Izmaiņu žurnāls
|
1. izmaiņa: 2023. gada 5. aprīlis: Pārvietots reģistra atslēgas posms "Izpilde pēc noklusējuma" no 2023. gada 11. aprīļa uz 2023. gada 13. jūniju sadaļā "Atjauninājumu laiks, lai risinātu adresi CVE-2022-38023". 2. izmaiņa: 2023. gada 20. aprīlis: Noņemta neprecīza atsauce uz grupas politikas objektu (Domain Controller: Allow vulnerable Netlogon secure channel connections" (GPO) sadaļā "Reģistra atslēgas iestatījumi". 3. izmaiņa: 2023. gada 19. jūnijs:
|
|---|
Tēmas šajā rakstā
- Kopsavilkums
- Atjauninājumu laiks, lai risinātu CVE-2022-38023
- Reģistra atslēgas iestatījumi
- Windows notikumi, kas saistīti ar CVE-2022-38023
- Bieži uzdotie jautājumi (BUJ)
- Glosārijs
Kopsavilkums
2022. gada 8. novembra un jaunākos Windows atjauninājumos tiek novērstas nepilnības Netlogon protokolā, kad RPC parakstīšanas vietā tiek izmantota RPC parakstīšana. Plašāku informāciju var atrast CVE-2022-38023 .
Netlogon attālā protokola attālās procedūras izsaukuma (RPC) interfeiss galvenokārt tiek izmantots, lai uzturētu relāciju starp ierīci un tās domēnu , kā arī relācijas starp domēna kontrolleriem (DC) un domēniem.
Šis atjauninājums pēc noklusējuma aizsargā Windows ierīces no CVE-2022-38023 . Trešo pušu klientiem un trešo pušu domēnu kontrolleriem atjaunināšana pēc noklusējuma ir saderības režīmā un pieļauj neaizsargātus savienojumus no šādiem klientiem. Skatiet sadaļu Reģistra atslēgas iestatījumi , lai uzzinātu, kā pāriet uz aktivizēšanas režīmu.
Lai palīdzētu aizsargāt savu vidi, instalējiet Windows atjauninājumu, kas ir datēts ar 2022. gada 8. novembri, vai jaunāku Windows atjauninājumu visās ierīcēs, tostarp domēna kontrolleros.
Tas ir svarīgi Sākot ar 2023. gada jūniju, izpildes režīms būs iespējots visos Windows domēna kontrolleros un bloķēs neaizsargātus savienojumus no neatbilstošām ierīcēm. Pēc šī perioda jūs nevarēsit atspējot atjauninājumu, bet, iespējams, pāriešana atpakaļ uz saderības režīma iestatījumu. Saderības režīms tiks noņemts 2023. gada jūlijā, kā norādīts sadaļā Atjauninājumu laika intervāls, lai risinātu Netlogon ievainojamības problēmu CVE-2022-38023 .
Atjauninājumu laiks, lai risinātu CVE-2022-38023
Atjauninājumi tiks izlaisti vairākos posmos: sākotnējais posms atjauninājumiem, kas izlaisti 2022. gada 8. novembrī vai vēlāk, un izpildes posms atjauninājumiem, kas izlaisti 2023. gada 11. jūlijā vai vēlāk.
2022. gada 8. novembris — sākotnējais izvietošanas posms
Sākotnējais izvietošanas posms sākas ar atjauninājumiem, kas izlaisti 2022. gada 8. novembrī, un turpinās ar jaunākiem Windows atjauninājumiem līdz izpildes posmam. Windows atjauninājumi, kas ieviesti 2022. gada 8. novembrī vai vēlāk, novērš CVE-2022-38023 drošības apiešanas ievainojamību, ieviešot RPC aizzīmogošanu visos Windows klientos.
Pēc noklusējuma ierīces tiks iestatītas saderības režīmā. Windows domēna kontrolleri pieprasa, lai Netlogon klienti izmanto RPC zīmogu, ja tie izmanto operētājsistēmu Windows vai darbojas kā domēna kontrolleri vai kā uzticamības konti.
2023. gada 11. aprīlis — sākotnējais izpildes posms
Windows atjauninājumi, kas izlaisti 2023. gada 11. aprīlī vai vēlāk, noņems iespēju atspējot RPC aizzīmogošanu, reģistra apakšatslēgai RequireSeal iestatot vērtību 0.
2023. gada 13. jūnijs — izpilde pēc noklusējuma
Reģistra apakšatslēga RequireSeal tiks pārvietota uz piespiedu režīmu, ja vien administratori nav tieši konfigurējuši saderības režīmu. Ievainojamiem savienojumiem no visiem klientiem, tostarp trešajām pusēm, tiks liegta autentifikācija. Skatīt 1. izmaiņas.
