CVE-2020-17049 に対する Kerberos S4U の変更の展開管理

2020 年 12 月 8 日: 初期展開フェーズ

初期展開フェーズは、2020 年 12 月 8 日にリリースされる Windows 更新プログラムから始まり、その後の強制フェーズの Windows 更新プログラムに続きます。 これら以降の Windows 更新プログラムは、Kerberos に変更を加えます。 この 2020 年 12 月 9 日の更新プログラムには、CVE-2020-17049 の 2020 年 11 月 11 日のリリースによって最初に導入されたすべての既知の問題に対する修正が含まれています。 この更新プログラムを適用すると、Windows Server 2008 SP2 および Windows Server 2008 R2 のサポートも追加されます。

このリリースの内容:

• CVE-2020-17049 の問題を修正します (既定では展開モード)。

• PerformTicketSignature レジストリ値のサポートを追加して、Active Directory ドメイン コントローラー サーバーでの保護を有効にします。 既定では、この値は存在しません。

緩和策は、Active Directory ドメイン コントローラーの役割と読み取り専用ドメイン コントローラー (RODC) をホストするすべてのデバイスに Windows 更新プログラムをインストールしてから、強制モードを有効にすることで構成されます。

2021 年 3 月 9 日: 2 番目の展開フェーズ

2 番目の展開フェーズは、2021 年 3 月 9 日にリリースされた Windows 更新プログラムから始まります。 このフェーズでは、PerformTicketSignature 設定 0 が削除されます。 この更新プログラムのインストール後に PerformTicketSignature を 0 に設定すると、PerformTicketSignature を 1 に設定した場合と同じ効果があります。 DC は展開モードになります。

注: お使いの環境で PerformTicketSignature が 0 に設定されていない場合、このフェーズは必要ありません。 このフェーズは、PerformTicketSignature を 0 に設定したお客様が、強制フェーズの前に設定 1 に移動されることを確認するのに役立ちます。

2021 年 5 月 11 日: 強制フェーズ

2021 年 5 月 11 日のリリースは、強制フェーズに移行します。 強制フェーズでは、CVE-2020-17049 の問題を修正するための変更を強制します。 Active Directory ドメイン コントローラーを強制モードにすることができるようになりました。 強制モードに移行するには、すべての Active Directory ドメイン コントローラーに 2020 年 12 月 8 日の更新プログラムまたはそれ以降の Windows 更新プログラムがインストールされている必要があります。 現時点では、PerformTicketSignature レジストリ キーの設定は無視され、強制モードを上書きすることはできません。

この更新プログラムをインストールする前に

この更新プログラムを適用するには、次の必要な更新プログラムをインストールする必要があります。 Windows Update を使用している場合、これらの必須の更新プログラムは必要に応じて自動的に提供されます。

• 2019 年 9 月 23 日の SHA-2 更新プログラム (KB4474419) またはそれ以降の SHA-2 更新プログラムをインストールしてから、この更新プログラムを適用する前にデバイスを再起動する必要があります。 SHA-2 の更新プログラムの詳細については、「Windows および WSUS の 2019 SHA-2 コード署名サポートの要件」を参照してください。

• Windows Server 2008 R2 SP1 の場合、2019 年 3 月 12 日のサービス スタック更新プログラム (SSU) (KB4490628) をインストールしておく必要があります。 更新プログラム KB4490628 をインストールした後、最新の SSU 更新プログラムをインストールすることをお勧めします。 最新の SSU 更新プログラムの詳細については、「ADV990001 | Latest Servicing Stack Updates」(英語情報) を参照してください。

• Windows Server 2008 SP2 の場合、2019 年 4 月 9 日のサービス スタック更新プログラム (SSU) (KB4493730) をインストールしておく必要があります。 更新プログラム KB4493730 をインストールした後、最新の SSU 更新プログラムをインストールすることをお勧めします。 最新の SSU 更新プログラムの詳細については、「ADV990001 | Latest Servicing Stack Updates」(英語情報) を参照してください。

• 2020 年 1 月 14 日に延長サポートが終了した後は、Windows Server 2008 SP2 または Windows Server 2008 R2 SP1 のオンプレミス バージョンの拡張セキュリティ更新プログラム (ESU) を購入していただく必要があります。 ESU を購入したお客様は、引き続きセキュリティ更新プログラムを受け取るために、KB4522133 の手順に従う必要があります。 ESU およびサポートされているエディションの詳細については、KB4497181 を参照してください。

重要: これらの必要な更新プログラムをインストールした後、デバイスを再起動する必要があります。

更新プログラムをインストールする

セキュリティの脆弱性を解決するには、次の手順に従ってWindows 更新プログラムをインストールし、強制モードを有効にします。

1. 2020 年 12 月 9 日の更新プログラムを、フォレスト内のすべての Active Directory ドメイン コントローラーに展開します。

2. すべての Active Directory ドメイン コントローラーを更新した後、すべての未処理の Service for User to Self (S4U2self) Kerberos サービス チケットの有効期限が切れるまで、少なくとも 1 週間待ちます。その後に、Active Directory ドメイン コントローラーの強制モードを展開することで、完全な保護が有効になります。
   
   注意事項

   • Kerberos サービス チケットの有効期限を既定の設定 (既定値は 7 日) から変更している場合、お使いの環境で構成されている日数以上は待つ必要があります。

   • これらの手順は、PerformTicketSignature がお使いの環境で 0 に設定されたことがないことを前提としています。 PerformTicketSignature が 0 に設定されている場合は、設定 2 (強制モード) に移動する前に設定 1 に移動し、少なくとも 1 週間待って、未処理の Service for User to Self (S4U2self) Kerberos サービス チケットがすべて期限切れになるようにする必要があります。 設定 0 から設定 2 (強制モード) に直接移動しないでください。