Журнал изменений
|
Изменение 1: 5 апреля 2023 г. Перенесена фаза "Принудительное применение по умолчанию" раздела реестра с 11 апреля 2023 г. на 13 июня 2023 г. в разделе "Сроки обновлений для устранения уязвимости CVE-2022-38023". Изменение 2: 20 апреля 2023 г.: Удалена неточная ссылка на объект групповой политики "Контроллер домена: разрешить уязвимые подключения к защищенному каналу Netlogon" в разделе "Параметры раздела реестра". Изменение 3: 19 июня 2023 г.
|
|---|
В этой статье
- Сводка
- Сроки обновления для устранения уязвимости CVE-2022-38023
- Параметры раздела реестра
- События Windows, связанные с CVE-2022-38023
- Вопросы и ответы
- Глоссарий
Сводка
Обновления Windows от 8 ноября 2022 г. и более поздние версии устраняют слабые места в протоколе Netlogon, когда вместо запечатывания RPC используется подпись. Более подробную информацию можно найти в CVE-2022-38023 .
Интерфейс удаленного вызова процедур (RPC) протокола Netlogon в основном используется для поддержания отношений между устройством и его доменом , а также отношений между контроллерами домена (DC) и доменами .
Это обновление по умолчанию защищает устройства с Windows от CVE-2022-38023 . Для сторонних клиентов и сторонних контроллеров домена обновление по умолчанию находится в режиме совместимости и разрешает уязвимые подключения таких клиентов. Инструкции по переходу в режим принудительного применения см. в разделе параметров раздела реестра .
Чтобы защитить свою среду, установите обновление Windows от 8 ноября 2022 г. или более позднее обновление Windows на всех устройствах, включая контроллеры домена.
Важно! С июня 2023 г. режим принудительного применения будет включен на всех контроллерах домена Windows и будет блокировать уязвимые подключения с несоответствующих устройств. В это время вы не сможете отключить обновление, но можете вернуться к настройке режима совместимости. Режим совместимости будет удален в июле 2023 г., как указано в разделе "Сроки обновления для устранения уязвимости Netlogon CVE-2022-38023 ".
Сроки обновления для устранения уязвимости CVE-2022-38023
Обновления будут выпускаться в несколько этапов: начальный этап для обновлений, выпущенных 8 ноября 2022 года или позже, и этап принудительного применения для обновлений, выпущенных 11 июля 2023 года или позже.
8 ноября 2022 г. — этап начального развертывания
Начальный этап развертывания начинается с обновлений, выпущенных 8 ноября 2022 г., и продолжается с более поздними обновлениями Windows вплоть до этапа принудительного применения. Обновления Windows от 8 ноября 2022 года или позже устраняют уязвимость обхода системы безопасности CVE-2022-38023 путем принудительного применения печати RPC на всех клиентах Windows.
По умолчанию устройства будут переведены в режим совместимости. Контроллеры домена Windows потребуют, чтобы клиенты Netlogon использовали печать RPC, если они работают под управлением Windows или действуют как контроллеры домена или как учетные записи доверия.
11 апреля 2023 г. — начальный этап принудительного применения
Обновления Windows, выпущенные 11 апреля 2023 года или после этой даты, уберут возможность отключить закрытие RPC путем присвоения подразделу реестра RequireSeal значения 0.
13 июня 2023 г. — принудительное применение по умолчанию
Подраздел реестра RequireSeal будет перемещен в принудительный режим, если администраторы явно не настроили его на режим совместимости. Уязвимым подключениям со всех клиентов, включая сторонние, будет отказано в аутентификации. См. изменение 1.
11 июля 2023 г. — этап принудительного применения
Обновления Windows, выпущенные 11 июля 2023 г., удалят возможность установки значения 1 для подраздела реестра RequireSeal . Это включает этап принудительного применения CVE-2022-38023.
Параметры раздела реестра
После установки обновлений Windows, выпущенных 8 ноября 2022 г. или позже, для протокола Netlogon на контроллерах домена Windows станет доступен следующий подраздел реестра.
Примечание
ВАЖНО Это обновление, а также будущие изменения в принудительных мерах не добавляют и не удаляют подраздел реестра "RequireSeal" автоматически. Для чтения этот подраздел реестра необходимо добавить вручную. См. изменение 3.
Подраздел RequireSeal
| Раздел реестра | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Value (Значение) | RequireSeal |
| Тип данных | REG_DWORD |
| Данные. |
0 — отключено 1 — режим совместимости. Контроллеры домена Windows требуют, чтобы клиенты Netlogon использовали печать RPC, если они работают под управлением Windows или действуют как контроллеры домена или учетные записи доверия. 2 — режим принудительного применения. Все клиенты должны использовать печать RPC. См. изменение 2. |
| Требуется перезагрузка? | Нет |
События Windows, связанные с CVE-2022-38023
Примечание
ПРИМЕЧАНИЕ Следующие события имеют 1-часовой буфер, в котором повторяющиеся события, содержащие одинаковые сведения, отбрасываются в этом буфере.
Служба Netlogon обнаружила клиента, использующего подписывание RPC вместо запечатывания RPC
| Журнал событий | Система |
|---|---|
| Тип мероприятия | Ошибка |
| Источник события | НЕТЛОГ |
| Идентификатор события | 5838 |
| Текст события | Служба Netlogon обнаружила клиента, использующего подписывание RPC вместо запечатывания RPC. |
Если вы нашли это сообщение об ошибке в журналах событий, необходимо выполнить следующие действия для устранения системной ошибки:
- Убедитесь, что на устройстве установлена поддерживаемая версия Windows.
