KB5066014 – Utrjevanje na Netlogu RPC (CVE-2025-49716)

V tem članku:

• Povzetek

• Ukrepajte

• Časovna usklajenost posodobitev sistema Windows

• Navodila za uvedbo

• Novo dodani dogodki

• Pogosta vprašanja

Povzetek

CVE-2025-49716 odpravlja ranljivost za zavrnitev storitve, pri kateri lahko oddaljeni uporabniki, ki niso bili preverjeni, na podlagi Netlogon ustvari niz klicev oddaljene procedure (RPC), ki sčasoma porabljajo ves pomnilnik krmilnika domene (DC). Da bi to ranljivost ublažili, je bila v posodobitvi iz maja 2025 Varnost sistema Windows za Windows Server 2025 narejena sprememba kode in v juliju 2025 Varnost sistema Windows Posodobitve za vse druge platforme strežnika iz Windows Server 2008SP2 to Windows Server 2022, vključno.  Ta posodobitev vključuje spremembo protokola Microsoft RPC Netlogon za utrjevanje varnosti. Ta sprememba izboljša varnost tako, da poostri preverjanja dostopa za nabor zahtev klicev oddaljene procedure (RPC). Po namestitvi te posodobitve krmilniki domene imenika Active Directory anonimnim odjemalcem ne dovolijo več priklica nekaterih zahtev RPC prek strežnika Netlogon RPC. Te zahteve so običajno povezane z mestom krmilnika domene.

Po tej spremembi lahko vplivate na &, vključno s programsko opremo za tiskanje datotek Samba. Samba je izdal posodobitev, da sprejme to spremembo. Če želite več informacij, glejte Samba 4.22.3 – opombe ob izdaji.

V primeru, ko prizadete programske opreme drugih proizvajalcev ni mogoče posodobiti, smo v posodobitvi iz avgusta 2025 izdali Varnost sistema Windows konfiguracijo. Ta sprememba uvaja preklopni gumb na osnovi registrskega ključa med privzetim načinom uveljavljanja, načinom nadzora, ki beleži spremembe, ne bo pa blokiral nenajavnih klicev Netlogon RPC in onemogočenega načina (ni priporočeno).)

Ukrepajte

Če želite zaščititi svoje okolje in se izogniti izpadom, najprej posodobite vse naprave, ki gostijo krmilnik domene imenika Active Directory ali vlogo strežnika LDS, tako da namestite najnovejše posodobitve sistema Windows. DCs that have the 8, 2025 or later Varnost sistema Windows Posodobitve (or Windows Server 2025 DCs with May updates) are secure-by-default and do not accept unauthenticated Netlogon-based RPC calls by default. DCs that have the august 12, 2025 or later Varnost sistema Windows Posodobitve do not accept unauthenticated Netlogon-based RPC calls by default, but can be configured to do so temporarily.

1. Spremljajte okolje in poiščite težave z dostopom. Če pride do tega, preverite, ali so korenske spremembe utrjenega klica oddaljene procedure v Netlogonu.

   1. Če so nameščene samo julijske posodobitve, omogočite podrobno pisanje dnevnika v storitvi Netlogon z ukazom "Nltest.exe /dbflag:0x2080ffff" in nato spremljajte nastale dnevnike za vnose, podobne tej vrstici. Polji OpNum in Method se lahko razlikujeta in predstavljata metodo operacije in RPC, ki je bila blokirana:

      06/23 10:50:39 [CRITICAL] [5812] NlRpcSecurityCallback: zavrnitev nepooblaščenega klica RPC iz [IPAddr] OpNum:34 Method:DsrGetDcNameEx2

   2. Če so nameščene posodobitve sistema Windows v avgustu ali novejše, v svojih računalnikih poiščite Security-Netlogon dogodka 9015, da ugotovite, kateri klici RPC bodo zavrnjeni. Če so ti klici nujni, lahko med odpravljanjem težav začasno preklopite dc v način nadzora ali Onemogočen način.

   3. Naredite spremembe tako, da aplikacija uporablja klice Netlogon RPC s preverjeno pristnostjo, ali pa se za dodatne informacije obrnite na prodajalca programske opreme.

2. Če krmilnike domene preklopite v način nadzora, spremljajte dogodek Security-Netlogon 9016, da ugotovite, kateri klici RPC bodo zavrnjeni, če vklopite način uveljavljanja. Nato naredite spremembe tako, da aplikacija uporablja preverjene klice Netlogon RPC ali se za dodatne informacije obrnite na prodajalca programske opreme.

Časovna usklajenost posodobitev sistema Windows

Te posodobitve sistema Windows so bile izdane v več fazah:

1. Začetna sprememba leta Windows Server 2025 (13. maj 2025) – prvotna posodobitev, ki je bila otečena pred klici RPC, ki temeljijo na Netlogonu, je bila vključena v posodobitev RPC iz maja 2025 Varnost sistema Windows za Windows Server 2025.

2. Začetne spremembe na drugih platformah strežnika (8. julij 2025) – posodobitve, ki so se utrjela proti neauthenticated Netlogon temelji na klicih RPC za druge platforme server so bile vključene v juliju 2025 Varnost sistema Windows Posodobitve.

3. Dodajanje načina nadzora in onemogočenega načina (12. avgust 2025) – v avgustu 2025 so bile privzeto vključene tudi uveljavljanje z možnostjo načina nadzora ali onemogočenega Varnost sistema Windows Posodobitve.

4. Odstranitev načina nadzora in onemogočenega načina (TBD) – pozneje se lahko iz operacijskega sistema odstranita načina nadzora in Onemogočeno. Ta članek bo posodobljen, ko bodo potrjene dodatne podrobnosti.

Navodila za uvedbo

Če uvedete avgustovski Varnost sistema Windows Posodobitve želite konfigurirati računalnike v načinu nadzora ali onemogočenega, uvedi registrski ključ spodaj z ustrezno vrednostjo. Vnovični zagon ni potreben.

Novo dodani dogodki

V 12. avgustu 2025 Varnost sistema Windows Posodobitve s krmilniki domene sistema Windows Server 2012 dodali nove dnevnike dogodkov v Windows Server 2022:

Pogosta vprašanja