概要
資格情報セキュリティ サポート プロバイダー プロトコル (CredSSP) は、他のアプリケーションの認証要求を処理する認証プロバイダーです。
パッチが適用されていないバージョンの CredSSP にリモート コード実行の脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、ユーザーの資格情報を中継してターゲット システムでコードを実行する可能性があります。 認証のために CredSSP に依存するアプリケーションは、この種類の攻撃に対して脆弱になる可能性があります。
このセキュリティ更新プログラムは、認証プロセス中に CredSSP が要求を検証する方法を修正することで、この脆弱性を解決します。
この脆弱性の詳細については、「 CVE-2018-0886」を参照してください。
更新
2018 年 3 月 13 日
2018 年 3 月 13 日の最初のリリースでは、影響を受けるすべてのプラットフォームの CredSSP 認証プロトコルとリモート デスクトップ クライアントが更新されます。
軽減策は、対象となるすべてのクライアントおよびサーバー オペレーティング システムに更新プログラムをインストールし、含まれているグループ ポリシー設定またはレジストリ ベースの同等物を使用して、クライアントコンピューターとサーバー コンピューターの設定オプションを管理することで構成されます。 管理者はポリシーを適用し、できるだけ早くクライアントおよびサーバー コンピューターで "更新されたクライアントを強制する" または "軽減" に設定することをお勧めします。 これらの変更には、影響を受けるシステムの再起動が必要です。
この記事の後半の互換性テーブルで、クライアントとサーバー間の "ブロック" 操作が発生するグループ ポリシーまたはレジストリ設定のペアに細心の注意を払います。
2018 年 4 月 17 日
KB 4093120 のリモート デスクトップ クライアント (RDP) 更新プログラムは、更新されたクライアントが更新されていないサーバーへの接続に失敗したときに表示されるエラー メッセージを強化します。
2018 年 5 月 8 日
既定の設定を [脆弱] から [軽減済み] に変更するための更新。
関連する Microsoft サポート技術情報番号は CVE-2018-0886 に記載されています。
既定では、この更新プログラムがインストールされた後、パッチが適用されていないクライアントは、パッチが適用されていないサーバーと通信できません。 この記事で説明されている相互運用性マトリックスとグループ ポリシー設定を使用して、"許可された" 構成を有効にします。
グループ ポリシー
| ポリシー パスと設定名 | 説明 |
|---|---|
| ポリシー パス: コンピューターの構成 -> 管理用テンプレート -> システム -> 資格情報の委任 設定名: 暗号化 Oracle 修復 |
暗号化 Oracle の修復 このポリシー設定は、CredSSP コンポーネント (リモート デスクトップ接続など) を使用するアプリケーションに適用されます。 CredSSP プロトコルの一部のバージョンでは、クライアントに対する暗号化 Oracle 攻撃に対して脆弱です。 このポリシーは、脆弱なクライアントとサーバーとの互換性を制御します。 このポリシーを使用すると、暗号化 Oracle の脆弱性に対して必要な保護レベルを設定できます。 このポリシー設定を有効にすると、次のオプションに基づいて CredSSP バージョンのサポートが選択されます。 更新されたクライアントの強制 – CredSSP を使用するクライアント アプリケーションは安全でないバージョンにフォールバックできません。また、CredSSP を使用するサービスは、パッチが適用されていないクライアントを受け入れることができません。 メモ すべてのリモート ホストが最新バージョンをサポートするまで、この設定を展開しないでください。 軽減– CredSSP を使用するクライアント アプリケーションは安全でないバージョンにフォールバックできませんが、CredSSP を使用するサービスでは、パッチが適用されていないクライアントを受け入れます。 脆弱 性– CredSSP を使用するクライアント アプリケーションは、セキュリティで保護されていないバージョンへのフォールバックをサポートすることでリモート サーバーを攻撃に公開し、CredSSP を使用するサービスはパッチされていないクライアントを受け入れます。 |
Encryption Oracle 修復グループ ポリシーでは、クライアントとサーバーに適用する必要がある次の 3 つのオプションがサポートされています。
| ポリシー設定 | レジストリの値 | クライアントの動作 | サーバーの動作 |
|---|---|---|---|
| Force updated clients | 0 | CredSSP を使用するクライアント アプリケーション は、安全でない バージョンにフォールバックできません。 | CredSSP を使用するサービスは、パッチが適用されていないクライアントを 受け入れません 。 メモ この設定は、 すべての Windows およびサード パーティの CredSSP クライアントが最新の CredSSP バージョンをサポートするまで展開しないでください。 |
| Mitigated | 1 | CredSSP を使用するクライアント アプリケーション は、安全でない バージョンにフォールバックできません。 | CredSSP を使用するサービス は、パッチが適用されていないクライアントを受け入れます 。 |
| Vulnerable | 2 | CredSSP を使用するクライアント アプリケーション は、 セキュリティで保護されていないバージョンへのフォールバックをサポートすることで、リモート サーバーを攻撃に公開します。 | CredSSP を使用するサービス は、パッチが適用されていないクライアントを受け入れます 。 |
2018 年 5 月 8 日にリリースされる 2 つ目の更新プログラムは、既定の動作を [軽減済み] オプションに変更します。
メモ Encryption Oracle 修復に変更を行うには、再起動が必要です。
