KB5021130: วิธีจัดการการเปลี่ยนแปลงโพรโทคอล Netlogon ที่เกี่ยวข้องกับ CVE-2022-38023

ขั้นตอนการปรับใช้ครั้งแรกจะเริ่มต้นด้วยการอัปเดตที่เผยแพร่เมื่อวันที่ 8 พฤศจิกายน 2022 และดําเนินการต่อกับการอัปเดต Windows ในภายหลังจนกว่าจะถึงระยะการบังคับใช้ การอัปเดต Windows ในวันที่ 8 พฤศจิกายน 2022 หรือหลังจากนั้นจะแก้ไขช่องโหว่การเลี่ยงผ่านการรักษาความปลอดภัยของ CVE-2022-38023 โดยการบังคับใช้การปิดผนึก RPC ในไคลเอ็นต์ Windows ทั้งหมด

ตามค่าเริ่มต้น อุปกรณ์จะถูกตั้งค่าในโหมดความเข้ากันได้ ตัวควบคุมโดเมนของ Windows จะต้องให้ไคลเอ็นต์ Netlogon ใช้การปิดผนึก RPC หากไคลเอ็นต์เหล่านั้นใช้ Windows หรือทําหน้าที่เป็นตัวควบคุมโดเมนหรือเป็นบัญชีที่เชื่อถือ

การอัปเดต Windows ที่เผยแพร่ในวันที่ 11 เมษายน 2023 หรือหลังจากนั้นจะลบความสามารถในการปิดใช้งานการปิดผนึก RPC โดยการตั้งค่า 0 เป็นซับคีย์รีจิสทรี RequireSeal

ซับคีย์รีจิสทรี RequireSeal จะถูกย้ายไปยังโหมดบังคับใช้ ยกเว้นผู้ดูแลระบบจะกําหนดค่าให้อยู่ภายใต้โหมดความเข้ากันได้อย่างชัดเจน การเชื่อมต่อที่มีช่องโหว่จากไคลเอ็นต์ทั้งหมดรวมถึงบริษัทภายนอกจะถูกปฏิเสธการรับรองความถูกต้อง ดู เปลี่ยน 1

การอัปเดต Windows ที่เผยแพร่เมื่อวันที่ 11 กรกฎาคม 2023 จะลบความสามารถในการตั้งค่า 1 เป็นซับคีย์รีจิสทรี RequireSeal ซึ่งจะเป็นการเปิดใช้งานขั้นตอนการบังคับใช้ของ CVE-2022-38023

หากคุณพบข้อความแสดงข้อผิดพลาดนี้ในบันทึกเหตุการณ์ของคุณ คุณต้องดําเนินการต่อไปนี้เพื่อแก้ไขข้อผิดพลาดของระบบ:

• ยืนยันว่าอุปกรณ์กําลังใช้ Windows เวอร์ชันที่ได้รับการสนับสนุน

• ตรวจสอบให้แน่ใจว่าอุปกรณ์ทั้งหมดมีข้อมูลล่าสุด

• ตรวจสอบให้แน่ใจว่าสมาชิกโดเมน: สมาชิกโดเมนเข้ารหัสลับแบบดิจิทัลหรือลงชื่อในข้อมูลแชนเนลที่ปลอดภัย (เสมอ) ถูกตั้งค่าเป็น เปิดใช้งาน

หากคุณพบ Event 5840 นี่เป็นสัญญาณว่าไคลเอ็นต์ในโดเมนของคุณใช้การเข้ารหัสลับที่ไม่เหมาะสม

ถ้าคุณพบ เหตุการณ์ 5841 นี่คือสัญญาณว่าค่า RejectMD5Clients ถูกตั้งค่าเป็น TRUE

คีย์ RejectMD5Clients เป็นคีย์ที่มีอยู่ก่อนในบริการ Netlogon สําหรับข้อมูลเพิ่มเติม ให้ดูคําอธิบาย RejectMD5Clients ของตัวแบบข้อมูลแบบนามธรรม

บัญชีเครื่องที่เข้าร่วมโดเมนทั้งหมดจะได้รับผลกระทบจาก CVE นี้ เหตุการณ์จะแสดงว่าใครได้รับผลกระทบมากที่สุดจากปัญหานี้หลังจากติดตั้งการอัปเดต Windows เมื่อวันที่ 8 พฤศจิกายน 2022 หรือใหม่กว่า โปรดดูส่วน ข้อผิดพลาดในบันทึกเหตุการณ์ เพื่อแก้ไขปัญหา

เพื่อช่วยตรวจหาไคลเอ็นต์รุ่นเก่าที่ไม่ได้ใช้สกุลเงินคริปโตที่แข็งแกร่งที่สุดการอัปเดตนี้จะแนะนําบันทึกเหตุการณ์สําหรับไคลเอ็นต์ที่ใช้ RC4

การเซ็นชื่อ RPC คือเมื่อโพรโทคอล Netlogon ใช้ RPC เพื่อเซ็นชื่อข้อความที่ส่งผ่านสาย การปิดผนึก RPC คือเมื่อโปรโตคอล Netlogon ทั้งลงชื่อและเข้ารหัสข้อความที่ส่งผ่านสาย

