KB5040268: Cách quản lý lỗ hổng tấn công gói Access-Request liên quan đến CVE-2024-3596

Áp dụng cho
Windows Server 2008 Datacenter ESU Windows Server 2008 Standard ESU Windows Server 2008 Enterprise ESU Windows Server 2008 R2 Enterprise ESU Windows Server 2008 R2 Standard ESU Windows Server 2008 R2 Datacenter ESU Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows 10, version 1607, all editions Windows Server 2016 Windows 10 Home and Pro, version 21H2 Windows 10 Enterprise and Education, version 21H2 Windows 10 IoT Enterprise, version 21H2 Windows 10 Home and Pro, version 22H2 Windows 10 Enterprise Multi-Session, version 22H2 Windows 10 Enterprise and Education, version 22H2 Windows 10 IoT Enterprise, version 22H2 Windows 11 SE, version 21H2 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 SE, version 22H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows Server 2022 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 DO_NOT_USE_Windows 11 IoT Enterprise, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2

Lưu ý

Quan trọng Một số phiên bản nhất định của Microsoft Windows đã kết thúc hỗ trợ. Lưu ý rằng một số phiên bản Windows có thể được hỗ trợ sau ngày kết thúc HĐH mới nhất khi có các Bản Cập nhật Bảo mật Mở rộng (ESU). Xem Câu hỏi thường gặp về Vòng đời - Cập nhật bảo mật mở rộng để biết danh sách các sản phẩm cung cấp ESU.

Nhật ký thay đổi
Thay đổi ngày Thay đổi mô tả
Ngày 1 tháng 8 năm 2024
  • Những thay đổi nhỏ về định dạng giúp dễ đọc
  • Trong cấu hình "Cấu hình xác minh thuộc tính Trình xác thực Thông báo trong tất cả các gói truy cập-Yêu cầu trên máy khách", từ "thông báo" đã được sử dụng thay cho "gói"
Ngày 5 tháng 8 năm 2024
  • Đã thêm liên kết cho Giao thức Gói dữ liệu Người dùng (UDP)
  • Đã thêm liên kết cho Máy chủ Chính sách Mạng (NPS)
Ngày 6 tháng 8 năm 2024
  • Đã cập nhật phần "Tóm tắt" để cho biết những thay đổi này được bao gồm trong các bản cập nhật Windows vào hoặc sau ngày 9 tháng 7 năm 2024
  • Đã cập nhật các dấu đầu dòng trong phần "Thực hiện hành động" để cho biết chúng tôi khuyên bạn nên bật tùy chọn này. Các tùy chọn này được tắt theo mặc định.
  • Đã thêm ghi chú vào phần "Sự kiện được thêm vào bởi bản cập nhật này" để cho biết ID sự kiện được thêm vào máy chủ NPS bởi các bản cập nhật Windows vào hoặc sau ngày 9 tháng 7 năm 2024

Nội dung

Tóm tắt

Các bản cập nhật Windows vào hoặc sau ngày 9 tháng 7 năm 2024 giải quyết lỗ hổng bảo mật trong giao thức Dịch vụ người dùng quay số vào xác thực từ xa (RADIUS) liên quan đến các sự cố va chạm MD5 . Do kiểm tra tính toàn vẹn yếu trong MD5, kẻ tấn công có thể giả mạo các gói tin để truy cập trái phép. Lỗ hổng MD5 làm cho lưu lượng truy cập RADIUS dựa trên Giao thức Gói dữ liệu Người dùng (UDP) trên Internet không an toàn trước việc giả mạo hoặc sửa đổi gói tin trong quá trình truyền.

Để biết thêm thông tin về lỗ hổng này, hãy xem CVE-2024-3596 và sách trắng CÁC CUỘC TẤN CÔNG VA CHẠM RADIUS VÀ MD5.

LƯU Ý Lỗ hổng này yêu cầu quyền truy nhập vật lý vào mạng RADIUS và Máy chủ chính sách mạng (NPS). Do đó, những khách hàng có mạng RADIUS bảo mật không dễ bị tấn công. Ngoài ra, lỗ hổng này không áp dụng khi giao tiếp RADIUS diễn ra qua VPN.

