変更ログ
変更 1: 2023 年 6 月 19 日:
|
|---|
この記事の内容
- 概要
- 明示的に設定されたセッション キーの暗号化の種類の検出
- レジストリ キーの設定
- CVE-2022-37966 に関連する Windows イベント
- よく寄せられる質問 (FAQ) と既知の問題
- 用語集
概要
2022 年 11 月 8 日以降の Windows 更新プログラムでは、脆弱な RC4-HMAC ネゴシエーションを使用した認証ネゴシエーションでのセキュリティ バイパスと特権昇格の脆弱性に対処します。
この更新プログラムでは、既定の暗号化の種類でマークされていないアカウントのセッション キーの既定の暗号化の種類として AES が設定されます。
環境をセキュリティで保護するために、ドメイン コントローラーを含むすべてのデバイスに 2022 年 11 月 8 日以降にリリースされた Windows 更新プログラムをインストールしてください。 「変更 1」を参照してください。
これらの脆弱性の詳細については、「 CVE-2022-37966」を参照してください。
明示的に設定されたセッション キーの暗号化の種類の検出
CVE-2022-37966 に対して脆弱な暗号化の種類がユーザー アカウントで明示的に定義されている可能性があります。 次の Active Directory クエリを使用して、DES/RC4 が明示的に有効になっているが、AES が有効になっていないアカウントを探します。
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
レジストリ キーの設定
2022 年 11 月 8 日以降の日付の Windows 更新プログラムがインストールされると、Kerberos プロトコルで次のレジストリ キーを使用できるようになります:
DefaultDomainSupportedEncTypes
| レジストリ キー | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| 値 | DefaultDomainSupportedEncTypes |
| データ型 | REG_DWORD |
| データ値 | 0x27 (既定) |
| 再起動が必要ですか? | × |
メモ Active Directory ユーザーまたはコンピューターの既定の [サポートされている暗号化の種類] を変更する必要がある場合は、新しい [サポートされている暗号化の種類] を設定するようにレジストリ キーを手動で追加して構成します。 この更新プログラムは、レジストリ キーを自動的に追加しません。
Windows ドメイン コントローラーではこの値を使用して、msds-SupportedEncryptionType 値が空であるか設定されていない Active Directory のアカウントでサポートされている暗号化の種類を決定します。 サポートされているバージョンの Windows オペレーティング システムを実行しているコンピューターは、Active Directory でそのマシン アカウントの msds-SupportedEncryptionTypes を自動的に設定します。 これは、Kerberos プロトコルで使用できる暗号化の種類の構成済みの値に基づいています。 詳細については、「 ネットワーク セキュリティ: Kerberos で許可される暗号化の種類を構成する」を参照してください。
Active Directory のユーザー アカウント、グループ管理サービス アカウント、およびその他のアカウントには、msds-SupportedEncryptionTypes 値が自動的に設定されていません。
手動で設定できるサポートされている暗号化の種類については、「 サポートされている暗号化の種類のビット フラグ」を参照してください。 詳細については、「What you should do first to help prepare the environment and prevent Kerberos authentication issues (環境の準備と Kerberos 認証に関する問題の防止に役立つ最初に行うべき操作)」を参照してください。
このセキュリティ更新プログラムに必要な最小限の変更として、既定値 0x27 (DES、RC4、AES セッション キー) が選択されました。 この値は AES で暗号化されたチケットと AES セッション キーの両方に対応するため、セキュリティを強化するためには値を 0x3C に設定することをお勧めします。 ガイダンスに従って Kerberos プロトコルに RC4 が 使用されていない AES 専用環境へ移行した場合は、値を 0x38 に設定することをお勧めします。 「変更 1」を参照してください。
CVE-2022-37966 に関連する Windows イベント
Kerberos キー配布センターには、アカウントの強力なキーがありません
| イベント ログ | システム |
|---|---|
| イベントの種類 | エラー |
| イベント ソース | Kdcsvc |
| イベント ID | 42 |
| イベント テキスト | Kerberos キー配布センターには、アカウント: accountname の強力なキーがありません。 安全でない暗号化の使用を防ぐために、このアカウントのパスワードを更新する必要があります。 詳細については、「https://go.microsoft.com/fwlink/?linkid=2210019」を参照してください。 |
このエラーが発生した場合は、KrbtgtFullPacSingature = 3 を設定する前に krbtgt パスワードをリセットするか、2023 年 7 月 11 日以降にリリースされた Windows Updatesをインストールする必要があります。 CVE-2022-37967 の適用モードをプログラムによって有効にする更新プログラムは、Microsoft サポート技術情報の次の記事に記載されています。
KB5020805: CVE-2022-37967 に関連する Kerberos プロトコルの変更を管理する方法
これを行う方法の詳細については、GitHub Web サイトの New-KrbtgtKeys.ps1 トピックを参照してください。
よく寄せられる質問 (FAQ) と既知の問題
どのような状況で環境が脆弱ですか?