2023. gada 11. jūlijs — izpildes fāze
Windows atjauninājumi, kas izlaisti 2023. gada 11. jūlijā, noņems iespēju iestatīt vērtību 1 reģistra apakšatslēgai RequireSeal . Tas iespējo CVE-2022-38023 izpildes posmu.
Reģistra atslēgas iestatījumi
Pēc Windows atjauninājumu, kas ir datēti ar 2022. gada 8. novembri vai vēlāk, instalēšanas Windows domēna kontrolleru Netlogon protokolam ir pieejama tālāk norādītā reģistra apakšatslēga.
Piezīme
SVARĪGI Šis atjauninājums, kā arī turpmākās izpildes izmaiņas automātiski nepievieno vai nenoņem reģistra apakšatslēgu "RequireSeal". Šī reģistra apakšatslēga ir jāpievieno manuāli, lai to varētu nolasīt. Skatīt 3. izmaiņas.
Apakšatslēga RequireSeal
| Reģistra atslēga | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Vērtība | Pieprasīt zīmogu |
| Datu tips | REG_DWORD |
| Dati |
0 — atspējots 1 - saderības režīms. Windows domēna kontrolleri pieprasa, lai Netlogon klienti izmanto RPC zīmogu, ja tie izmanto operētājsistēmu Windows vai darbojas kā domēna kontrolleri vai uzticamības konti. 2 . Izpildes režīms. Visiem klientiem ir jāizmanto RPC zīmogs. Skatīt 2. izmaiņas. |
| Vai nepieciešama restartēšana? | Nē |
Windows notikumi, kas saistīti ar CVE-2022-38023
Piezīme
PIEZĪME Tālāk norādītajiem notikumiem ir 1 stundas buferis, kurā bufera laikā tiek atmesti notikumu dublikāti, kas satur to pašu informāciju.
Netlogon pakalpojums saskārās ar klientu, kas izmanto RPC parakstīšanu, nevis RPC zīmogošanu
| Notikumu žurnāls | Sistēma |
|---|---|
| Notikuma tips | Kļūda |
| Notikuma avots | NETLOGON |
| Notikuma ID | 5838 |
| Notikuma teksts | Netlogon pakalpojums saskārās ar klientu, kas izmanto RPC parakstīšanu, nevis RPC aizzīmogošanu. |
Ja atrodat šo kļūdas ziņojumu savos notikumu žurnālos, veiciet tālāk norādītās darbības, lai novērstu sistēmas kļūdu.
- Pārliecinieties, ka ierīcē darbojas atbalstīta Windows versija.
- Pārbaudiet, vai visas ierīces ir atjauninātas.
- Pārbaudiet, vai Domēna dalībnieks: Domēna dalībnieks Digitāli šifrēt vai parakstīt droša kanāla datus (vienmēr) ir iestatīta pozīcijā Iespējots .
Netlogon pakalpojums konstatēja uzticamību, izmantojot RPC parakstīšanu, nevis RPC aizzīmogošanu
| Notikumu žurnāls | Sistēma |
|---|---|
| Notikuma tips | Kļūda |
| Notikuma avots | NETLOGON |
| Notikuma ID | 5839 |
| Notikuma teksts | Netlogon pakalpojums konstatēja uzticamību, izmantojot RPC parakstīšanu, nevis RPC aizzīmogošanu. |
Netlogon pakalpojums izveidoja drošu kanālu ar klientu, izmantojot RC4
| Notikumu žurnāls | Sistēma |
|---|---|
| Notikuma tips | Brīdinājums |
| Notikuma avots | NETLOGON |
| Notikuma ID | 5840 |
| Notikuma teksts | Netlogon pakalpojums izveidoja drošu kanālu ar klientu ar RC4. |
Ja atrodat notikumu 5840, tā ir pazīme, ka jūsu domēna klients izmanto vāju šifrēšanas metodi.
Netlogon pakalpojums noraidīja klientu, kas izmanto RC4, iestatījuma "RejectMd5Clients" dēļ
| Notikumu žurnāls | Sistēma |
|---|---|
| Notikuma tips | Kļūda |
| Notikuma avots | NETLOGON |
| Notikuma ID | 5841 |
| Notikuma teksts | Netlogon pakalpojums noraidīja klientu, izmantojot RC4 iestatījuma "RejectMd5Clients" dēļ. |
Ja atrodat notikumu 5841, tā norāda, ka RejectMD5Clients vērtība ir iestatīta uz TRUE .
Atslēga RejectMD5Clients ir iepriekš esoša atslēga Netlogon pakalpojumā. Lai iegūtu papildinformāciju, skatiet kopsavilkuma datu modeļa aprakstu RejectMD5Clients .
Bieži uzdotie jautājumi (BUJ)
Kas ir neaizsargāts pret problēmu, kas uzskaitīta CVE-2022-38023?
