KB5066014 - Întărire RPC Netlogon (CVE-2025-49716)

În acest articol:

• Rezumat
• Luați măsuri
• Temporizarea actualizărilor Windows
• Instrucțiuni de implementare
• Evenimente nou adăugate
• Întrebări frecvente (FAQ)

Rezumat

CVE-2025-49716 tratează o vulnerabilitate de refuz de serviciu, în care utilizatorii neautentificați la distanță ar putea efectua o serie de apeluri de procedură la distanță (RPC) bazate pe Netlogon, care consumă în cele din urmă întreaga memorie de pe un controler de domeniu (DC). Pentru a atenua această vulnerabilitate, s-a efectuat o modificare de cod în actualizarea Securitate Windows din mai 2025 pentru Windows Server 2025 și în Securitate Windows Actualizări din iulie 2025 pentru toate celelalte platforme server, de la Windows Server 2008SP2 la Windows Server 2022, inclusiv.  Această actualizare include o modificare de întărire a securității la protocolul Microsoft RPC Netlogon Această modificare îmbunătățește securitatea prin înăsprirea verificărilor de acces pentru un set de solicitări de apeluri de procedură la distanță (RPC). După instalarea acestei actualizări, controlerele de domeniu Active Directory nu vor mai permite clienților anonimi să invoce unele solicitări RPC prin serverul RPC Netlogon. Aceste solicitări sunt de obicei legate de locația controlerului de domeniu.

După această modificare, unele software-uri de tip fișier & serviciu de imprimare pot fi afectate, inclusiv Samba. Samba a lansat o actualizare pentru a se adapta la această modificare. Consultați Samba 4.22.3 - Note privind versiunea pentru mai multe informații.

Pentru a se potrivi scenariilor în care software-ul de la terți afectat nu poate fi actualizat, am lansat o capacitate de configurare suplimentară în actualizarea de Securitate Windows din august 2025. Această modificare implementează un comutator bazat pe chei de registry între modul de impunere implicit, un mod de auditare care va înregistra modificările, dar nu va bloca apelurile RPC Netlogon neautentificate și un mod dezactivat (nerecomandat).

Luați măsuri

Pentru a vă proteja mediul și a evita întreruperile, actualizați mai întâi toate dispozitivele care găzduiesc controlerul de domeniu Active Directory sau rolul de server LDS, instalând cele mai recente actualizări Windows. Controlerele de domeniu care au Securitate Windows Actualizări 8 iulie 2025 sau mai recente (sau Windows Server DC-uri 2025 cu actualizările din mai) sunt securizate în mod implicit și nu acceptă apeluri RPC neautentificate bazate pe Netlogon. Controlerele de domeniu care au Securitate Windows Actualizări din 12 august 2025 sau o versiune mai recentă nu acceptă apeluri RPC neautentificate bazate pe Netlogon în mod implicit, dar pot fi configurate să facă acest lucru temporar.

1. Monitorizați mediul dvs. pentru probleme de acces. Dacă sunt întâlnite, confirmați dacă modificările de întărire Netlogon RPC sunt cauza principală.

   1. Dacă sunt instalate numai actualizările din iulie, activați înregistrarea detaliată în jurnal Netlogon utilizând comanda "Nltest.exe /dbflag:0x2080ffff" și monitorizați jurnalele rezultate pentru intrări asemănătoare cu următoarea linie. Câmpurile OpNum și Method pot varia și reprezintă operațiunea și metoda RPC care a fost blocată:
      06/23 10:50:39 [CRITICAL] [5812] NlRpcSecurityCallback: rejecting an unauthorized RPC call from [IPAddr] OpNum:34 Method:DsrGetDcNameEx2
   2. Dacă sunt instalate actualizări Windows din august sau mai recente, căutați Security-Netlogon Eveniment 9015 în DC-urile dvs. pentru a determina ce apeluri RPC sunt respinse. Dacă aceste apeluri sunt critice, puteți pune temporar controlerul de domeniu în modul de auditare sau de dezactivare în timp ce depanați.
   3. Efectuați modificări astfel încât aplicația să utilizeze apeluri RPC Netlogon autentificate sau contactați furnizorul de software pentru mai multe informații.