明示的な RC4 の使用のフラグが付いたアカウントは、脆弱です。 さらに、krbgt アカウント内に AES セッション キーがない環境には脆弱性がある可能性があります。 この問題を軽減するには、脆弱性を特定する方法に関するガイダンスに従い、レジストリ キーの設定セクションを使用して明示的に設定されている暗号化の既定値を更新してください。
2022 年 11 月 8 日以降にリリースされた更新プログラムをドメイン コントローラーにインストールした後、環境を準備し、Kerberos 認証の問題を防ぐには、まず何を行う必要がありますか?
すべてのデバイスに共通する Kerberos の暗号化の種類が設定されていることを確認する必要があります。 Kerberos 暗号化の種類の詳細については、「 サポートされている Kerberos 暗号化の種類の選択の暗号化解除」を参照してください。
共通する Kerberos の暗号化の種類がない環境は、ドメイン コントローラーのグループ ポリシーによって RC4 が無効化されている場合、自動で RC4 を追加したり AES を追加したりすることによって以前は機能していた可能性があります。 この動作は 2022 年 11 月 8 日以降にリリースされた更新プログラムによって変更され、レジストリ キー msds-SupportedEncryptionTypes および DefaultDomainSupportedEncTypes で設定されたものに厳密に従うようになります。
アカウントに msds-SupportedEncryptionTypes が設定されていない場合、またはこの値に 0 が設定されている場合、ドメイン コントローラーが 0x27 の規定値 (39) を推測するか、ドメイン コントローラーがレジストリ キー DefaultDomainSupportedEncTypes の設定を使用します。
アカウントに msds-SupportedEncryptionTypes が設定されている場合、この設定が尊重され、RC4 または AES が自動的に追加される以前の動作によってマスクされた共通する Kerberos の暗号化の種類が構成されていない可能性があります。この動作は、2022 年 11 月 8 日以降にリリースされた更新プログラムをインストールすると見られなくなります。
共通する Kerberos の暗号化の種類が設定されているかどうかを確認する方法については、「すべてのデバイスに共通する Kerberos の暗号化の種類が設定されているかどうかを確認する方法」を参照してください。
すべてのデバイスに共通の Kerberos 暗号化の種類があることを確認するにはどうすればよいですか?
2022 年 11 月 8 日以降にリリースされた更新プログラムをインストールした後でデバイスに共通の Kerberos の暗号化の種類が設定されていない可能性があることの理由については、前の質問を参照してください。
2022 年 11 月 8 日以降にリリースされた更新プログラムを既にインストールしている場合、Kerberos クライアントとリモート サーバーもしくはサービス間で不整合な暗号化の種類を識別する Microsoft-Windows-Kerberos-Key-Distribution-Center イベント 27 のイベント ログを調べることによって共通する Kerberos の暗号化の種類が設定されていないデバイスを検出することができます。
2022 年 11 月 8 日以降にリリースされた更新プログラムをインストールした後、環境で Kerberos 認証の問題が発生しています。ドメイン コントローラーの役割を実行しない Windows クライアント デバイスまたは Windows サーバーでこれらの問題に対処する必要がありますか?