Hành động

Để giúp bảo vệ môi trường của bạn, chúng tôi khuyên bạn nên bật các cấu hình sau. Để biết thêm thông tin, hãy xem phần Cấu hình .
  • Đặt thuộc tính Message-Authenticator trong gói Access-Request . Hãy đảm bảo tất cả các gói Yêu cầu Truy nhập đều chứa thuộc tính Message-Authenticator . Theo mặc định, tùy chọn đặt thuộc tính Thư-Xác thực bị tắt. Chúng tôi khuyên bạn nên bật tùy chọn này.
  • Xác minh thuộc tính Message-Authenticator trong gói Access-Request . Cân nhắc việc thực thi xác thực thuộc tính Message-Authenticator trên các gói Access-Request . Các gói Access-Request không có thuộc tính này sẽ không được xử lý. Theo mặc định, các thông báo Truy nhập-Yêu cầu phải chứa tùy chọn thuộc tính thông báo-xác thực được tắt. Chúng tôi khuyên bạn nên bật tùy chọn này.
  • Xác minh thuộc tính Message-Authenticator trong gói Access-Request nếu thuộc tính Proxy-State được hiện diện. Bạn có thể tùy ý bật tùy chọn limitProxyState nếu không thể thực hiện việc xác thực xác thực thuộc tính Message-Authenticator trên mọi gói Access-Request . limitProxyState bắt buộc bỏ gói Truy cập-Yêu cầu có chứa thuộc tính Trạng thái Proxy mà không có thuộc tính Message-Authenticator . Theo mặc định, tùy chọn limitproxystate bị tắt. Chúng tôi khuyên bạn nên bật tùy chọn này.
  • Xác minh thuộc tính Message-Authenticator trong các gói phản hồi RADIUS: Access-Accept, Access-Reject và Access-Challenge. Bật tùy chọn requireMsgAuth để bắt buộc bỏ gói phản hồi RADIUS từ máy chủ từ xa mà không có thuộc tính Message-Authenticator . Theo mặc định, tùy chọn requiremsgauth bị tắt. Chúng tôi khuyên bạn nên bật tùy chọn này.

Các sự kiện được thêm vào bởi bản cập nhật này

Để biết thêm thông tin, hãy xem phần Cấu hình .

Lưu ý

Lưu ý Các ID sự kiện này được thêm vào máy chủ NPS bởi các bản cập nhật Windows vào hoặc sau ngày 9 tháng 7 năm 2024.

ID Sự kiện: 4418

Gói Access-Request đã bị loại bỏ vì chứa thuộc tính Trạng thái Proxy nhưng thiếu thuộc tính Message-Authenticator . Hãy cân nhắc việc thay đổi máy khách RADIUS để bao gồm thuộc tính Message-Authenticator . Hoặc thêm một ngoại lệ cho máy khách RADIUS bằng cách sử dụng cấu hình limitProxyState .

Nhật ký sự kiện Hệ thống
Loại sự kiện Lỗi
Nguồn sự kiện NPS
ID Sự kiện 4418
Văn bản sự kiện Đã nhận được thông báo Access-Request từ IP/tên> máy khách< RADIUS có chứa thuộc tính Proxy-State nhưng không bao gồm thuộc tính Message-Authenticator. Do đó, yêu cầu đã bị loại bỏ. Thuộc tính Message-Authenticator là bắt buộc vì mục đích bảo mật. Xem https://support.microsoft.com/help/5040268 để tìm hiểu thêm.
ID sự kiện: 4419

Đây là một sự kiện kiểm tra đối với các gói Access-Request không có thuộc tính Message-Authenticator khi có Trạng thái proxy. Hãy cân nhắc việc thay đổi máy khách RADIUS để bao gồm thuộc tính Message-Authenticator . Gói tin RADIUS sẽ bị bỏ khi cấu hình limitproxystate được bật.

