KB5021130: Come gestire le modifiche al protocollo Netlogon relative a CVE-2022-38023

La fase di distribuzione iniziale inizia con gli aggiornamenti rilasciati l'8 novembre 2022 e prosegue con gli aggiornamenti Windows successivi fino alla fase di imposizione. Gli aggiornamenti di Windows a partire dall'8 novembre 2022 risolvono la vulnerabilità di aggiramento della sicurezza CVE-2022-38023 applicando il sigillo RPC su tutti i client Windows.

Per impostazione predefinita, i dispositivi sono impostati in modalità compatibilità. I controller di dominio Windows richiederanno che i client Netlogon utilizzino il sigillo RPC se eseguono Windows o se agiscono come controller di dominio o come account di trust.

Gli aggiornamenti di Windows rilasciati a partire dall'11 aprile 2023 rimuoveranno la possibilità di disabilitare il sigillo RPC impostando il valore 0 alla sottochiave del registro di sistema RequireSeal .

La sottochiave del Registro di sistema RequireSeal verrà spostata in modalità Applicata, a meno che gli amministratori non configurino esplicitamente la modalità Compatibilità. Alle connessioni vulnerabili da tutti i client, incluse quelle di terze parti, verrà negata l'autenticazione. Vedere Cambiamento 1.

Gli aggiornamenti di Windows rilasciati l'11 luglio 2023 rimuoveranno la possibilità di impostare il valore 1 alla sottochiave del Registro di sistema RequireSeal . Ciò abilita la fase di applicazione di CVE-2022-38023.

Se questo messaggio di errore viene visualizzato nei registri eventi, è necessario eseguire le azioni seguenti per risolvere l'errore di sistema:

• Verifica che il dispositivo esegua una versione supportata di Windows.
• Verifica che tutti i dispositivi siano aggiornati.
• Verificare che Membro di dominio: Membro di dominio Crittografa o firma digitalmente i dati del canale sicuro (sempre) sia impostato su Abilitato .

Se si trova l'evento 5840, questo è un segno che un client nel dominio sta utilizzando una crittografia debole.

Se si trova l'evento 5841, questo è un segno che il valore RejectMD5Clients è impostato su TRUE .

La chiave RejectMD5Clients è una chiave preesistente nel servizio Netlogon. Per altre informazioni, vedere la descrizione RejectMD5Clients del modello di dati astratti.

Tutti gli account computer collegati al dominio sono interessati da questo CVE. Gli eventi mostreranno chi è più interessato da questo problema dopo l'installazione degli aggiornamenti di Windows dell'8 novembre 2022 o successivi, consultare la sezione Errori del registro eventi per risolvere i problemi.

Per facilitare il rilevamento dei client meno recenti che non usano la crittografia più forte disponibile, questo aggiornamento introduce registri eventi per i client che usano RC4.

La firma RPC avviene quando il protocollo Netlogon utilizza RPC per firmare i messaggi inviati in rete. La sigillatura RPC avviene quando il protocollo Netlogon firma e crittografa i messaggi inviati in rete.

Controller di dominio Windows: determinare se un client Netlogon esegue Windows eseguendo una query sull'attributo "OperatingSystem" in Active Directory per il client Netlogon e verificando le stringhe seguenti:

• "Windows", "Hyper-V Server" e "Azure Stack HCI"

Non è consigliabile né supportare la modifica di questo attributo da parte dei client Netlogon o degli amministratori di dominio in un valore non rappresentativo del sistema operativo in esecuzione nel client Netlogon. L'utente deve essere consapevole del fatto che potremmo modificare i criteri di ricerca in qualsiasi momento. Vedere Cambiamento 3.

La fase di applicazione non rifiuta i client Netlogon in base al tipo di crittografia utilizzata dai client. Rifiuterà i client Netlogon solo se eseguono la firma RPC invece del sigillo RPC. Il rifiuto dei client Netlogon RC4 si basa sulla chiave del registro di sistema "RejectMd5Clients" disponibile per i controller di dominio Windows di Windows Server 2008 R2 e versioni successive. La fase di applicazione per questo aggiornamento non modifica il valore "RejectMd5Clients". È consigliabile che i clienti abilitino il valore "RejectMd5Clients" per una maggiore sicurezza nei domini. Vedere Cambiamento 3.

Advanced Encryption Standard (AES) è una crittografia a blocchi che sostituisce lo Standard di crittografia dei dati (DES). AES può essere utilizzato per proteggere i dati elettronici. L'algoritmo AES può essere utilizzato per crittografare (cifrare) e decrittografare (decifrare) le informazioni. La crittografia converte i dati in una forma incomprensibile chiamata testo cifrato; La decrittografia del testo crittografato converte i dati nel loro formato originale, chiamato testo non crittografato. AES viene utilizzato nella crittografia a chiave simmetrica, ovvero la stessa chiave viene utilizzata per le operazioni di crittografia e decrittografia. È anche un cifrario a blocchi, il che significa che opera su blocchi di testo in chiaro e testo cifrato a dimensione fissa e richiede che la dimensione del testo non crittografato e del testo crittografato sia un multiplo esatto di questa dimensione del blocco. AES è anche noto come algoritmo di crittografia simmetrica Rijndael [FIPS197].

In un ambiente di sicurezza di rete compatibile con il sistema operativo Windows NT, il componente responsabile delle funzioni di sincronizzazione e manutenzione tra un controller di dominio primario (PDC) e un controller di dominio di backup (BDC). Netlogon è un precursore del protocollo del server di replica delle directory (DRS). L'interfaccia RPC (Remote Procedure Call) del protocollo remoto Netlogon viene utilizzata principalmente per mantenere la relazione tra un dispositivo e il suo dominio e le relazioni tra i controller di dominio (DC) e i domini. Per ulteriori informazioni, vedere Protocollo remoto Netlogon.

RC4-HMAC (RC4) è un algoritmo di crittografia simmetrica a chiave variabile. Per ulteriori informazioni, vedere la sezione 17.1 di [SCHNEIER ].

Connessione RPC (Authenticated Remote Procedure Call) tra due computer in un dominio con un contesto di protezione stabilito utilizzata per la firma e la crittografia dei pacchetti RPC .