クライアントまたはドメイン コントローラー以外の役割を実行するサーバーへの 2022 年 11 月 8 日以降にリリースされた更新プログラムのインストールがご利用中の環境の Kerberos 認証に影響を与えることはないはずです。
2022 年 11 月 8 日以降にリリースされた更新プログラムをドメイン コントローラーにインストールした後、ローカル セキュリティ機関サブシステム サービス (LSASS.exe) でメモリ リークが発生しています。どうすればいいんでしょうか。
この既知の問題を軽減するには、管理者としてコマンド プロンプト ウィンドウを開き、次のコマンドを一時的に使用して レジストリ キー KrbtgtFullPacSignature を 0 に設定します。
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
注
メモ この既知の問題が解決されたら、環境で許可される内容に応じて 、KrbtgtFullPacSignature を高い設定に設定する必要があります。 環境の準備が整い次第すぐに強制モードを有効にすることをお勧めします。
次の手順 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
環境内の Windows 以外のデバイスで Kerberos 認証エラーが発生する理由
2022 年 11 月 8 日以降にリリースされた更新プログラムをドメイン コントローラーにインストールした後は、CVE-2022-37967 が要求するセキュリティ強化に準拠するために、AES チケット署名がすべてのデバイスでサポートされている必要があります。
次の手順 Windows 以外のデバイスで最新のソフトウェアとファームウェアを既に実行していて、Windows ドメイン コントローラーと Windows 以外のデバイスの間で共通の暗号化の種類が使用可能であることを確認している場合は、デバイスの製造元 (OEM) に問い合わせてサポートを受けるか、デバイスを準拠しているデバイスに置き換える必要があります。
注
大事な 環境が脆弱になる可能性があるため、対応策を使用して非準拠デバイスの認証を許可することはお勧めしません。
サポートされていないバージョンの Windows を実行しているデバイスは、環境内のリソースにアクセスできなくなりました。また、これらのデバイスは、環境内の更新された Windows デバイスからアクセスできません。どうすればいいんでしょうか。
サポートされていないバージョンの Windows には、Windows XP、Windows Server 2003、Windows Server 2008 SP2、Windows Server 2008 R2 SP1 が含まれます。更新された Windows デバイスには、ESU ライセンスがない限りアクセスできません。 ESU ライセンスをお持ちの場合、2022 年 11 月 8 日以降にリリースされた更新プログラムをインストールし、すべてのデバイス間で利用可能な共通の暗号化の種類が構成に含まれているかどうかを確認する必要があります。
次の手順 お使いのバージョンの Windows で利用可能であり、該当する ESU ライセンスをお持ちの場合は、更新プログラムをインストールします。 更新プログラムを利用できない場合には、サポートされているバージョンの Windows へとアップグレードするか、アプリケーションまたはサービスを準拠デバイスへと移動する必要があります。
注
大事な 環境が脆弱になる可能性があるため、対応策を使用して非準拠デバイスの認証を許可することはお勧めしません。
すべてのデバイスに共通の暗号化の種類があり、AES のみを使用するように構成されています。2022 年 11 月 8 日の更新プログラムを具体的にインストールした後も Kerberos 認証エラーが表示されるのはなぜですか?
この既知の問題は、ご利用中の環境内のすべてのドメイン コントローラー (DC) へのインストールを目的として 2022 年 11 月 17 日および 2022 年 11 月 18 日にリリースされた帯域外更新プログラムで解決されました。 この問題を解決するために、更新プログラムをインストールしたり、環境内の他のサーバーやクライアント デバイスに変更を加えたりする必要はありません。 この問題の回避策または軽減策を使用した場合、それらは不要になったため、削除することをお勧めします。
これらの帯域外更新プログラムのスタンドアロン パッケージを取得するには、 Microsoft Update カタログで KB 番号を検索します。 これらの更新プログラムは、Windows Server Update Services (WSUS) と Microsoft Endpoint Configuration Manager に手動でインポートできます。 WSUS の手順については、「 WSUS とカタログ サイト」を参照してください。 構成マネージャーの手順については、「 Microsoft Update カタログから更新プログラムをインポートする」を参照してください。
注
メモ次の更新プログラムは、Windows Updateからは利用できません。また、自動的にはインストールされません。
累積的な更新プログラム:
注
メモ これらの累積的な更新プログラムをインストールする前に、以前の更新プログラムを適用する必要はありません。 2022 年 11 月 8 日にリリースされた更新プログラムを既にインストールしている場合は、上記の更新プログラムを含む以降の更新プログラムをインストールする前に、影響を受ける更新プログラムをアンインストールする必要はありません。