Nhật ký sự kiện Hệ thống
Loại sự kiện Cảnh báo
Nguồn sự kiện NPS
ID Sự kiện 4419
Văn bản sự kiện Đã nhận được thông báo Access-Request từ IP/tên> máy khách< RADIUS có chứa thuộc tính Proxy-State nhưng không bao gồm thuộc tính Message-Authenticator. Yêu cầu hiện được cho phép vì limitProxyState được đặt cấu hình trong chế độ Kiểm tra. Xem https://support.microsoft.com/help/5040268 để tìm hiểu thêm.
ID Sự kiện: 4420

Đây là một sự kiện Kiểm tra đối với các gói phản hồi RADIUS đã nhận mà không có thuộc tính Message-Authenticator tại proxy. Cân nhắc việc thay đổi máy chủ RADIUS được chỉ định cho thuộc tính Message-Authenticator . Gói RADIUS sẽ bị bỏ sau khi cấu hình requiremsgauth được bật.

Nhật ký sự kiện Hệ thống
Loại sự kiện Cảnh báo
Nguồn sự kiện NPS
ID Sự kiện 4420
Văn bản sự kiện Proxy RADIUS nhận được phản hồi từ ip/tên> máy chủ< với thiếu thuộc tính Message-Authenticator. Hiện tại cho phép phản hồi vì requireMsgAuth được cấu hình trong chế độ Kiểm tra. Xem https://support.microsoft.com/help/5040268 để tìm hiểu thêm.
ID Sự kiện: 4421

Sự kiện này được ghi nhật ký trong khi khởi động dịch vụ khi các thiết đặt được đề xuất không được cấu hình. Hãy cân nhắc việc bật cài đặt nếu mạng RADIUS không an toàn. Đối với các mạng bảo mật, bạn có thể bỏ qua các sự kiện này.

Nhật ký sự kiện Hệ thống
Loại sự kiện Cảnh báo
Nguồn sự kiện NPS
ID Sự kiện 4421
Văn bản sự kiện Cấu hình RequireMsgAuth và/hoặc limitProxyState đang ở chế <độ Vô hiệu hóa/Kiểm tra> . Các cài đặt này nên được đặt cấu hình trong chế độ Bật vì mục đích bảo mật. Xem https://support.microsoft.com/help/5040268 để tìm hiểu thêm.

Cấu hình

Đặt cấu hình gửi thuộc tính Message-Authenticator trong tất cả các gói Access-Request trên máy chủ

Cấu hình này cho phép NPS Proxy bắt đầu gửi thuộc tính Message-Authenticator trong tất cả các gói Access-Request . Để bật cấu hình này, hãy sử dụng một trong các phương pháp sau.

Phương pháp 1: Sử dụng Bảng điều khiển Quản lý Microsoft (MMC) NPS

Để sử dụng NPS MMC, hãy làm theo các bước sau:

  1. Mở giao diện người dùng (UI) NPS trên máy chủ.
  2. Mở Nhóm Máy chủ Radius từ xa.
  3. Chọn Máy chủ Radius.
  4. Đi tới Xác thực/Kế toán.
  5. Bấm để chọn hộp kiểm yêu cầu phải chứa thuộc tính Message-Authenticator .

Phương pháp 2: Dùng lệnh netsh

Để sử dụng netsh, hãy chạy lệnh sau:

Lưu ý

netsh nps set remoteserver remoteservergroup = <server group name> address = <server address> requireauthattrib = yes

Để biết thêm thông tin, hãy xem các lệnh nhóm máy chủ RADIUS từ xa.

Cấu hình xác minh thuộc tính Trình xác thực thông báo trong tất cả các gói truy cập-yêu cầu trên máy khách

Cấu hình này yêu cầu thuộc tính Message-Authenticator trong tất cả các gói Access-Request và sẽ bỏ gói nếu không có.

Phương pháp 1: Sử dụng Bảng điều khiển Quản lý Microsoft (MMC) NPS

Để sử dụng NPS MMC, hãy làm theo các bước sau:

  1. Mở giao diện người dùng (UI) NPS trên máy chủ.
  2. Mở Máy khách Radius.
  3. Chọn Máy khách Radius.
  4. Đi tới Cài đặt nâng cao.
  5. Bấm để chọn hộp kiểm Thông báo Truy nhập-Yêu cầu phải chứa thuộc tính trình xác thực thông báo .