- Убедитесь, что все устройства обновлены.
- Убедитесь, что параметру "Член домена: член домена" параметру "Цифровой шифровать или подписывать данные безопасного канала (всегда) " установлено значение "Включено ".
Служба Netlogon обнаружила доверие с использованием подписи RPC вместо запечатывания RPC
| Журнал событий | Система |
|---|---|
| Тип мероприятия | Ошибка |
| Источник события | НЕТЛОГ |
| Идентификатор события | 5839 |
| Текст события | Служба Netlogon обнаружила доверие с использованием подписи RPC вместо запечатывания RPC. |
Служба Netlogon создала защищенный канал с клиентом с помощью RC4
| Журнал событий | Система |
|---|---|
| Тип мероприятия | Предупреждение |
| Источник события | НЕТЛОГ |
| Идентификатор события | 5840 |
| Текст события | Служба Netlogon создала защищенный канал с клиентом RC4. |
Если вы обнаружили событие 5840, это признак того, что клиент в вашем домене использует слабую криптографию.
Служба Netlogon отказала клиенту, использующему RC4, из-за параметра RejectMd5Clients
| Журнал событий | Система |
|---|---|
| Тип мероприятия | Ошибка |
| Источник события | НЕТЛОГ |
| Идентификатор события | 5841 |
| Текст события | Служба Netlogon отказала клиенту, использующему RC4, из-за параметра RejectMd5Clients. |
Если вы обнаружите событие 5841, это означает, что для RejectMD5Clients установлено значение ИСТИНА .
Ключ RejectMD5Clients — это ключ, который уже существует в службе Netlogon. Дополнительные сведения см. в описании абстрактной модели данных в RejectMD5Clients .
Часто задаваемые вопросы
Кто уязвим для проблемы, указанной в CVE-2022-38023?
Эта CVE затрагивает все учетные записи компьютеров, присоединенные к домену. События покажут, кто больше всего затронут этой проблемой после установки обновлений Windows от 8 ноября 2022 г. или позже. Чтобы устранить проблемы, ознакомьтесь с разделом ошибок журнала событий .
Чтобы помочь обнаружить старые клиенты, которые не используют самую сильную доступную криптографию, в этом обновлении представлены журналы событий для клиентов, использующих RC4.
Что такое подписывание RPC и печать RPC?
Подписывание RPC — это подписание протокола Netlogon для подписания сообщений, отправляемых по каналу. Шифрование RPC — это когда протокол Netlogon подписывает и шифрует сообщения, отправляемые по сети.
Как контроллеры домена Windows определяют, работает ли клиент Netlogon под управлением Windows?
Контроллер домена Windows определяет, работает ли клиент Netlogon под управлением Windows, запрашивая атрибут "OperatingSystem" в Active Directory для клиента Netlogon и проверяя наличие следующих строк:
- "Windows", "Hyper-V Server" и "Azure Stack HCI"
Мы не рекомендуем и не поддерживаем изменение этого атрибута клиентами Netlogon или администраторами домена на значение, не соответствующее операционной системе (ОС), работающей в клиенте Netlogon. Обратите внимание, что мы можем изменить условия поиска в любое время. См. изменение 3.
Будет ли фаза принудительного применения отклонять клиентов RC4 Netlogon?
Этап принудительного применения не отклоняет клиентов Netlogon на основе типа шифрования, используемого клиентами. Он будет отклонять клиентов Netlogon только в том случае, если они выполняют подписывание RPC вместо запечатывания RPC. Отклонение клиентов RC4 Netlogon основано на разделе реестра "RejectMd5Clients", доступном для контроллеров домена Windows Server 2008 R2 и более поздних версий. Этап принудительного применения для этого обновления не изменяет значение "RejectMd5Clients". Мы рекомендуем клиентам включить значение "RejectMd5Clients" для повышения безопасности в их доменах. См. изменение 3.
Глоссарий
AES
Расширенный стандарт шифрования (AES) — это блочный шифр, который заменяет стандарт шифрования данных (DES). AES может использоваться для защиты электронных данных. Алгоритм AES можно использовать для шифрования (шифрования) и расшифровки (расшифровки) информации. Шифрование преобразует данные в непонятную форму, называемую зашифрованным текстом; Расшифровка шифрованного текста преобразует данные обратно в исходную форму, называемую открытым текстом. AES используется в криптографии с симметричным ключом, то есть один и тот же ключ используется для шифрования и расшифровки. Это также блочный шифр, означающий, что он работает с блоками открытого текста и зашифрованного текста фиксированного размера и требует, чтобы размер открытого текста и зашифрованного текста был кратен размеру этого блока. AES также известен как алгоритм симметричного шифрования Рейндаля [FIPS197] .
Netlogon
В среде сетевой безопасности, совместимой с операционной системой Windows NT, компонент, отвечающий за синхронизацию и обслуживание, функционирует между основным контроллером домена (PDC) и резервными контроллерами домена (BDC). Netlogon является предшественником протокола сервера репликации каталогов (DRS). Интерфейс удаленного вызова процедур (RPC) протокола Netlogon в основном используется для поддержания отношений между устройством и его доменом , а также отношений между контроллерами домена (DC) и доменами . Дополнительные сведения см. в статье Удаленный протокол Netlogon.
RC4-HMAC
RC4-HMAC (RC4) — это алгоритм симметричного шифрования с переменной длиной ключа. Дополнительную информацию см. в разделе 17.1 [SCHNEIER] .
Безопасный канал
Аутентифицированное подключение удаленного вызова процедур (RPC) между двумя компьютерами в домене с установленным контекстом безопасности , используемое для подписывания и шифрования пакетов RPC .