KB5037754: Kako upravljati spremembe preverjanja veljavnosti PAC, povezane s CVE-2024-26248 in CVE-2024-29056

Faza začetne uvedbe se začne s posodobitvami, izdanimi 9. aprila 2024. Ta posodobitev doda novo vedenje, ki preprečuje prisvojitev ranljivosti pravic, opisane v CVE-2024-26248 in CVE-2024-29056 , vendar jih ne vsili, razen če so posodobljeni tako krmilniki domene sistema Windows kot tudi odjemalci sistema Windows v okolju.

Če želite omogočiti novo delovanje in ublažiti ranljivosti, morate zagotoviti, da je posodobljeno celotno okolje sistema Windows (vključno s krmilniki domene in odjemalci). Dogodki nadzora bodo zabeleženi v dnevnik, da bodo lažje prepoznali naprave, ki niso posodobljene.

Posodobitve, ki je bila izdana 15. oktobra 2024 ali po tem, premakne vse krmilnike domene in odjemalce sistema Windows v način Vsili tako, da nastavitve registrskega podključa spremenite v PacSignatureValidationLevel=3 in CrossDomainFilteringLevel=4, kar privzeto uveljavlja varno vedenje.

Če želite povrniti združljivostni način, lahko nastavitve Vsili privzeto preglasi skrbnik.

Varnostne posodobitve sistema Windows, izdane 8. aprila 2025 ali pozneje, bodo odstranile podporo za registrske podključe PacSignatureValidationLevel in CrossDomainFilteringLevel ter uveljavili novo varno delovanje. Po namestitvi te posodobitve podpora za združljivostni način ne bo na voljo.

Ta registrski ključ je mogoče uvesti tako v strežnike sistema Windows, ki sprejemajo preverjanje pristnosti dohodnega kerberosa, kot tudi za kateri koli krmilnik domene sistema Windows, ki med potjo veljavni nov tok za prijavo omrežne vstopnice.

Ta dogodek se prikaže, ko je krmilnik domene med tokom prijave na omrežno vstopnico opravil nesmrto dejanje. Trenutno so zabeležena ta dejanja:

• Uporabniški SID-ji so bili filtrirani.

• Id-ji SID-jev naprav so bili filtrirani.

• Sestavljena identiteta je bila odstranjena zaradi onemogočanja filtriranja SID-a identitete naprave.

• Sestavljena identiteta je bila odstranjena, ker filtriranje SID onemogoča ime domene naprave.

Ta dogodek se prikaže, ko krmilnik domene zavrne zahtevo za prijavo v omrežno vstopnico iz razlogov, prikazanih v dogodku. ​​​​​​

• Ta dogodek je prikazan kot opozorilo, če PacSignatureValidationLevel AND CrossDomainFilteringLevel niso nastavljeni na Vsili ali strožje. Ko je dogodek zabeležen kot opozorilo, pomeni, da je prijava omrežne vstopnice pretočena v stik s krmilnikom domene ali enakovredno napravo, ki ni razumela novega mehanizma. Preverjanje pristnosti je bilo dovoljeno, da se ne odzove na prejšnje vedenje.

• Ta dogodek je prikazan kot napaka, če je PacSignatureValidationLevel OR CrossDomainFilteringLevel nastavljen na Vsili ali strožje. Ta dogodek kot »napaka« pomeni, da je tok prijave omrežne vozovnice stik s krmilnikom domene ali enakovredno napravo, ki ni razumela novega mehanizma. Preverjanje pristnosti je bilo zavrnjeno in ni bilo mogoče zanikati prejšnjega delovanja.

Ta dogodek se ustvari vedno, ko je Netlogon naletel na nepričakovano napako med zahtevo za prijavo v omrežno vstopnico. Ta dogodek je zabeležen, ko je auditKerberosTicketLogonEvents nastavljen na (1) ali višjo.

Ta dogodek se ustvari, kadar Netlogon ni mogel dokončati prijave omrežne vstopnice, ker krmilnik domene ni razumel sprememb. Zaradi omejitev v protokolu Netlogon odjemalec Netlogon ne more ugotoviti, ali je krmilnik domene, s katerega neposredno govori odjemalec Netlogon, tisti, ki ne razume sprememb, ali pa gre za krmilnik domene vzdolž verige za posredovanje, ki ne razume sprememb.

• Če je domena naročila storitve enaka kot domena računa računalnika, krmilnik domene v dnevniku dogodkov verjetno ne razume toka prijave Network Ticket.

• Če se domena naročila storitve razlikuje od domene računa računalnika, eden od krmilnikov domene na poti od domene računa računalnika do domene storitvenega računa ni razumel toka za prijavo omrežne vstopnice

Ta dogodek je privzeto izklopljen. Microsoft priporoča, da uporabniki pred vklopom dogodka najprej posodobijo celotno floto.

Ta dogodek je zabeležen, ko je auditKerberosTicketLogonEvents nastavljen na (2).

Krmilnik domene, ki ni posodobljen, ne prepozna te nove strukture zahteve. To bo povzročilo neuspešno varnostno preverjanje. V združljivostnem načinu bo uporabljena stara struktura zahteve. Ta scenarij je še vedno ranljiv za CVE-2024-26248 in CVE-2024-29056.

Da. To je zato, ker mora biti novi tok za prijavo v omrežno vstopnico preusmerjen v domenah, da doseže domeno računa storitve.

Preverjanje veljavnosti PAC je lahko preskočeno v določenih okoliščinah, vključno s temi scenariji, vendar ne omejeno na to:

• Če ima storitev pravico TCB. Na splošno imajo storitve, ki se izvajajo v kontekstu računa SYSTEM (na primer datotečno skupno rabo SMB ali strežniki LDAP), to pravico.

• Če storitev zaženete v razporejevalniku opravil.

Sicer se preverjanje veljavnosti PAC izvede za vse dohodne tokove preverjanja pristnosti Kerberos.

Ti CVE-ji vključujejo lokalno povišanje pravic, pri katerem zlonamerni ali ogroženi račun storitve, ki se izvaja v delovni postaji Windows, poskuša doseči prednost za pridobitev lokalnih skrbniških pravic. To pomeni, da to vpliva le na delovno postajo Windows, ki sprejema dohodno preverjanje pristnosti Kerberos.