| VIKTIG Datoen for håndhevelsesmodus, som tidligere nevnt i denne artikkelen, er endret til 9. mars 2021. |
|---|
Sammendrag
Hvis du bruker beskyttede brukere og ressursbasert delegering (RBCD), kan det finnes et sikkerhetsproblem på Active Directory-domenekontrollere. Hvis du vil vite mer om sikkerhetsproblemet, kan du se CVE-2020-16996.
|
Iverksett tiltak Du må gjøre følgende for å beskytte miljøet og forhindre nedetid:
|
|---|
Tidsberegning av oppdateringer
Disse Windows-oppdateringene blir utgitt i to faser:
- Den første distribusjonsfasen for Windows-oppdateringer utgitt på eller etter 8. desember 2020.
- Håndhevelsesfasen for Windows-oppdateringer utgitt 9. mars 2021 eller senere.
8. desember 2020: Første distribusjonsfase
Den første distribusjonsfasen starter med Windows-oppdateringen som ble utgitt 8. desember 2020, og fortsetter med en senere Windows-oppdatering for håndhevelsesfasen . Disse og senere Windows-oppdateringer gjør endringer i Kerberos.
Denne utgivelsen:
- Adresserer CVE-2020-16996 (deaktivert som standard).
- Legger til støtte for registerverdien NonForwardableDelegation for å aktivere beskyttelse på Active Directory-domenekontrollerservere. Som standard finnes ikke verdien.
Begrensningen består av installasjon av Windows-oppdateringer på alle enheter som er vert for Active Directory-domenekontrollerrollen og skrivebeskyttede domenekontrollere (RODC-er), og deretter aktivering av håndhevelsesmodus .
9. mars 2021: Håndhevelsesfasen
Utgivelsen fra 9. mars 2021 går over til håndhevelsesfasen. Håndhevelsesfasen håndhever endringene for å adressere CVE-2020-16996. Active Directory-domenekontrollere vil nå være i håndhevelsesmodus med mindre registernøkkelen for håndhevelsesmodus er satt til 1 (deaktivert). Hvis registernøkkelen for håndhevelsesmodus er angitt, vil innstillingen overholdes. Hvis du vil gå til håndhevelsesmodus , kreves det at alle Active Directory-domenekontrollere har oppdateringen fra 8. desember 2020 eller en nyere oppdatering installert.
Installasjonsveiledning
Før du installerer denne oppdateringen
Du må ha følgende nødvendige oppdateringer installert før du installerer denne oppdateringen. Hvis du bruker Windows Update, blir disse nødvendige oppdateringene automatisk tilbudt ved behov.
- Du må ha SHA-2-oppdateringen (KB4474419) som er datert 23. september 2019 eller en nyere SHA-2-oppdatering installert, og deretter starte enheten på nytt før du bruker denne oppdateringen. Hvis du vil ha mer informasjon om SHA-2-oppdateringer, kan du se Krav til støtte for SHA-2-kodesignering for Windows og WSUS for 2019.
- For Windows Server 2008 R2 SP1 må du ha installert servicestakkoppdateringen (SSU) (KB4490628) som er datert 12. mars 2019. Når oppdateringen KB4490628 er installert, anbefales det at du installerer den nyeste SSU-oppdateringen. Hvis du vil ha mer informasjon om den nyeste SSU-oppdateringen, kan du se ADV990001 | Siste servicestakk-Oppdateringer.
- For Windows Server 2008 SP2 må du ha installert servicestakkoppdateringen (SSU) (KB4493730) som er datert 9. april 2019. Når oppdateringen KB4493730 er installert, anbefales det at du installerer den nyeste SSU-oppdateringen. Hvis du vil ha mer informasjon om de nyeste SSU-oppdateringene, kan du se ADV990001 | Siste servicestakk-Oppdateringer.
- Kunder må kjøpe den utvidede sikkerhetsoppdateringen (ESU) for lokale versjoner av Windows Server 2008 SP2 eller Windows Server 2008 R2 SP1 etter at utvidet støtte opphørte 14. januar 2020. Kunder som har kjøpt ESU, må følge fremgangsmåtene i KB4522133 for å fortsette å motta sikkerhetsoppdateringer. Hvis du vil ha mer informasjon om ESU og hvilke utgaver som støttes, kan du se KB4497181.
Viktig! Du må starte enheten på nytt etter at du har installert disse nødvendige oppdateringene.
Installer oppdateringen
Du kan løse sikkerhetsproblemet ved å installere Windows-oppdateringene og aktivere håndhevelsesmodus ved å følge denne fremgangsmåten.
Advarsel Midlertidige godkjenningsproblemer kan oppstå hvis disse Windows-oppdateringene og registerverdien brukes inkonsekvent i ett eller begge følgende scenarioer:
|
|---|
Trinn 1: Installer Windows-oppdateringen
Installer Windows-oppdateringen fra 8. desember 2020 eller en nyere Windows-oppdatering på alle enheter som er vert for Active Directory-domenekontrollerrollen i skogen, inkludert skrivebeskyttede domenekontrollere.
