KB5021130: Como gerenciar as alterações do protocolo Netlogon relacionadas ao CVE-2022-38023

A fase de implementação inicial começa com as atualizações lançadas a 8 de novembro de 2022 e continua com as atualizações posteriores do Windows até à fase de Aplicação. As atualizações do Windows em ou depois de 8 de novembro de 2022 abordam a vulnerabilidade de desvio de segurança do CVE-2022-38023 ao impor a selagem RPC em todos os clientes Windows.

Por predefinição, os dispositivos serão definidos no Modo de compatibilidade. Os controladores de domínio do Windows exigirão que os clientes Netlogon usem o selo RPC se estiverem executando o Windows ou se estiverem agindo como controladores de domínio ou como contas confiáveis.

As atualizações do Windows lançadas em ou depois de 11 de abril de 2023 removerão a capacidade de desativar a selagem RPC ao definir o valor 0 para a subchave de registo RequireSeal .

A subchave de registo RequireSeal será movida para o modo Imposto, a menos que os Administradores configurem explicitamente para estar no Modo de compatibilidade. A autenticação será negada às ligações vulneráveis de todos os clientes, incluindo de terceiros. Ver Alteração 1.

As atualizações do Windows lançadas a 11 de julho de 2023 irão remover a capacidade de definir o valor 1 para a subchave de registo RequireSeal . Isto ativa a fase de Imposição do CVE-2022-38023.

Se encontrar esta mensagem de erro nos registos de eventos, tem de tomar as seguintes acções para resolver o erro de sistema:

• Confirme se o dispositivo está a executar uma versão suportada do Windows.
• Certifique-se de que todos os dispositivos estão atualizados.
• Verifique se o membro do domínio: Membro do domínio Criptografar digitalmente ou assinar dados de canal seguros (sempre) está definido como Habilitado .

Se encontrar o Evento 5840, este é um sinal de que um cliente no seu domínio está a utilizar uma criptografia fraca.

Se encontrar o Evento 5841, este é um sinal de que o valor RejectMD5Clients está definido como TRUE .

A chave RejectMD5Clients é uma chave pré-existente no serviço Netlogon. Para obter mais informações, consulte a descrição RejectMD5Clients do Modelo de Dados Abstrato.

Todas as contas de computador associadas a domínios são afetadas por esta CVE. Os eventos mostrarão quem é mais afetado por este problema após a instalação das atualizações do Windows de 8 de novembro de 2022 ou posteriores. Para resolver os problemas, reveja a secção de erros do Registo de Eventos para resolver os problemas.

Para ajudar a detectar clientes mais antigos que não estão usando a criptografia mais forte disponível, esta atualização introduz logs de eventos para clientes que estão usando RC4.

Assinatura RPC é quando o protocolo Netlogon usa RPC para assinar as mensagens que envia através do fio. A vedação RPC é quando o protocolo Netlogon assina e criptografa as mensagens que envia pelo fio.

O Controlador de Domínio do Windows determina se um cliente Netlogon está executando o Windows consultando o atributo "OperatingSystem" no Active Directory para o cliente Netlogon e verificando as seguintes cadeias de caracteres:

• "Windows", "Hyper-V Server" e "Azure Stack HCI"

Não recomendamos nem suportamos que este atributo seja alterado por clientes Netlogon ou administradores de domínio para um valor que não seja representativo do sistema operativo (SO) que o cliente Netlogon está a executar. Você deve estar ciente de que podemos alterar os critérios de pesquisa a qualquer momento. Consulte Alteração 3.

A fase de imposição não rejeita clientes Netlogon com base no tipo de criptografia que os clientes usam. Ele só rejeitará clientes Netlogon se eles fizerem assinatura RPC em vez de Selagem RPC. A rejeição de clientes RC4 Netlogon baseia-se na chave de registo "RejectMd5Clients" disponível para os Controladores de Domínio do Windows Windows Server 2008 R2 e posteriores. A fase de imposição desta atualização não altera o valor "RejectMd5Clients". Recomendamos que os clientes ativem o valor "RejectMd5Clients" para maior segurança nos seus domínios. Consulte Alteração 3.

AES (Advanced Encryption Standard) é uma cifra de bloco que substitui o Data Encryption Standard (DES). O AES pode ser utilizado para proteger dados eletrónicos. O algoritmo AES pode ser usado para encriptar (cifrar) e desencriptar (decifrar) informações. A criptografia converte dados em uma forma ininteligível chamada texto cifrado; Desencriptar o texto cifrado converte os dados novamente na sua forma original, denominada texto simples. O AES é usado na criptografia de chave simétrica, o que significa que a mesma chave é usada para as operações de encriptação e desencriptação. É também uma cifra de bloco, o que significa que opera em blocos de tamanho fixo de texto simples e texto cifrado, e requer que o tamanho do texto simples, bem como o texto cifrado seja um múltiplo exato desse tamanho de bloco. AES é também conhecido como o algoritmo de encriptação simétrica Rijndael [FIPS197] .

Em um ambiente de segurança de rede compatível com o sistema operacional Windows NT, o componente responsável pelas funções de sincronização e manutenção entre um controlador de domínio primário (PDC) e controladores de domínio de backup (BDC). O Netlogon é um precursor do protocolo DRS (directory replication server). A interface de chamada de procedimento remoto (RPC) Netlogon Remote Protocol é usada principalmente para manter a relação entre um dispositivo e seu domínio e as relações entre controladores de domínio (DCs) e domínios. Para obter mais informações, consulte Netlogon Remote Protocol.

RC4-HMAC (RC4) é um algoritmo de encriptação simétrica de comprimento de chave variável. Para mais informações, ver [SCHNEIER] secção 17.1.

Uma ligação de chamada de procedimento remoto (RPC) autenticada entre duas máquinas num domínio com um contexto de segurança estabelecido utilizado para assinar e encriptar pacotes RPC .