KB4598347: управление развертыванием Kerberos S4U изменяется для CVE-2020–17049

8 декабря 2020 г.: этап начального развертывания

Начальный этап развертывания начинается с обновления Windows, выпущенного 8 декабря 2020 г., и продолжается с последующим обновлением Windows для этапа применения. Эти и более поздние обновления Windows вносют изменения в Kerberos. Это обновление от 8 декабря 2020 г. содержит исправления всех известных проблем, которые впервые были введены в выпуске CVE-2020–17049 от 10 ноября 2020 г. Это обновление также поддерживает Windows Server 2008 с sp2 и Windows Server 2008 R2.

Этот выпуск:

• Адреса CVE-2020-17049 (по умолчанию — в режиме развертывания).

• Добавляет поддержку значения PerformTicketSignature реестра, чтобы включить защиту на серверах контроллеров доменов Active Directory. По умолчанию это значение не существует.

Это включает установку обновлений Windows на всех устройствах с ролью контроллера домена Active Directory и контроллеров домена, доступного только для чтения ,а затем включив режим принудительных действий.

13 апреля 2021г.: второй этап развертывания

Второй этап развертывания начинается с обновления Windows, выпущенного 13 апреля 2021 г. Этот этап удаляет параметр PerformTicketSignature0. Установка параметра PerformTicketSignature до 0 после установки обновления будет иметь такой же эффект, что и для параметра PerformTicketSignature1. Компьютеры будут работать в режиме развертывания.

Примечания.

• Этот этап не требуется, если в вашей среде не было задано0. Этот этап помогает убедиться, что клиенты с параметром PerformTicketSignature0 перемещаются в параметр 1 до этапа реализации.

• После развертывания обновлений от 13 апреля 2021 г. задан параметр PerformTicketSignature1 позволит возобновлять возможности для билетов в службу. Это изменение поведения в обновлениях Windows за апрель 2021 г. при установке параметра PerformTicketSignature на 1, из-за чего не были возобновляться билеты в службу.

• В этом обновлении предполагается, что все контроллеры домена обновлены в обновлениях от 8 декабря 2020 г. или более поздних версий.

• После установки этого обновления и вручную или программным путем установка контроллеров домена PerformTicketSignature1 или более высокого уровня неподдержденные контроллеры доменов Windows Server больше не будут работать с поддерживаемыми контроллерами доменов. К ним относятся Windows Server 2008 и Windows Server 2008 R2 без расширенных обновлений системы безопасности (ESU) и Windows Server 2003.

13 июля 2021г.: этап обеспечения соблюдения

Выпуск от 13 июля 2021 г. переходит к этапу реализации. На этапе применения изменения будут применяться к CVE-2020–17049. Контроллеры домена Active Directory теперь работают в режиме принудительных действий. Для режима обеспечения безопасности все контроллеры домена Active Directory должны иметь обновление от 8 декабря 2020 г. или более позднее обновление Windows. В настоящее время параметры ключа реестра PerformTicketSignature будут игнорироваться, а режим принудительных параметров нельзя переопрепретить. 

Перед установкой этого обновления

Для применения этого обновления должны быть установлены следующие необходимые обновления: Если вы используете Обновление Windows, эти необходимые обновления будут предлагаться автоматически.

• Необходимо установить обновление SHA-2(KB4474419)от 23 сентября 2019 г. или более позднее обновление SHA-2, а затем перезапустить устройство перед его применением. Дополнительные сведения об обновлениях SHA-2 см. в требованиях к поддержке подписи кода SHA-2 2 для Windows и WSUS.

• Для Windows Server 2008 R2 с пакетом обновления 1 (SP1) необходимо установить обновление стеком обслуживания(KB4490628)от 12 марта 2019 г. После установки обновления KB4490628 рекомендуется установить последнее обновление SSU. Дополнительные сведения о последнем обновлении SSU см. в | Последние обновления стеком обслуживания.

• Для Windows Server 2008 с пакетом обновления 2 (SP2) необходимо установить обновление стеком обслуживания(KB4493730)от 9 апреля 2019 г. После установки обновления KB4493730 рекомендуется установить последнее обновление SSU. Дополнительные сведения о последних обновлениях SSU см. в | Последние обновления стеком обслуживания.

• Клиентам необходимо приобрести расширенное обновление для системы безопасности (ESU) для локальной версии Windows Server 2008 с sp2 или Windows Server 2008 R2 с sp1 после окончания расширенной поддержки 14 января 2020 г. Клиенты, которые приобрели ESU, должны следовать процедуре KB4522133, чтобы продолжать получать обновления для системы безопасности. Дополнительные сведения об ESU и поддерживаемых выпусках см. в KB4497181.

Важно!После установки этих необходимых обновлений необходимо перезапустить устройство.

Установка всех обновлений

Чтобы устранить уязвимость в системе безопасности, установите все обновления Windows и в режиме обеспечения безопасности:

1. Развернет по крайней мере одно обновление с 8 декабря 2020 г. по 9 марта 2021 г. на всех контроллерах доменов Active Directory в лесу.

2. Развернем обновление от 12 апреля 2021 г. по крайней мере через одну или несколько недель после шага 1.

3. После обновления всех контроллеров домена Active Directory подождите как минимум неделю, чтобы разрешить срок действия всех незавершенных билетов службы для пользователя на самосохранение (S4U2self) Kerberos, а затем включить полную защиту, развернив режим принудительных действий контроллера домена Active Directory.
   
   Примечания

   • Если вы изменили срок действия билета службы Kerberos в настройках по умолчанию (по умолчанию это 7 дней), необходимо подождать по крайней мере такое количество дней, как настроено в вашей среде.

   • В этих действиях предполагается, что для действия PerformTicketSignature в вашей среде не было установлено 0. Если параметр PerformTicketSignature имеет 0,перед переходом к параметру 2 (режимом обеспечения) необходимо перейти к параметру 1 и дождаться истечения срока действия всех непогашенных лицензий на службу для пользователей (S4U2self) Kerberos. Переходить непосредственно от 0 к параметру 2 (режимы обеспечения соблюдения) не следует.

Шаг 1. Установка обновлений Windows

Установите соответствующее обновление Windows от 8 декабря 2020 г. или более поздней версии на все устройства с ролью контроллера домена Active Directory в лесу, включая контроллеры доменов, доступные только для чтения.

Шаг 2. Включить режим обеспечения соблюдения

После обновления всех устройств с ролью контроллера домена Active Directory подождите как минимум неделю, чтобы срок действия всех непогашенных билетов в службу S4U2self Kerberos истек. Затем можно включить полную защиту, разверняя режим обеспечения защиты. Для этого в режиме обеспечения соблюдения данной ситуации в реестре в включить режим обеспечения соблюдения данной темы.

Предупреждение. Неправильное изменение параметров системного реестра с помощью редактора реестра или любым иным путем может привести к возникновению серьезных неполадок. Эти проблемы могут привести к необходимости переустановки операционной системы. Корпорация Майкрософт не гарантирует, что эти проблемы удастся решить. При изменении реестра полагайтесь на свой опыт и знания.

Примечание. Это обновление включает поддержку следующего значения реестра, чтобы включить режим принудительных мер. Это значение реестра не создается при установке этого обновления. Это значение реестра необходимо добавить вручную.