2. Dacă puneți controlerele de domeniu în modul de auditare, urmăriți Security-Netlogon evenimentul 9016 pentru a determina ce apeluri RPC ar fi respinse dacă ați activa modul de impunere. Apoi efectuați modificări, astfel încât aplicația să utilizeze apeluri RPC Netlogon autentificate sau contactați furnizorul software-ului pentru mai multe informații.

Temporizarea actualizărilor Windows

Aceste actualizări Windows au fost lansate în mai multe faze:

1. Modificare inițială pe Windows Server 2025 (13 mai 2025) - actualizarea inițială care a întărit apelurile RPC neautentificate bazate pe Netlogon a fost inclusă în actualizarea de securitate Windows din mai 2025 pentru Windows Server 2025.
2. Modificări inițiale pe alte platforme de servere (8 iulie 2025) – actualizările care s-au întărit împotriva apelurilor RPC bazate pe Netlogon neautentificate pentru alte platforme de servere au fost incluse în Securitate Windows Actualizări din iulie 2025.
3. Adăugarea Modurilor de auditare și a Modului dezactivat (12 august 2025) – Impunerea implicită cu o opțiune pentru modurile de auditare sau Dezactivat a fost inclusă în Securitate Windows Actualizări din august 2025.
4. Eliminarea modurilor de auditare și a modului dezactivat (TBD) – la o dată ulterioară, modurile de auditare și dezactivat pot fi eliminate din sistemul de operare. Acest articol va fi actualizat atunci când vor fi confirmate detalii suplimentare.

Instrucțiuni de implementare

Dacă implementați Securitate Windows Actualizări august și doriți să configurați DC-urile în modul Auditare sau Dezactivat, implementați cheia de registry de mai jos cu valoarea corespunzătoare. Nu este necesară repornirea.

Cale	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
Valoarea registry	DCLocatorRPCSecurityPolicy
Tip de valoare	REG_DWORD
Date valoare	0 - Modul dezactivat 1 - Modul de auditare 2 - Modul de impunere (implicit)

Evenimente nou adăugate

Securitate Windows Actualizări din 12 august 2025 va adăuga, de asemenea, jurnale de evenimente noi pe controlerele de domeniu Windows Server 2012 până la Windows Server 2022:

Jurnal de evenimente	Microsoft-Windows-Security-Netlogon/Operational
Tip eveniment	Informații
ID eveniment	9015
Text eveniment	Netlogon a refuzat un apel RPC. Politica este în modul de impunere. Informații despre clienți: Nume metodă: %metodă% Metoda opnum: %opnum% Adresă client: <Adresa IP> Identitatea clientului: <SID apelant> Pentru mai multe informații, consultați https://aka.ms/dclocatorrpcpolicy.

Jurnal de evenimente	Microsoft-Windows-Security-Netlogon/Operational
Tip eveniment	Informații
ID eveniment	9016
Text eveniment	Netlogon a permis un apel RPC care în mod normal ar fi fost refuzat. Politica este în modul de auditare. Informații despre clienți: Nume metodă: %metodă% Metoda opnum: %opnum% Adresă client: <Adresa IP> Identitatea clientului: <SID apelant> Pentru mai multe informații, consultați https://aka.ms/dclocatorrpcpolicy.

Întrebări frecvente (FAQ)

Ce se întâmplă dacă am un amestec de controlere de domeniu Active Directory care sunt actualizate și neactualizate?

Controlerele de domeniu care nu sunt actualizate cu Securitate Windows Actualizări din 8 iulie 2025 sau mai recente vor permite în continuare apeluri RPC neautentificate bazate pe Netlogon& nu vor înregistra în jurnal evenimentele legate de această vulnerabilitate.

Controlerele de domeniu actualizate cu Securitate Windows Actualizări din 8 iulie 2025 nu vor permite apeluri RPC neautentificate bazate pe Netlogon, dar nu vor înregistra un eveniment atunci când un astfel de apel este blocat.

În mod implicit, DC-urile actualizate cu Securitate Windows Actualizări din 12 august 2025 sau mai recente nu vor permite apeluri RPC neautentificate bazate pe Netlogon și vor înregistra în jurnal un eveniment atunci când un astfel de apel este blocat.

Trebuie să repornesc după setarea cheii de registry DCLocatorRPCSecurityPolicy?

Nu.