レジストリの値
注
警告: レジストリ エディターまたは別の方法を使用してレジストリを誤って編集すると、深刻な問題が発生することがあります。 最悪の場合、オペレーティング システムの再インストールが必要になることがあります。 Microsoft は、このような問題の解決については保証していません。 レジストリの変更はユーザー自身の責任において行ってください。
この更新プログラムでは、次のレジストリ設定が導入されています。
| レジストリ パス | HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters |
|---|---|
| Value | AllowEncryptionOracle |
| 日付の種類 | DWORD |
| 再起動が必要ですか? | はい |
相互運用性マトリックス
クライアントとサーバーの両方を更新する必要があります。または、Windows およびサード パーティの CredSSP クライアントが Windows またはサード パーティのホストに接続できない場合があります。 悪用に対して脆弱であるか、運用エラーを引き起こすシナリオについては、次の相互運用性マトリックスを参照してください。
メモ Windows リモート デスクトップ サーバーに接続する場合、認証に TLS プロトコルを使用するフォールバック メカニズムを使用するようにサーバーを構成できます。また、ユーザーはこのマトリックスで説明した結果とは異なる結果を得る場合があります。 このマトリックスでは、CredSSP プロトコルの動作についてのみ説明します。
| サーバー | |||||
|---|---|---|---|---|---|
| 修正プログラム未適用の | Force updated clients | Mitigated | Vulnerable | ||
| クライアント | 修正プログラム未適用の | 可 | ブロック | 可 | 可 |
| Force updated clients | ブロック | 可 | 可 | 可 | |
| Mitigated | ブロック | 可 | 可 | 可 | |
| Vulnerable | 可 | 可 | 可 | 可 |
| クライアント設定 | CVE-2018-0886 パッチの状態 |
|---|---|
| 修正プログラム未適用の | Vulnerable |
| Force updated clients | セキュリティ保護 |
| Mitigated | セキュリティ保護 |
| Vulnerable | Vulnerable |
Windows イベント ログ エラー
クライアントとリモート ホストがブロックされた構成で構成されている場合、イベント ID 6041 は、修正プログラムが適用された Windows クライアントに記録されます。
| イベント ログ | System |
|---|---|
| イベント ソース | LSA (LsaSrv) |
| イベント ID | 6041 |
| エラー メッセージのテキスト | <hostname に対する CredSSP 認証>共通プロトコル バージョンのネゴシエートに失敗しました。 リモート ホストはバージョン <Protocol Version> Encryption Oracle Remediation では許可されていません。 |
修正プログラムが適用された Windows RDP クライアントによって CredSSP でブロックされた構成ペアによって生成されるエラー
2018 年 4 月 17 日パッチ (KB 4093120) なしでリモート デスクトップ クライアントによって提示されたエラー
| パッチが適用されていない事前Windows 8.1とWindows Server 2012 R2 クライアントと、"更新されたクライアントの強制" が構成されたサーバーとのペア | 修正プログラムが適用された Windows 8.1/Windows Server 2012 R2 以降の RDP クライアントによって CredSSP でブロックされた構成ペアによって生成されたエラー |
|---|---|
| 認証エラーが発生しました。 関数に指定されたトークンが無効です |
認証エラーが発生しました。 The function requested is not supported. |
リモート デスクトップ クライアントが 2018 年 4 月 17 日パッチ (KB 4093120) で提示したエラー
| パッチが適用されていない事前Windows 8.1とWindows Server 2012 R2 クライアントと、"更新されたクライアントの強制" が構成されたサーバーとのペア | これらのエラーは、修正プログラムが適用された Windows 8.1/Windows Server 2012 R2 以降の RDP クライアントによって、CredSSP でブロックされた構成ペアによって生成されます。 |
|---|---|
| 認証エラーが発生しました。 関数に指定されたトークンが無効です。 |
認証エラーが発生しました。 The function requested is not supported. リモート コンピューター: <hostname> This could be due to CredSSP encryption oracle remediation. 詳細については、「https://go.microsoft.com/fwlink/?linkid=866660」を参照してください 。 |
サード パーティのリモート デスクトップ クライアントとサーバー
すべてのサード パーティのクライアントまたはサーバーは、最新バージョンの CredSSP プロトコルを使用する必要があります。 ソフトウェアが最新の CredSSP プロトコルと互換性があるかどうかを判断するには、ベンダーにお問い合わせください。
プロトコルの更新プログラムは、 Windows プロトコル ドキュメント サイトにあります。
ファイルの変更
この更新プログラムでは、次のシステム ファイルが変更されました。
- tspkg.dll
credssp.dll ファイルは変更されません。 詳細については、ファイルのバージョン情報に 関する関連記事 を参照してください。