スタンドアロン更新プログラム:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (2022 年 11 月 18 日リリース)
- Windows Server 2008 SP2: KB5021657
注
注
- これらのバージョンの Windows Server でセキュリティのみの更新プログラムを使用している場合には、2022 年 11 月のこれらのスタンドアロン更新プログラムのみをインストールする必要があります。 セキュリティのみの更新プログラムは累積的ではないため、完全に最新の状態に保つには、以前のセキュリティのみの更新プログラムもすべてインストールする必要があります。 月例ロールアップ更新プログラムは累積的であり、セキュリティに関する更新プログラムとすべての品質更新プログラムが含まれます。
- 月例ロールアップ更新プログラムを使用している場合は、この問題を解決するために上記のスタンドアロン更新プログラムの両方をインストールし、2022 年 11 月の品質更新プログラムを受信するために、2022 年 11 月 8 日にリリースされた月例ロールアップをインストールする必要があります。 2022 年 11 月 8 日にリリースされた更新プログラムを既にインストールしている場合は、上記の更新プログラムを含む以降の更新プログラムをインストールする前に、影響を受ける更新プログラムをアンインストールする必要はありません。
Microsoft 以外の Kerberos 実装を使用するアプリケーションを Windows デバイスで使用しており、Kerberos 認証の問題が発生しています。どうすればいいんでしょうか。
ご利用中の環境の構成を確認しても Kerberos の非 Microsoft 実装で問題が発生する場合、アプリまたはデバイスの開発者もしくは製造元による更新プログラムまたはサポートが必要となります。
暗号化の種類のビットが設定されていない (下位 5 ビット) すべてのアカウントについて、Active Directory で msds-SupportedEncryptionTypes が設定されていますが、ドメイン コントローラーで 2022 年 11 月 8 日以降にリリースされた更新プログラムをインストールした後に認証エラーが発生しています。どうすればいいんでしょうか。
この既知の問題は、次のいずれかの方法で軽減することができます。
msds-SupportedEncryptionTypes をビットごとに設定するか、現在の既定値である 0x27 に設定して現在の値を保持します。 次に例を示します。
-
Msds-SuportedEncryptionTypes -bor 0x27
-
ドメイン コントローラーが 0x27 の既定値を使用できるようにするには、msds-SupportEncryptionTypes を 0 に設定します。
次の手順 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
用語集
Advanced Encryption Standard (AES)
Advanced Encryption Standard (AES) は、Data Encryption Standard (DES) に代わるブロック暗号です。 AES を使用して電子データを保護できます。 AES アルゴリズムを使用して、情報の暗号化 (暗号化) と暗号化解除 (解読) を行うことができます。 暗号化は、データを暗号文と呼ばれる判読不能な形式に変換します。暗号化テキストの暗号化を解除すると、データがプレーンテキストと呼ばれる元の形式に変換されます。 AES は対称キー暗号化で使用されます。つまり、暗号化操作と暗号化解除操作に同じキーが使用されます。 これはブロック暗号でもあります。つまり、プレーンテキストと暗号文の固定サイズブロックで動作し、プレーンテキストのサイズと暗号テキストのサイズがこのブロック サイズの正確な倍数である必要があります。 AES は、Rijndael 対称暗号化アルゴリズム [FIPS197] とも呼ばれます。
Kerberos
Kerberos は、"チケット" に基づいて動作するコンピューター ネットワーク認証プロトコルであり、ネットワーク経由で通信するノードがセキュリティで保護された方法で相互に ID を証明できるようにします。
キー配布センター (KDC)
Kerberos プロトコルで指定されたサービスを許可する認証とチケットを実装する Kerberos サービス。 サービスは、領域またはドメインの管理者によって選択されたコンピューターで実行されます。ネットワーク上のすべてのマシンに存在するわけではありません。 サービスを提供する領域のアカウント データベースにアクセスできる必要があります。 KDC はドメイン コントローラーロールに統合されます。 これは、サービスへの認証に使用するチケットをクライアントに提供するネットワーク サービスです。
RC4-HMAC
RC4-HMAC (RC4) は、可変キー長対称暗号化アルゴリズムです。 詳細については、「 SCHNEIER」 セクション 17.1 を参照してください。
セッション キー
比較的有効期間の短い対称キー (共有シークレットに基づいてクライアントとサーバーによってネゴシエートされる暗号化キー)。 セッション キーの有効期間は、関連付けられているセッションによって制限されます。 セッション キーは、セッションの有効期間に対する暗号化分析に耐えられるほど強力である必要があります。
チケット付与チケット
他のチケットを取得するために使用できる特別な種類のチケット。 チケット付与チケット (TGT) は、認証サービス (AS) 交換での最初の認証の後に取得されます。その後、ユーザーは資格情報を提示する必要はありませんが、TGT を使用して後続のチケットを取得できます。