KB4598347: Gestão da implementação das alterações da Kerberos S4U para o CVE-2020-17049

8 de dezembro de 2020: Fase inicial de implantação

A fase inicial de implementação começa com a atualização do Windows lançada a 8 de dezembro de 2020 e continua com uma atualização posterior do Windows para a fase de Implementação. Estas e posteriores atualizações do Windows fazem alterações a Kerberos. Esta atualização de 8 de dezembro de 2020 inclui correções para todas as questões conhecidas originalmente introduzidas até 10 de novembro de 2020 lançamento do CVE-2020-17049. Esta atualização também adiciona suporte para o Windows Server 2008 SP2 e Windows Server 2008 R2.

Esta versão:

• Endereços CVE-2020-17049 (no modo de implantação por predefinição).

• Adiciona suporte para o valor do registo PerformTicketSignature para permitir a proteção nos servidores controladores de domínio do Diretório Ativo. Por padrão, este valor não existe.

A mitigação consiste na instalação das atualizações do Windows em todos os dispositivos que acolhem a função de controlador de domínio do Ative Directory e os controladores de domínio apenas de leitura (RODCs) e, em seguida, ativar o modo de execução.

13 de abril de 2021: Segunda Fase de Implantação

A segunda fase de implementação começa com a atualização do Windows lançada a 13 de abril de 2021. Esta fase remove a definição PerformTicketSignature0. A definição do PerformTicketSignature a 0 após a instalação desta atualização terá o mesmo efeito que a definição do PerformTicketSignature para 1. Os DCs estarão no modo de implantação.

Notas

• Esta fase não é necessária se o PerformTicketSignature nunca foi definido como 0 no seu ambiente. Esta fase ajuda a garantir que os clientes que definem o PerformTicketSignature para 0 sejam transferidos para a definição 1 antes da fase de execução.

• Com a implementação das atualizações de 13 de abril de 2021, a definição do PerformTicketSignature para 1 permitirá que os bilhetes de serviço sejam renováveis. Esta é uma mudança de comportamento a partir de abril de 2021 Atualizações do Windows ao configurar o PerformTicketSignature para 1, o que fez com que os bilhetes de serviço não fossem renováveis.

• Esta atualização pressupõe que todos os Controladores de Domínio são atualizados com as atualizações de 8 de dezembro de 2020 ou atualizações posteriores.

• Depois de instalar esta atualização, e de definir manualmente ou programáticamente o PerformTicketSignature para 1 ou superior, os controladores de domínio do Windows Server não suportados deixarão de funcionar com controladores de domínio suportados. Isto inclui o Windows Server 2008 e o Windows Server 2008 R2 sem atualizações de segurança estendidas (ESU) e Windows Server 2003.

13 de julho de 2021: Fase de execução

A 13 de julho de 2021 passa a fase de execução. A fase de execução impõe as alterações ao CVE-2020-17049. Os controladores de domínio do Diretório Ativo são agora capazes de ser em modo de execução. Ir para o modo Enforcement requer que todos os controladores de domínio do Ative Directory tenham a atualização de 8 de dezembro de 2020 ou uma atualização posterior do Windows instalada. Neste momento, as definições das chaves de registo PerformTicketSignature serão ignoradas e o modo de execução não pode ser ultrapassado. 

Antes de instalar esta atualização

Tem de ter as seguintes atualizações necessárias instaladas antes de aplicar esta atualização. Se utilizar o Windows Update, estas atualizações necessárias serão oferecidas automaticamente conforme necessário.

• Tem de ter a atualização SHA-2(KB4474419)datada de 23 de setembro de 2019 ou uma atualização SHA-2 posterior instalada e, em seguida, reiniciar o seu dispositivo antes de aplicar esta atualização. Para obter mais informações sobre as atualizações SHA-2, consulte o requisito de suporte de assinatura de código SHA-2 2019 para Windows e WSUS.

