KB5037754: como gerenciar alterações de validação de PAC relacionadas à CVE-2024-26248 e CVE-2024-29056

A fase inicial de implantação começa com as atualizações lançadas em 9 de abril de 2024. Esta atualização adiciona um novo comportamento que impede a elevação das vulnerabilidades de privilégio descritas em CVE-2024-26248 e CVE-2024-29056 , mas não a impõe a menos que os controladores de domínio do Windows e os clientes Windows no ambiente sejam atualizados.

Para habilitar o novo comportamento e mitigar as vulnerabilidades, você deve garantir que todo o ambiente do Windows (incluindo controladores de domínio e clientes) seja atualizado. Eventos de auditoria serão registrados para ajudar a identificar dispositivos não atualizados.

Atualizações lançado em ou após 15 de outubro de 2024, moverá todos os controladores de domínio e clientes do Windows no ambiente para o modo Imposto alterando as configurações de subchave do registro para PacSignatureValidationLevel=3 e CrossDomainFilteringLevel=4, impondo o comportamento seguro por padrão.

As configurações impostas por padrão podem ser substituídas por um administrador para reverter ao modo de compatibilidade.

As atualizações de segurança do Windows lançadas em ou após 8 de abril de 2025 removerão o suporte para as subchaves de registro PacSignatureValidationLevel e CrossDomainFilteringLevel e imporá o novo comportamento seguro. Não haverá suporte para o modo de compatibilidade após a instalação desta atualização.

Essa chave de registro pode ser implantada para os servidores Windows que aceitam a autenticação Kerberos de entrada, bem como qualquer Controlador de Domínio do Windows que esteja validando o novo fluxo de Logon do Tíquete de Rede ao longo do caminho.

Esse evento é mostrado quando um Controlador de Domínio tomou uma ação não fatal durante um fluxo de Logon do Tíquete de Rede. A partir de agora, as seguintes ações são registradas:

• SiDs de usuário foram filtrados.

• OS SIDs do dispositivo foram filtrados.

• A identidade composta foi removida devido à filtragem de SID que não permitiu a identidade do dispositivo.

• A identidade composta foi removida devido à filtragem sid que não permite o nome de domínio do dispositivo.

Esse evento é mostrado quando um Controlador de Domínio nega a solicitação do Logon do Tíquete de Rede pelos motivos mostrados no evento. ​​​​​​

• Esse evento será mostrado como um aviso se PacSignatureValidationLevel AND CrossDomainFilteringLevel não estiver definido como Impor ou mais rigoroso. Quando registrado como um aviso, o evento indica que os fluxos de Logon do Tíquete de Rede entraram em contato com um controlador de domínio ou dispositivo equivalente que não entendia o novo mecanismo. A autenticação foi autorizada a voltar ao comportamento anterior.

• Este evento será mostrado como um erro se PacSignatureValidationLevel OR CrossDomainFilteringLevel estiver definido como Impor ou mais rigoroso. Esse evento como "erro" indica que o fluxo de Logon do Tíquete de Rede entrou em contato com um controlador de domínio ou dispositivo equivalente que não entendia o novo mecanismo. A autenticação foi negada e não pôde retornar ao comportamento anterior.

Esse evento é gerado sempre que o Netlogon encontra um erro inesperado durante uma solicitação de logon do Tíquete de Rede. Esse evento é registrado quando AuditKerberosTicketLogonEvents é definido como (1) ou superior.

Esse evento é gerado sempre que o Netlogon não pôde concluir o Logon do Tíquete de Rede porque um Controlador de Domínio não entendia as alterações. Devido às limitações no protocolo Netlogon, o cliente Netlogon não consegue determinar se o Controlador de Domínio com o qual o cliente Netlogon está conversando diretamente é aquele que não entende as alterações ou se é um Controlador de Domínio ao longo da cadeia de encaminhamento que não entende as alterações.

• Se o Domínio do Tíquete de Serviço for o mesmo que o domínio da conta do computador, é provável que o Controlador de Domínio no log de eventos não entenda o fluxo de logon do Tíquete de Rede.

• Se o Domínio do Tíquete de Serviço for diferente do domínio da conta do computador, um dos controladores de domínio ao longo do caminho do Domínio da Conta de Máquina para o Domínio da Conta de Serviço não entendeu o fluxo de Logon do Tíquete de Rede

Esse evento está off-by-default. A Microsoft recomenda que os usuários atualizem pela primeira vez toda a frota antes de ativar o evento.

Esse evento é registrado quando AuditKerberosTicketLogonEvents é definido como (2).

Um Controlador de Domínio que não é atualizado não reconhecerá essa nova estrutura de solicitação. Isso fará com que o marcar de segurança falhe. No modo de compatibilidade, a estrutura de solicitação antiga será usada. Esse cenário ainda é vulnerável à CVE-2024-26248 e à CVE-2024-29056.

Sim. Isso ocorre porque o novo fluxo de Logon do Tíquete de Rede pode ter que ser roteado entre domínios para alcançar o domínio da conta de serviço.

A Validação pac pode ser ignorada em determinadas circunstâncias, incluindo, mas não se limitando a, os seguintes cenários:

• Se o serviço tiver privilégio TCB. Geralmente, os serviços em execução no contexto da conta SYSTEM (como Compartilhamentos de Arquivos SMB ou servidores LDAP) têm esse privilégio.

• Se o serviço for executado no Agendador de Tarefas.

Caso contrário, a Validação pac é executada em todos os Fluxos de Autenticação Kerberos de entrada.

Esses CVEs envolvem uma Elevação Local de Privilégio em que uma conta de serviço mal-intencionada ou comprometida em execução na Estação de Trabalho do Windows tenta elevar seu privilégio para obter direitos de administração local. Isso significa que apenas a Estação de Trabalho do Windows que aceita a Autenticação Kerberos de entrada é afetada.