ตัวควบคุมโดเมน Windows กําหนดว่าไคลเอ็นต์ Netlogon กําลังเรียกใช้ Windows โดยการสอบถามแอตทริบิวต์ "OperatingSystem" ใน Active Directory สําหรับไคลเอ็นต์ Netlogon และตรวจสอบสตริงต่อไปนี้:

• "Windows", "Hyper-V Server" และ "Azure Stack HCI"

เราไม่แนะนําหรือสนับสนุนว่าแอตทริบิวต์นี้จะถูกเปลี่ยนโดยไคลเอ็นต์ Netlogon หรือผู้ดูแลระบบโดเมนเป็นค่าที่ไม่ใช่ตัวแทนของระบบปฏิบัติการ (OS) ที่ไคลเอ็นต์ Netlogon กําลังทํางานอยู่ คุณควรทราบว่าเราอาจเปลี่ยนเกณฑ์การค้นหาได้ตลอดเวลา ดู เปลี่ยน 3

ขั้นตอนการบังคับใช้จะไม่ปฏิเสธไคลเอ็นต์ Netlogon ตามชนิดของการเข้ารหัสลับที่ไคลเอ็นต์ใช้ มันจะปฏิเสธเฉพาะลูกค้า Netlogon ถ้าพวกเขาทํา RPC ลงนามแทนการปิดผนึก RPC การปฏิเสธไคลเอ็นต์ RC4 Netlogon ขึ้นอยู่กับรีจิสทรีคีย์ "RejectMd5Clients" ที่พร้อมใช้งานสําหรับ Windows Server 2008 R2 และตัวควบคุมโดเมน Windows รุ่นที่ใหม่กว่า ขั้นตอนการบังคับใช้สําหรับการอัปเดตนี้จะไม่เปลี่ยนค่า "RejectMd5Clients" เราขอแนะนําให้ลูกค้าเปิดใช้งานค่า "RejectMd5Clients" เพื่อความปลอดภัยที่สูงขึ้นในโดเมนของพวกเขา ดู เปลี่ยน 3

Advanced Encryption Standard (AES) เป็นตัวเข้ารหัสบล็อกที่ใช้แทนที่ Data Encryption Standard (DES) AES สามารถใช้เพื่อปกป้องข้อมูลอิเล็กทรอนิกส์ได้ อัลกอริทึม AES สามารถใช้เพื่อเข้ารหัสข้อมูล (encipher) และถอดรหัสลับ (ถอดรหัส) การเข้ารหัสลับจะแปลงข้อมูลเป็นฟอร์มที่ไม่สามารถอ่านได้ที่เรียกว่า การเข้ารหัส การถอดรหัสลับข้อความแบบเข้ารหัสจะแปลงข้อมูลกลับเป็นรูปแบบดั้งเดิมที่เรียกว่าข้อความธรรมดา AES จะใช้ในการเข้ารหัสคีย์แบบสมมาตร ซึ่งหมายความว่าคีย์เดียวกันนี้ใช้สําหรับการดําเนินการเข้ารหัสลับและการถอดรหัสลับ นอกจากนี้ยังเป็นการเข้ารหัสบล็อก ซึ่งหมายความว่าจะทํางานบนบล็อกข้อความธรรมดาและข้อความลับที่มีขนาดคงที่ และต้องมีขนาดของข้อความธรรมดาและข้อความธรรมดาเช่นเดียวกับตัวระบุเป็นตัวคูณที่แน่นอนของขนาดบล็อกนี้ AES เรียกอีกอย่างว่า Rijndael อัลกอริทึมการเข้ารหัสแบบสมมาตร [FIPS197]

ในสภาพแวดล้อมความปลอดภัยของเครือข่ายที่เข้ากันได้กับระบบปฏิบัติการ Windows NT คอมโพเนนต์ที่มีหน้าที่ในการซิงโครไนซ์และฟังก์ชันการบํารุงรักษาระหว่าง ตัวควบคุมโดเมนหลัก (PDC) และตัวควบคุมโดเมนสํารอง (BDC) Netlogon คือตัวตั้งต้นของโพรโทคอลเซิร์ฟเวอร์การจําลองแบบไดเรกทอรี (DRS) Netlogon Remote Protocol Remote Procedure Call (RPC) ใช้เพื่อรักษาความสัมพันธ์ระหว่างอุปกรณ์กับ โดเมน และความสัมพันธ์ระหว่าง ตัวควบคุมโดเมน (DC) และโดเมนเป็นหลัก สําหรับข้อมูลเพิ่มเติม โปรดดู Netlogon Remote Protocol

RC4-HMAC (RC4) เป็นอัลกอริทึมการเข้ารหัสลับแบบสมมาตรที่แปรผันได้ ดูข้อมูลเพิ่มเติมได้ที่ [SCHNEIER] ส่วน 17.1

การเชื่อมต่อการเรียกกระบวนการระยะไกล (RPC) ที่ได้รับการรับรองความถูกต้องระหว่างเครื่องสองเครื่องในโดเมนที่มีบริบทความปลอดภัยที่สร้างขึ้นที่ใช้สําหรับการเซ็นชื่อและการเข้ารหัสแพคเก็ต RPC