Šis CVE ietekmē visus domēnam pievienotos datora kontus. Notikumos tiks parādīts, ko šī problēma ietekmēs visvairāk pēc 2022. gada 8. novembra vai jaunākas Windows atjauninājumu instalēšanas, lūdzu, pārskatiet sadaļu Notikumu žurnāla kļūdas , lai novērstu problēmas.
Lai palīdzētu noteikt vecākus klientus, kuri neizmanto visspēcīgāko pieejamo kriptovalūtu, šajā atjauninājumā ir ieviesti notikumu žurnāli klientiem, kas izmanto RC4.
Kas ir RPC parakstīšana un RPC blīvēšana?
RPC parakstīšana ir tad, kad Netlogon protokols izmanto RPC, lai parakstītu ziņojumus, kas tiek sūtīti, izmantojot vadu. RPC aizzīmogošana ir tad, kad Netlogon protokols gan paraksta, gan šifrē ziņojumus, ko tas nosūta pa vadu.
Kā Windows domēna kontrolleri nosaka, vai Netlogon klientā darbojas operētājsistēma Windows?
Windows domēna kontrolleris, lai noteiktu, vai Netlogon klientā darbojas sistēma Windows, Netlogon klientam pakalpojumā Active Directory izveidojot vaicājumu "OperatingSystem" atribūtam un pārbaudot, vai nav šādu virkņu:
- "Windows", "Hyper-V Server" un "Azure Stack HCI"
Mēs neiesakām un neatbalstām, ka Netlogon klienti vai domēna administratori maina šo atribūtu uz vērtību, kas nav reprezentatīva operētājsistēmai (OS), kas darbojas Netlogon klientā. Jums jāņem vērā, ka mēs jebkurā brīdī varam mainīt meklēšanas kritērijus. Skatīt 3. izmaiņas.
Vai izpildes fāze noraidīs RC4 Netlogon klientus?
Izpildes fāze nenoraida Netlogon klientus, pamatojoties uz klientu izmantoto šifrēšanas veidu. Tas noraidīs Netlogon klientus tikai tad, ja tie veic RPC parakstīšanu, nevis RPC aizzīmogošanu. RC4 Netlogon klientu noraidīšanas pamatā ir reģistra atslēga "RejectMd5Clients", kas pieejama Windows Server 2008 R2 un jaunākiem Windows domēna kontrolleriem. Šī atjauninājuma izpildes fāze nemaina vērtību "RejectMd5Clients". Lai nodrošinātu augstāku drošību savos domēnos, klientiem ieteicams iespējot vērtību "RejectMd5Clients". Skatīt 3. izmaiņas.
Glosārijs
AES
Advanced Encryption Standard (AES) ir bloka šifrs, kas aizstāj Data Encryption Standard (DES). AES var izmantot, lai aizsargātu elektroniskos datus. AES algoritmu var izmantot, lai šifrētu (šifrētu) un atšifrētu (atšifrētu) informāciju. Šifrēšana pārvērš datus nesaprotamā formā, ko sauc par šifrētu tekstu; Šifrētā teksta atšifrēšana pārvērš datus atpakaļ to sākotnējā formā, ko sauc par vienkāršu tekstu. AES tiek izmantots simetrisko atslēgu kriptogrāfijā, kas nozīmē, ka viena un tā pati atslēga tiek izmantota šifrēšanas un atšifrēšanas operācijām. Tas ir arī bloku šifrs, kas nozīmē, ka tas darbojas ar fiksēta izmēra vienkārša teksta un šifra teksta blokiem, un pieprasa, lai vienkārša teksta un šifra teksta lielums būtu precīzs šī bloka lieluma daudzkārtnis. AES ir pazīstams arī kā Rijndael simetriskās šifrēšanas algoritms [FIPS197].
Netlogon
Ar operētājsistēmu Windows NT saderīgā tīkla drošības vidē komponents, kas atbild par sinhronizācijas un uzturēšanas funkcijām starp primāro domēna kontrolleri (PDC) un rezerves domēna kontrolleriem (BDC). Netlogon ir direktoriju replicēšanas servera (DRS) protokola prekursors. Netlogon attālā protokola attālās procedūras izsaukuma (RPC) interfeiss galvenokārt tiek izmantots, lai uzturētu relāciju starp ierīci un tās domēnu , kā arī relācijas starp domēna kontrolleriem (DC) un domēniem. Papildinformāciju skatiet sadaļā Netlogon attālais protokols.
RC4-HMAC
RC4-HMAC (RC4) ir mainīga atslēgas garuma simetriskās šifrēšanas algoritms. Papildinformāciju skatīt [SCHNEIER] 17.1. punktā.
Drošs kanāls
Autentificēts attālās procedūras izsaukuma (RPC) savienojums starp divām mašīnām domēnā ar izveidotu drošības kontekstu , ko izmanto RPC pakešu parakstīšanai un šifrēšanai.