KB5037754: PAC-validatiewijzigingen beheren met betrekking tot CVE-2024-26248 en CVE-2024-29056

De eerste implementatiefase begint met de updates die zijn uitgebracht op 9 april 2024. Deze update voegt nieuw gedrag toe dat misbruik van bevoegdheden voorkomt, zoals beschreven in CVE-2024-26248 en CVE-2024-29056 , maar dwingt dit niet af, tenzij zowel Windows-domeincontrollers als Windows-clients in de omgeving worden bijgewerkt.

Om het nieuwe gedrag in te schakelen en de beveiligingsproblemen te verhelpen, moet u ervoor zorgen dat uw volledige Windows-omgeving (inclusief domeincontrollers en clients) wordt bijgewerkt. Controlegebeurtenissen worden vastgelegd om apparaten te identificeren die niet zijn bijgewerkt.

Updates uitgebracht op of na 15 oktober 2024, worden alle Windows-domeincontrollers en -clients in de omgeving verplaatst naar de modus Afgedwongen door de instellingen voor de registersubsleutel te wijzigen in PacSignatureValidationLevel=3 en CrossDomainFilteringLevel=4, waardoor het veilige gedrag standaard wordt afgedwongen.

De standaardinstellingen voor afgedwongen kunnen worden overschreven door een beheerder om terug te keren naar de compatibiliteitsmodus .

De Windows-beveiligingsupdates die zijn uitgebracht op of na 8 april 2025, zullen de ondersteuning voor de registersubsleutels PacSignatureValidationLevel en CrossDomainFilteringLevel verwijderen en het nieuwe beveiligingsgedrag afdwingen. Er is geen ondersteuning voor de compatibiliteitsmodus na de installatie van deze update.

Deze registersleutel kan worden geïmplementeerd op zowel Windows-servers die binnenkomende Kerberos-verificatie accepteren, als op elke Windows-domeincontroller die de nieuwe aanmeldingsstroom voor netwerktickets onderweg valideert.

Deze gebeurtenis wordt weergegeven wanneer een domeincontroller een niet-fatale actie heeft uitgevoerd tijdens een aanmeldingsstroom voor netwerktickets. Vanaf nu worden de volgende acties geregistreerd:

• Gebruikers-SID's zijn gefilterd.

• Apparaat-SID's zijn gefilterd.

• De samengestelde identiteit is verwijderd omdat SID-filtering de identiteit van het apparaat niet toewijst.

• De samengestelde identiteit is verwijderd omdat sid-filtering de domeinnaam van het apparaat niet heeft toegewezen.

Deze gebeurtenis wordt weergegeven wanneer een domeincontroller de aanmeldingsaanvraag voor netwerktickets heeft geweigerd om de redenen die in de gebeurtenis worden weergegeven. ​​​​​​

• Deze gebeurtenis wordt weergegeven als een waarschuwing als PacSignatureValidationLevel AND CrossDomainFilteringLevel niet is ingesteld op Afdwingen of strenger. Wanneer de gebeurtenis wordt geregistreerd als een waarschuwing, geeft de gebeurtenis aan dat de aanmeldingsstromen voor netwerktickets contact hebben gemaakt met een domeincontroller of een equivalent apparaat dat het nieuwe mechanisme niet begrijpt. De verificatie mag terugvallen op eerder gedrag.

• Deze gebeurtenis wordt weergegeven als een fout als PacSignatureValidationLevel OF CrossDomainFilteringLevel is ingesteld op Afdwingen of strenger. Deze gebeurtenis als 'fout' geeft aan dat de aanmeldingsstroom voor netwerktickets contact heeft gemaakt met een domeincontroller of een gelijkwaardig apparaat dat het nieuwe mechanisme niet begrijpt. De verificatie is geweigerd en kan niet terugvallen op eerder gedrag.

Deze gebeurtenis wordt gegenereerd wanneer Netlogon een onverwachte fout heeft opgetreden tijdens een aanmeldingsaanvraag voor netwerktickets. Deze gebeurtenis wordt geregistreerd wanneer AuditKerberosTicketLogonEvents is ingesteld op (1) of hoger.

Deze gebeurtenis wordt gegenereerd wanneer Netlogon de aanmelding van het netwerkticket niet kon voltooien omdat een domeincontroller de wijzigingen niet begrijpt. Vanwege beperkingen in het Netlogon-protocol kan de Netlogon-client niet bepalen of de domeincontroller waarmee de Netlogon-client rechtstreeks praat, degene is die de wijzigingen niet begrijpt of dat het een domeincontroller in de doorstuurketen is die de wijzigingen niet begrijpt.

• Als het serviceticketdomein hetzelfde is als het domein van het computeraccount, is het waarschijnlijk dat de domeincontroller in het gebeurtenislogboek de aanmeldingsstroom voor netwerktickets niet begrijpt.

• Als het serviceticketdomein verschilt van het domein van het computeraccount, heeft een van de domeincontrollers onderweg van het domein van het machineaccount naar het domein van het serviceaccount de aanmeldingsstroom voor netwerktickets niet begrepen

Deze gebeurtenis is standaard uitgeschakeld. Microsoft raadt gebruikers aan eerst hun volledige vloot bij te werken voordat ze de gebeurtenis inschakelen.

Deze gebeurtenis wordt geregistreerd wanneer AuditKerberosTicketLogonEvents is ingesteld op (2).

Een domeincontroller die niet is bijgewerkt, herkent deze nieuwe aanvraagstructuur niet. Hierdoor mislukt de beveiligingscontrole. In de compatibiliteitsmodus wordt de oude aanvraagstructuur gebruikt. Dit scenario is nog steeds kwetsbaar voor CVE-2024-26248 en CVE-2024-29056.

Jawel. Dit komt omdat de nieuwe aanmeldingsstroom voor netwerktickets mogelijk moet worden gerouteerd tussen domeinen om het domein van het serviceaccount te bereiken.

PAC-validatie kan in bepaalde omstandigheden worden overgeslagen, met inbegrip van, maar niet beperkt tot, de volgende scenario's:

• Als de service TCB-bevoegdheid heeft. Over het algemeen hebben services die worden uitgevoerd in de context van het SYSTEM-account (zoals SMB-bestandsshares of LDAP-servers) deze bevoegdheid.

• Als de service wordt uitgevoerd vanuit Taakplanner.

Anders wordt PAC-validatie uitgevoerd op alle binnenkomende Kerberos-verificatiestromen.

Deze CVE's hebben betrekking op lokale uitbreiding van bevoegdheden waarbij een kwaadwillend of gecompromitteerd serviceaccount dat wordt uitgevoerd op het Windows-werkstation probeert hun bevoegdheden te verhogen om lokale beheerrechten te verkrijgen. Dit betekent dat alleen het Windows-werkstation dat binnenkomende Kerberos-verificatie accepteert, wordt beïnvloed.