi che comunicano su una rete di dimostrare la propria identità l'uno all'altro in modo sicuro.

Centro distribuzione chiavi (KDC)

Servizio Kerberos che implementa i servizi di autenticazione e concessione ticket specificati nel protocollo Kerberos. Il servizio viene eseguito su computer selezionati dall'amministratore dell'area di autenticazione o del dominio. Non è presente in tutti i computer della rete. Deve avere accesso a un database di account per l'area di autenticazione che serve.  I KDC sono integrati nel ruolo del controller di dominio . Si tratta di un servizio di rete che fornisce ticket ai client da utilizzare per l'autenticazione ai servizi.

Privilege Attribute Certificate (PAC)

Il Privilege Attribute Certificate (PAC) è una struttura che trasmette le informazioni relative all'autorizzazione fornite dai controller di dominio. Per ulteriori informazioni, consulta Struttura dei dati del certificato degli attributi dei privilegi.

Ticket di concessione ticket

Un tipo speciale di biglietto che può essere utilizzato per ottenere altri biglietti. Il ticket di concessione ticket (TGT) viene ottenuto dopo l'autenticazione iniziale nello scambio del servizio di autenticazione (AS); successivamente, gli utenti non devono presentare le proprie credenziali, ma possono utilizzare il TGT per ottenere i ticket successivi.