Защита для CVE-2025-26647 (проверка подлинности Kerberos)

8 апреля 2025 г.: этап начального развертывания — режим аудита

Начальный этап развертывания (режим аудита ) начинается с обновлений, выпущенных 8 апреля 2025 г. Эти обновления изменяют поведение, которое обнаруживает уязвимость к повышению привилегий, описанную в CVE-2025-26647 , но изначально не применяет ее.

В режиме аудитаидентификатор события: 45 будет зарегистрирован на контроллере домена при получении запроса на проверку подлинности Kerberos с небезопасным сертификатом. Запрос проверки подлинности будет разрешен, и никаких ошибок клиента не ожидается.

Чтобы включить изменение в поведении и защититься от уязвимости, необходимо убедиться, что все контроллеры домена Windows обновлены с 8 апреля 2025 г. или позже, а параметру реестра AllowNtAuthPolicyBypass присвоено значение 2 , чтобы настроить режим принудительного применения .

В режиме принудительного применения , если контроллер домена получает запрос на проверку подлинности Kerberos с небезопасным сертификатом, он регистрирует устаревший идентификатор события: 21 и отклоняет запрос.

Чтобы включить защиту, предлагаемую этим обновлением, выполните следующие действия.

1. Примените обновление Windows, выпущенное 8 апреля 2025 г. или позже, ко всем контроллерам домена в вашей среде. После применения обновления для параметра реестра AllowNtAuthPolicyBypass устанавливается значение 1, которое включает проверка NTAuth и события предупреждений журнала аудита.
   
   ВАЖНЫЙ Если вы не готовы применить защиту, предлагаемую этим обновлением, задайте для раздела реестра значение 0 , чтобы временно отключить это изменение. Дополнительные сведения см. в разделе Сведения о разделе разделов реестра .

2. Отслеживайте новые события, которые будут отображаться на контроллерах домена, чтобы определить затронутые центры сертификации, которые не являются частью хранилища NTAuth. Идентификатор события, который необходимо отслеживать, — это идентификатор события: 45. Дополнительные сведения об этих событиях см. в разделе События аудита .

3. Убедитесь, что все клиентские сертификаты действительны и привязаны к доверенному ЦС выдачи в хранилище NTAuth.

4. После разрешения всех событий с идентификатором события: 45, можно перейти в режим принудительного применения . Для этого задайте для параметра реестра AllowNtAuthPolicyBypass значение 2. Дополнительные сведения см. в разделе Сведения о разделе разделов реестра .
   
   Заметка Рекомендуется временно отложить задание AllowNtAuthPolicyBypass = 2 до тех пор, пока не будет применено обновление Windows, выпущенное после мая 2025 г., к контроллерам домена, которые используют самозаверяющую проверку подлинности на основе сертификатов, которая используется в нескольких сценариях. Сюда входят контроллеры домена, службы которых Windows Hello для бизнеса доверия к ключам и проверки подлинности устройства с открытым ключом, присоединенным к домену.

Июль 2025 г.: этап принудительного применения по умолчанию

Обновления, выпущенные в июле 2025 года или позже, по умолчанию применяются проверка NTAuth Store. Параметр реестра AllowNtAuthPolicyBypass по-прежнему позволяет клиентам при необходимости вернуться в режим аудита . Однако возможность полностью отключить это обновление для системы безопасности будет удалена.

Октябрь 2025 г.: режим принудительного применения

Обновления выпущенном в октябре 2025 года или позже, корпорация Майкрософт прекратит поддержку раздела реестра AllowNtAuthPolicyBypass. На этом этапе все сертификаты должны быть выданы центрами, входящими в хранилище NTAuth. 

Сведения о разделе реестра

Следующий раздел реестра позволяет выполнять аудит уязвимых сценариев, а затем применять изменения после устранения проблем с уязвимыми сертификатами. Раздел реестра не будет создан автоматически. Поведение ОС, когда раздел реестра не настроен, будет зависеть от того, на каком этапе развертывания она находится.

AllowNtAuthPolicyBypass

События аудита

Идентификатор события: 45 | Событие аудита проверки проверки подлинности NT

Администраторы должны watch для следующего события, добавленного при установке обновлений Windows, выпущенных 8 апреля 2025 г. или позже. Если он существует, это означает, что сертификат был выдан центром, который не является частью хранилища NTAuth.

Идентификатор события: 21 | Событие сбоя AS-REQ

После обращения к событию Kerberos-Key-Distribution-Center 45 ведение журнала этого универсального устаревшего события указывает на то, что сертификат клиента по-прежнему НЕ является доверенным. Это событие может быть зарегистрировано по нескольким причинам, одна из которых заключается в том, что действительный сертификат клиента НЕ связан с выдающим ЦС в хранилище NTAuth.