KB5037754: How to manage PAC Validation changes related to CVE-2024-26248 and CVE-2024-29056

A fase de implementação inicial começa com as atualizações lançadas a 9 de abril de 2024. Esta atualização adiciona um novo comportamento que impede a elevação de vulnerabilidades de privilégios descritas em CVE-2024-26248 e CVE-2024-29056 , mas não a impõe, a menos que os controladores de domínio do Windows e os clientes Windows no ambiente sejam atualizados.

Para ativar o novo comportamento e mitigar as vulnerabilidades, tem de se certificar de que todo o ambiente do Windows (incluindo controladores de domínio e clientes) está atualizado. Os Eventos de Auditoria serão registados para ajudar a identificar dispositivos não atualizados.

Atualizações lançado em ou depois de 15 de outubro de 2024, irá mover todos os controladores de domínio e clientes do Windows no ambiente para o modo Imposto ao alterar as definições da subchave do registo para PacSignatureValidationLevel=3 e CrossDomainFilteringLevel=4, ao impor o comportamento seguro por predefinição.

As definições Impostas por Predefinição podem ser substituídas por um Administrador para reverter para o modo de Compatibilidade .

As atualizações de segurança do Windows lançadas em ou depois de 8 de abril de 2025 irão remover o suporte para as subchaves de registo PacSignatureValidationLevel e CrossDomainFilteringLevel e impor o novo comportamento seguro. Não haverá suporte para o modo de Compatibilidade após a instalação desta atualização.

Esta chave de registo pode ser implementada em ambos os servidores Windows que aceitam a autenticação Kerberos de entrada, bem como em qualquer Controlador de Domínio do Windows que esteja a validar o novo fluxo de Início de Sessão da Permissão de Rede ao longo do caminho.

Este evento é apresentado quando um Controlador de Domínio tomou uma ação não fatal durante um fluxo de Início de Sessão de Pedido de Suporte de Rede. A partir de agora, são registadas as seguintes ações:

• Os SIDs do utilizador foram filtrados.

• Os SIDs do dispositivo foram filtrados.

• A identidade composta foi removida devido à filtragem do SID não permitir a identidade do dispositivo.

• A identidade composta foi removida devido à filtragem do SID não permitir o nome de domínio do dispositivo.

Este evento é apresentado quando um Controlador de Domínio negou o pedido de Início de Sessão da Permissão de Rede pelos motivos apresentados no evento. ​​​​​​

• Este evento é apresentado como um aviso se PacSignatureValidationLevel AND CrossDomainFilteringLevel não estiverem definidos como Impor ou mais rigorosos. Quando registado como um aviso, o evento indica que os fluxos de Início de Sessão da Permissão de Rede contactaram um controlador de domínio ou dispositivo equivalente que não compreendeu o novo mecanismo. A autenticação foi autorizada a reverter para o comportamento anterior.

• Este evento é apresentado como um erro se PacSignatureValidationLevel OU CrossDomainFilteringLevel estiver definido como Impor ou mais rigoroso. Este evento como "erro" indica que o fluxo de Início de Sessão da Permissão de Rede contactou um controlador de domínio ou um dispositivo equivalente que não compreendeu o novo mecanismo. A autenticação foi negada e não foi possível reverter para o comportamento anterior.

Este evento é gerado sempre que o Netlogon encontrou um erro inesperado durante um pedido de início de sessão da Permissão de Rede. Este evento é registado quando AuditKerberosTicketLogonEvents está definido como (1) ou superior.

Este evento é gerado sempre que o Netlogon não conseguiu concluir o Início de Sessão da Permissão de Rede porque um Controlador de Domínio não compreendeu as alterações. Devido a limitações no protocolo Netlogon, o cliente Netlogon não consegue determinar se o Controlador de Domínio com o qual o cliente Netlogon está a falar diretamente é aquele que não compreende as alterações ou se é um Controlador de Domínio ao longo da cadeia de reencaminhamento que não compreende as alterações.

• Se o Domínio da Permissão de Serviço for o mesmo que o domínio da conta de computador, é provável que o Controlador de Domínio no registo de eventos não compreenda o fluxo de início de sessão da Permissão de Rede.

• Se o Domínio da Permissão de Serviço for diferente do domínio da conta do computador, um dos controladores de domínio ao longo do caminho desde o Domínio da Conta do Computador até ao Domínio da Conta de Serviço não compreendeu o fluxo de Início de Sessão da Permissão de Rede

Este evento está desativado por predefinição. A Microsoft recomenda que os utilizadores atualizem primeiro toda a frota antes de ativarem o evento.

Este evento é registado quando AuditKerberosTicketLogonEvents está definido como (2).

Um Controlador de Domínio que não esteja atualizado não reconhecerá esta nova estrutura de pedidos. Isto fará com que a verificação de segurança falhe. No modo de compatibilidade, será utilizada a estrutura de pedidos antiga. Este cenário continua vulnerável ao CVE-2024-26248 e ao CVE-2024-29056.

Sim. Isto deve-se ao facto de o novo fluxo de Início de Sessão da Permissão de Rede ter de ser encaminhado entre domínios para chegar ao domínio da conta de serviço.

A Validação do PAC pode ser ignorada em determinadas circunstâncias, incluindo, mas não se limitando a, os seguintes cenários:

• Se o serviço tiver privilégio tCB. Geralmente, os serviços em execução no contexto da conta SYSTEM (como Partilhas de Ficheiros SMB ou servidores LDAP) têm este privilégio.

• Se o serviço for executado a partir do Programador de Tarefas.

Caso contrário, a Validação do PAC é efetuada em todos os Fluxos de Autenticação Kerberos de entrada.

Estes CVEs envolvem uma Elevação Local de Privilégios em que uma conta de serviço maliciosa ou comprometida em execução na Estação de Trabalho do Windows tenta elevar o privilégio para obter direitos de Administração local. Isto significa que apenas a Estação de Trabalho do Windows que aceita a Autenticação Kerberos de entrada é afetada.