• Para o Windows Server 2008 R2 SP1, deve ter instalado a atualização da pilha de manutenção (SSU)(KB4490628)datada de 12 de março de 2019. Após a instalação da atualização KB4490628, recomendamos que instale a mais recente atualização SSU. Para obter mais informações sobre a última atualização da SSU, consulte a ADV990001 | Últimas atualizações da pilha de assistência.

• Para o Windows Server 2008 SP2, deve ter instalado a atualização da pilha de manutenção (SSU)(KB4493730)datada de 9 de abril de 2019. Após a instalação da atualização KB4493730, recomendamos que instale a última atualização SSU. Para obter mais informações sobre as últimas atualizações da SSU, consulte a ADV990001 | Últimas atualizações da pilha de assistência.

• Os clientes são obrigados a adquirir a Atualização de Segurança Estendida (ESU) para versões no local do Windows Server 2008 SP2 ou Windows Server 2008 R2 SP1 após o apoio alargado ter terminado em 14 de janeiro de 2020. Os clientes que tenham adquirido a ESU devem seguir os procedimentos em KB4522133 para continuar a receber atualizações de segurança. Para obter mais informações sobre a ESU e quais as edições suportadas, consulte KB44497181.

ImportanteTem de reiniciar o seu dispositivo depois de instalar estas atualizações necessárias.

Instalar todas as atualizações

Para resolver a vulnerabilidade de segurança, instale todas as atualizações do Windows e permita o modo De execução seguindo estes passos:

1. Implemente pelo menos uma das atualizações entre 8 de dezembro de 2020 e 9 de março de 2021 para todos os controladores de domínio do Diretório Ativo na floresta.

2. Implemente a atualização de 12 de abril de 2021 pelo menos uma ou mais semanas após o passo 1.

3. Depois de todos os controladores de domínio do Ative Directory terem sido atualizados, aguarde pelo menos uma semana para permitir que todos os bilhetes de serviço Kerberos (Serviço de Utilização para Utilizador a Si mesmo) expirem e, em seguida, a proteção total pode ser ativada através da implementação do modo de execução do controlador de domínio ative Diretório.
   
   Notas

   • Se alterou os tempos de validade do bilhete de serviço Kerberos a partir das definições predefinidas (o padrão é de 7 dias), então deve esperar pelo menos o número de dias configurados no seu ambiente.

   • Estes passos pressupõem que a PerformTicketSignature nunca foi definida como 0 no seu ambiente. Se o PerformTicketSignature foi definido para 0,deve mover-se para a definição 1 antes de passar para a definição 2 (modo de execução) e esperar pelo menos uma semana para permitir que todos os bilhetes de serviço Kerberos (serviço de utilização para auto)(S4U2self) expiram. Não deve passar diretamente da definição 0 para a definição 2 (Modo de execução).

Passo 1: Instalar atualizações do Windows

Instale a atualização adequada do Windows a 8 de dezembro de 2020 ou uma atualização posterior do Windows a todos os dispositivos que acolhem o papel de controlador de domínio do Ative Directory na floresta, incluindo controladores de domínio apenas de leitura.

Passo 2: Ativar o modo de execução

Depois de todos os dispositivos que acolhem o papel de controlador de domínio ative Directory foram atualizados, espere pelo menos uma semana para permitir que todos os bilhetes de serviço Kerberos pendentes expiram. Em seguida, ative a proteção total através da implementação do modo De execução. Para isso, ative a chave de registo do modo Execução.

Aviso Podem ocorrer problemas graves se modificar o registo incorretamente utilizando o Editor de Registo ou utilizando outro método. Estes problemas podem exigir que reinstale o sistema operativo. A Microsoft não pode garantir que estes problemas possam ser resolvidos. Modifique o registo por sua conta e risco.

Nota Esta atualização introduz suporte para o seguinte valor de registo para ativar o modo De Execução. Este valor de registo não é criado através da instalação desta atualização. Deve adicionar manualmente este valor de registo.