KB4577252: Gerenciamento da implantação de alterações de Usuários RBCD/Protegidos para CVE-2020-16996

Resumo

Se você usa Usuários Protegidos e a RBCD (Delegação Restrita Baseada em Recursos), uma vulnerabilidade de segurança pode existir nos controladores de domínio do Active Directory. Para saber mais sobre a vulnerabilidade de segurança, consulte CVE-2020-16996.

Cronograma das atualizações

Essas atualizações do Windows serão lançadas em duas fases:

• A fase de implantação inicial das atualizações do Windows lançadas em ou após 8 de dezembro de 2020.

• A fase de imposição das atualizações do Windows lançadas em ou após 9 de março de 2021.

Orientação de instalação

Etapa 2: habilitar o modo de imposição

Depois que todos os dispositivos que hospedam a função de controlador de domínio do Active Directory foram atualizados, espere pelo menos um dia inteiro para permitir que todos os tíquetes de serviço pendentes de S4U2self (Service for User to Self) do Kerberos expirem. Em seguida, habilite a proteção total implantando o modo de Imposição. Para fazer isso, habilite a chave do Registro do modo de Imposição.

Aviso A modificação incorreta do Registro usando o Editor do Registro ou outro método pode causar sérios problemas. que talvez exijam a reinstalação do sistema operacional. A Microsoft não garante que esses problemas possam ser solucionados. Todo e qualquer risco decorrente da modificação do Registro é responsabilidade do usuário.

Observação Este valor de registro não é criado instalando esta atualização. Você deve adicionar este valor de registro manualmente.

            
            Notas sobre o valor do Registro "NonForwardableDelegation":

• Se o valor do Registro for definido, ele terá precedência sobre a configuração do modo de Imposição incluído nas atualizações do Windows de 9 de março de 2021.

  • Se o valor do Registro for definido como 1(Desativar), o encaminhamento será permitido em tíquetes de serviço do Kerberos que NÃO estiverem marcados como encaminhados.

  • Se o valor do Registro for definido como 0(Ativar), o encaminhamento NÃO será permitido em tíquetes de serviço do Kerberos que NÃO estiverem marcados como encaminhados.

• Se o seu domínio incluir o Windows Server 2008 R2 ou os controladores de domínio do Active Directory anteriores, você não terá que definir o modo de Imposição porque esses controladores de domínio não são compatíveis com RBCD.

• A falha em atualizar consistentemente todos os controladores de domínio do Active Directory ao ativar o modo de Imposição resultará em falhas na delegação de serviços intermitentes.

• Antes de definir o modo de Imposição:

  • Todos os controladores de domínio do Active Directory devem ser atualizados com a atualização do Windows de 8 de dezembro de 2020 ou uma atualização posterior do Windows, e

  • Todos os tíquetes de serviço S4USelf Kerberos pendentes devem ter expirado esperando um dia depois de concluir a implantação da atualização do Windows para todos os controladores de domínio do Active Directory.

Considerações adicionais

Quando essa proteção está habilitada, ela unifica a lógica da RBCD (Delegação Restrita Baseada em Recursos) com a delegação original restrita. Isso pode causar problemas nos dois cenários a seguir:

• Um único serviço usa simultaneamente a KCD (Delegação Restrita de Kerberos) sem transição de protocolo para um destino enquanto está usando RBCD com transição de protocolo para outro. Após essa mudança, a negação da transição de protocolo se aplicará aos dois estilos de delegação.

• A RBCD é usada em um domínio que usa controladores de domínio que não são atualizados com CVE-2020-16996 ou executando versões mais antigas do Windows Server (mais antigo que o Window Server 2012) que não têm uma atualização disponível para CVE-2020-16996. Os KDCs (Centros de Distribuição de Chaves) que não forem atualizados não sinalizarão os tíquetes de serviço S4USelf Kerberos como adequados para a delegação, e a transição de protocolo será negada.