KB5021130: Hoe de Netlogon-protocolwijzigingen met betrekking tot CVE-2022-38023 te beheren

De eerste implementatiefase begint met de updates die zijn uitgebracht op 8 november 2022 en gaat door met latere Windows-updates tot de afdwingingsfase. Windows-updates op of na 8 november 2022 verhelpen het beveiligingsprobleem met CVE-2022-38023 door RPC-verzegeling af te dwingen op alle Windows-clients.

Apparaten worden standaard ingesteld in de compatibiliteitsmodus. Windows-domeincontrollers vereisen dat Netlogon-clients RPC-zegel gebruiken als ze Windows uitvoeren of als ze fungeren als domeincontrollers of als vertrouwensrekeningen.

De Windows-updates die zijn uitgebracht op of na 11 april 2023, verwijderen de mogelijkheid om RPC-verzegeling uit te schakelen door waarde 0 in te stellen op de registersubsleutel RequireSeal .

De RequireSeal-registersubsleutel wordt verplaatst naar de afgedwongen modus, tenzij beheerders deze expliciet configureren in de compatibiliteitsmodus. Kwetsbare verbindingen van alle clients, inclusief van derden, zullen geen authenticatie krijgen. Zie Wijziging 1.

De Windows-updates die zijn uitgebracht op 11 juli 2023, verwijderen de mogelijkheid om waarde 1 in te stellen op de registersubsleutel RequireSeal . Dit maakt de handhavingsfase van CVE-2022-38023 mogelijk.

Als dit foutbericht in uw gebeurtenislogboeken wordt weergegeven, moet u de volgende acties uitvoeren om de systeemfout op te lossen:

• Controleer of op het apparaat een ondersteunde versie van Windows wordt uitgevoerd.
• Controleer of alle apparaten up-to-date zijn.
• Controleer of Domeinlid: Domeinlid Gegevens voor beveiligd kanaal digitaal versleutelen of ondertekenen (altijd) is ingesteld op Ingeschakeld .

Als u gebeurtenis 5840 vindt, is dit een teken dat een client in uw domein zwakke codering gebruikt.

Als u gebeurtenis 5841 vindt, geeft dit aan dat de waarde RejectMD5Clients is ingesteld op TRUE .

De sleutel RejectMD5Clients is een bestaande sleutel in de Netlogon-service. Zie de beschrijving van RejectMD5Clients van het abstracte gegevensmodel voor meer informatie.

Deze CVE heeft invloed op alle computeraccounts die lid zijn van een domein. Gebeurtenissen laten zien wie het meest wordt beïnvloed door dit probleem nadat de Windows-updates van 8 november 2022 of later zijn geïnstalleerd. Raadpleeg de sectie Fouten in het gebeurtenislogboek om de problemen op te lossen.

Om oudere clients te helpen detecteren die niet de sterkst beschikbare crypto gebruiken, introduceert deze update gebeurtenislogboeken voor clients die RC4 gebruiken.

Er is sprake van RPC-ondertekening wanneer het Netlogon-protocol RPC gebruikt om de berichten te ondertekenen die via het netwerk worden verzonden. Er is sprake van RPC-verzegeling wanneer het Netlogon-protocol de berichten ondertekent en versleutelt die via het netwerk worden verzonden.

Windows Domain Controller bepaalt of een Netlogon-client Windows uitvoert door het kenmerk 'OperatingSystem' in Active Directory op te vragen voor de Netlogon-client en te controleren op de volgende tekenreeksen:

• "Windows", "Hyper-V Server" en "Azure Stack HCI"

Netlogon-clients of domeinbeheerders adviseren of ondersteunen dit kenmerk niet om deze eigenschap te wijzigen in een waarde die niet representatief is voor het besturingssysteem (OS) dat door de Netlogon-client wordt uitgevoerd. Houd er rekening mee dat we de zoekcriteria op elk moment kunnen wijzigen. Zie Wijziging 3.

Tijdens de afdwingingsfase worden Netlogon-clients niet geweigerd op basis van het type codering dat de clients gebruiken. Netlogon-clients worden alleen geweigerd als zij RPC-ondertekening uitvoeren in plaats van RPC-Sealing. Het weigeren van RC4 Netlogon-clients is gebaseerd op de registersleutel 'RejectMd5Clients' die beschikbaar is voor Windows-domeincontrollers van Windows Server 2008 R2 en hoger. De afdwingingsfase voor deze update verandert de waarde 'RejectMd5Clients' niet. We raden klanten aan de waarde 'RejectMd5Clients' in te schakelen voor een betere beveiliging van hun domeinen. Zie Wijziging 3.

Advanced Encryption Standard (AES) is een blokcijfer dat de DES (Data Encryption Standard) vervangt. AES kan worden gebruikt om elektronische gegevens te beveiligen. Het AES-algoritme kan worden gebruikt om informatie te versleutelen (coderen) en te decoderen (ontcijferen). Encryptie zet gegevens om in een onbegrijpelijke vorm die cijfertekst wordt genoemd; Het ontsleutelen van de cijfertekst converteert de gegevens terug naar de oorspronkelijke vorm, de zogenaamde platte tekst. AES wordt gebruikt in cryptografie met symmetrische sleutels, wat betekent dat dezelfde sleutel wordt gebruikt voor de versleutelings- en ontsleutelingsbewerkingen. Het is ook een blokcijfer, wat betekent dat het werkt op blokken platte tekst en cijfertekst met een vaste grootte, en vereist dat de grootte van zowel de platte tekst als de cijfertekst een exact veelvoud is van deze blokgrootte. AES staat ook bekend als het Rijndael symmetrische encryptie-algoritme [FIPS197].

In een netwerkbeveiligingsomgeving die compatibel is met een Windows NT-besturingssysteem: het onderdeel dat verantwoordelijk is voor de synchronisatie- en onderhoudsfuncties tussen een primaire domeincontroller (PDC) en back-updomeincontrollers (BDC). Netlogon is een voorloper van het protocol voor de directoryreplicatieserver (DRS). De RPC-interface (Remote Protocol remote procedure call) van Netlogon wordt voornamelijk gebruikt voor het onderhouden van de relatie tussen een apparaat en het bijbehorende domein en tussen domeincontrollers (DC's) en domeinen. Zie Netlogon Remote Protocol voor meer informatie.

RC4-HMAC (RC4) is een symmetrisch coderingsalgoritme met variabele sleutellengte. Zie voor meer informatie rubriek 17.1 van [SCHNEIER].

Een geverifieerde RPC-verbinding (remote procedure call) tussen twee machines in een domein met een bestaande beveiligingscontext die wordt gebruikt voor het ondertekenen en versleutelen van RPC-pakketten .