Oppdateringer for 8. desember 2020
| Windows Server-produkt | KB # | Type oppdatering |
|---|---|---|
| Windows Server, versjon 20H2 (Server Core-installasjon) | 4592438 | Sikkerhetsoppdatering |
| Windows Server, versjon 2004 (Server Core-installasjon) | 4592438 | Sikkerhetsoppdatering |
| Windows Server, versjon 1909 (Server Core-installasjon) | 4592449 | Sikkerhetsoppdatering |
| Windows Server, versjon 1903 (Server Core-installasjon) | 4592449 | Sikkerhetsoppdatering |
| Windows Server 2019 (Server Core-installasjon) | 4592440 | Sikkerhetsoppdatering |
| Windows Server 2019 | 4592440 | Sikkerhetsoppdatering |
| Windows Server 2016 (Server Core-installasjon) | 4593226 | Sikkerhetsoppdatering |
| Windows Server 2016 | 4593226 | Sikkerhetsoppdatering |
| Windows Server 2012 R2 (Server Core-installasjon) | 4592484 | Månedlig samleoppdatering |
| 4592495 | Bare sikkerhet | |
| Windows Server 2012 R2 | 4592484 | Månedlig samleoppdatering |
| 4592495 | Bare sikkerhet | |
| Windows Server 2012 (Server Core-installasjon) | 4592468 | Månedlig samleoppdatering |
| 4592497 | Bare sikkerhet | |
| Windows Server 2012 | 4592468 | Månedlig samleoppdatering |
| 4592497 | Bare sikkerhet | |
| Windows Server 2008 R2 Service Pack 1 | 4592471 | Månedlig samleoppdatering |
| 4592503 | Bare sikkerhet | |
| Windows Server 2008 Service Pack 2 | 4592498 | Månedlig samleoppdatering |
| 4592504 | Bare sikkerhet |
Trinn 2: Aktiver håndhevelsesmodus
Når alle enheter som er vert for Active Directory-domenekontrollerrollen er oppdatert, venter du minst en hel dag for å tillate at alle utestående tjenestebilletter for Service for User to Self (S4U2self) utløper. Deretter aktiverer du full beskyttelse ved å distribuere håndhevelsesmodus . For å gjøre dette må du aktivere registernøkkelen for håndhevelsesmodus .
Advarsel Det kan oppstå alvorlige problemer hvis du endrer registeret feil ved å bruke Registerredigering eller en annen metode. Disse problemene kan føre til at du må installere operativsystemet på nytt. Microsoft kan ikke garantere at disse problemene kan løses. Endre registeret på egen risiko.
Vær oppmerksom på Denne registerverdien opprettes ikke ved å installere denne oppdateringen. Du må legge til denne registerverdien manuelt.
| Undernøkkel for registeret | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Kdc |
|---|---|
| Verdi | NonForwardableDelegation |
| Datatype | REG_DWORD |
| Data |
1: Deaktiverer håndhevelsesmodus. 0: Aktiverer håndhevelsesmodus. Dette er den beskyttede tilstanden. |
| Standard | 1 |
| Er det nødvendig med omstart? | Nei |
Merknader om registerverdien «NonForwardableDelegation»:
Hvis registerverdien er angitt, vil den ha forrang over innstillingen for håndhevelsesmodus som er inkludert i Windows-oppdateringene 9. mars 2021.
- Hvis registerverdien er satt til 1 (Deaktiver), tillates videresending på Kerberos-tjenestebilletter som IKKE er merket som videresendbare.
- Hvis registerverdien er satt til 0 (Aktiver), tillates IKKE videresending for Kerberos-tjenestebilletter som IKKE er merket som videresendbare.
Hvis domenet inneholder Windows Server 2008 R2 eller tidligere Active Directory-domenekontrollere, trenger du ikke angi håndhevelsesmodus fordi disse domenekontrollerne ikke støtter RBCD.
Hvis du ikke oppdaterer alle Active Directory-domenekontrollere konsekvent under aktivering av håndhevelsesmodus , fører det til uregelmessige tjenestedelegeringsfeil.
Før du angir håndhevelsesmodus :
- Alle Active Directory-domenekontrollere må oppdateres med Windows-oppdateringen fra 8. desember 2020 eller en nyere Windows-oppdatering, og
- Alle utestående S4USelf Kerberos-serviceforespørsler må ha utløpt ved å vente en dag etter at Windows Update-distribusjonen til alle Active Directory-domenekontrollere er fullført.
Flere hensyn
Når denne beskyttelsen er aktivert, forener den logikken for Resource-Based begrenset delegering (RBCD) med den opprinnelige begrensede delegeringen. Dette kan føre til problemer i de to følgende scenarioene:
- Én enkelt tjeneste bruker samtidig opprinnelig Kerberos-begrenset delegering (KCD) uten protokollovergang til ett mål mens den bruker RBCD med protokollovergang til et annet. Etter denne endringen vil overgangen for nektelse av protokoll gjelde for begge delegeringsstilene.
- RBCD brukes i et domene som bruker domenekontrollere som ikke er oppdatert med CVE-2020-16996 eller kjører eldre versjoner av Windows Server (eldre enn Windows Server 2012) som ikke har en tilgjengelig oppdatering for CVE-2020-16996. Nøkkeldistribusjonssentrene (KDC-er) som ikke er oppdatert, vil ikke flagge S4USelf Kerberos-servicebilletter som OK for delegering og protokollovergang vil bli avslått.