Kako upravljati spremembe preverjanja veljavnosti PAC, povezane s CVE-2024-26248 in CVE-2024-29056

Faza začetne uvedbe se začne s posodobitvami, izdanimi 9. aprila 2024. Ta posodobitev doda novo vedenje, ki preprečuje prisvojitev ranljivosti pravic, opisane v CVE-2024-26248 in CVE-2024-29056 , vendar jih ne vsili, razen če so posodobljeni tako krmilniki domene sistema Windows kot tudi odjemalci sistema Windows v okolju.

Če želite omogočiti novo delovanje in ublažiti ranljivosti, morate zagotoviti, da je posodobljeno celotno okolje sistema Windows (vključno s krmilniki domene in odjemalci). Dogodki nadzora bodo zabeleženi v dnevnik, da bodo lažje prepoznali naprave, ki niso posodobljene.

Posodobitve izdan v ali po januarju 2025, se bodo vsi krmilniki domene in odjemalci sistema Windows v okolju premaknili v način Vsili. Ta način bo privzeto vsilil varno vedenje. Obstoječe nastavitve registrskega ključa, ki so bile predhodno nastavljene, preglasijo to privzeto spremembo vedenja.

Privzete nastavitve vsiljenega načina lahko preglasi skrbnik, da se povrnejo v združljivostni način.

Varnostne posodobitve sistema Windows, izdane aprila 2025 ali pozneje, bodo odstranile podporo za registrske podključe PacSignatureValidationLevel in CrossDomainFilteringLevel ter uveljavili novo varno delovanje. Po namestitvi posodobitve iz aprila 2025 podpora za združljivostni način ne bo na voljo.

Ta registrski ključ je mogoče uvesti tako v strežnike sistema Windows, ki sprejemajo preverjanje pristnosti dohodnega kerberosa, kot tudi za kateri koli krmilnik domene sistema Windows, ki med potjo veljavni nov tok za prijavo omrežne vstopnice.

Ta dogodek se prikaže, ko je krmilnik domene med tokom prijave na omrežno vstopnico opravil nesmrto dejanje. Trenutno so zabeležena ta dejanja:

• Uporabniški SID-ji so bili filtrirani.

• Id-ji SID-jev naprav so bili filtrirani.

• Sestavljena identiteta je bila odstranjena zaradi onemogočanja filtriranja SID-a identitete naprave.

• Sestavljena identiteta je bila odstranjena, ker filtriranje SID onemogoča ime domene naprave.

Ta dogodek se prikaže, ko krmilnik domene zavrne zahtevo za prijavo v omrežno vstopnico iz razlogov, prikazanih v dogodku. ​​​​​​

• Ta dogodek je prikazan kot opozorilo, če PacSignatureValidationLevel AND CrossDomainFilteringLevel niso nastavljeni na Vsili ali strožje. Ko je dogodek zabeležen kot opozorilo, pomeni, da je prijava omrežne vstopnice pretočena v stik s krmilnikom domene ali enakovredno napravo, ki ni razumela novega mehanizma. Preverjanje pristnosti je bilo dovoljeno, da se ne odzove na prejšnje vedenje.

• Ta dogodek je prikazan kot napaka, če je PacSignatureValidationLevel OR CrossDomainFilteringLevel nastavljen na Vsili ali strožje. Ta dogodek kot »napaka« pomeni, da je tok prijave omrežne vozovnice stik s krmilnikom domene ali enakovredno napravo, ki ni razumela novega mehanizma. Preverjanje pristnosti je bilo zavrnjeno in ni bilo mogoče zanikati prejšnjega delovanja.

Ta dogodek se ustvari vedno, ko je Netlogon naletel na nepričakovano napako med zahtevo za prijavo v omrežno vstopnico. Ta dogodek je zabeležen, ko je auditKerberosTicketLogonEvents nastavljen na (1) ali višjo.

Ta dogodek se ustvari, kadar Netlogon ni mogel dokončati prijave omrežne vstopnice, ker krmilnik domene ni razumel sprememb. Zaradi omejitev v protokolu Netlogon odjemalec Netlogon ne more ugotoviti, ali je krmilnik domene, s katerega neposredno govori odjemalec Netlogon, tisti, ki ne razume sprememb, ali pa gre za krmilnik domene vzdolž verige za posredovanje, ki ne razume sprememb.

• Če je domena naročila storitve enaka kot domena računa računalnika, krmilnik domene v dnevniku dogodkov verjetno ne razume toka prijave Network Ticket.

• Če se domena naročila storitve razlikuje od domene računa računalnika, eden od krmilnikov domene na poti od domene računa računalnika do domene storitvenega računa ni razumel toka za prijavo omrežne vstopnice

Ta dogodek je privzeto izklopljen. Microsoft priporoča, da uporabniki pred vklopom dogodka najprej posodobijo celotno floto.

Ta dogodek je zabeležen, ko je auditKerberosTicketLogonEvents nastavljen na (2).

Krmilnik domene, ki ni posodobljen, ne prepozna te nove strukture zahteve. To bo povzročilo neuspešno varnostno preverjanje. V združljivostnem načinu bo uporabljena stara struktura zahteve. Ta scenarij je še vedno ranljiv za CVE-2024-26248 in CVE-2024-29056.

Da. To je zato, ker mora biti novi tok za prijavo v omrežno vstopnico preusmerjen v domenah, da doseže domeno računa storitve.

Preverjanje veljavnosti PAC je lahko preskočeno v določenih okoliščinah, vključno s temi scenariji, vendar ne omejeno na to:

• Če ima storitev pravico TCB. Na splošno imajo storitve, ki se izvajajo v kontekstu računa SYSTEM (na primer datotečno skupno rabo SMB ali strežniki LDAP), to pravico.

• Če storitev zaženete v razporejevalniku opravil.

Sicer se preverjanje veljavnosti PAC izvede za vse dohodne tokove preverjanja pristnosti Kerberos.

Ti CVE-ji vključujejo lokalno povišanje pravic, pri katerem zlonamerni ali ogroženi račun storitve, ki se izvaja v delovni postaji Windows, poskuša doseči prednost za pridobitev lokalnih skrbniških pravic. To pomeni, da to vpliva le na delovno postajo Windows, ki sprejema dohodno preverjanje pristnosti Kerberos.