Để biết thêm thông tin, hãy xem Cấu hình Máy khách RADIUS.

Phương pháp 2: Dùng lệnh netsh

Để sử dụng netsh, hãy chạy lệnh sau:

Lưu ý

netsh nps set client name = <client name> requireauthattrib = yes

Để biết thêm thông tin, hãy xem các lệnh nhóm máy chủ RADIUS từ xa.

Đặt cấu hình limitproxystate cho tất cả máy khách

Cấu hình này cho phép máy chủ NPS bỏ các gói Yêu cầu Truy cập dễ bị tấn công tiềm ẩn chứa thuộc tính Trạng thái Proxy nhưng không bao gồm thuộc tính Message-Authenticator . Cấu hình này hỗ trợ ba chế độ:

  • Kiểm tra
  • Bật
  • Tắt

Trong chế độ Kiểm tra , sự kiện cảnh báo (ID Sự kiện: 4419) được ghi nhật ký nhưng yêu cầu vẫn được xử lý. Sử dụng chế độ này để xác định các thực thể không tuân thủ đang gửi yêu cầu.

Sử dụng lệnh netsh để cấu hình, kích hoạt và thêm ngoại lệ khi cần.

  1. Để đặt cấu hình máy khách ở chế độ Kiểm tra , hãy chạy lệnh sau đây:

    Lưu ý

    netsh nps set limitproxystate all = "audit"

  2. Để cấu hình máy khách ở chế độ Kích hoạt , hãy chạy lệnh sau:

    Lưu ý

    netsh nps set limitproxystate all = "enable"

  3. Để thêm một ngoại lệ nhằm loại trừ một máy khách khỏi xác thực limitProxystate , hãy chạy lệnh sau đây:

    Lưu ý

    netsh nps set limitproxystate name = <client name> exception = "Yes"

Đặt cấu hình requiremsgauth cho máy chủ từ xa

Cấu hình này cho phép NPS Proxy bỏ các thư phản hồi có khả năng dễ bị tấn công mà không có thuộc tính Message-Authenticator . Cấu hình này hỗ trợ ba chế độ:

  • Kiểm tra
  • Bật
  • Tắt

Trong chế độ Kiểm tra , sự kiện cảnh báo (ID Sự kiện: 4420) được ghi nhật ký nhưng yêu cầu vẫn được xử lý. Sử dụng chế độ này để xác định các thực thể không tuân thủ đang gửi phản hồi.

Sử dụng lệnh netsh để cấu hình, kích hoạt và thêm ngoại lệ khi cần.

  1. Để đặt cấu hình máy chủ ở chế độ Kiểm tra , hãy chạy lệnh sau đây:

    Lưu ý

    netsh nps set RequireMsgAuth all = "audit"

  2. Để bật cấu hình cho tất cả các máy chủ, hãy chạy lệnh sau:

    Lưu ý

    netsh nps set requiremsgauth all = "enable"

  3. Để thêm một ngoại lệ nhằm loại trừ một máy chủ khỏi xác thực requireauthmsg , hãy chạy lệnh sau đây:

    Lưu ý

    netsh nps set requiremsgauth remoteservergroup = <tên nhóm> máy chủ từ xa, địa chỉ = <địa chỉ> máy chủ, ngoại lệ = "có"

Câu hỏi thường gặp

Nên làm gì nếu quan sát thấy lỗi Yêu cầu VPN sau khi Kích hoạt cấu hình diễn ra do thông báo rơi?

Kiểm tra các sự kiện mô-đun NPS để tìm các sự kiện liên quan. Cân nhắc thêm ngoại lệ hoặc điều chỉnh cấu hình cho máy khách/máy chủ bị ảnh hưởng.

Có cần bất kỳ thay đổi cấu hình hoặc hành động nào nếu Mạng RADIUS được bảo mật không?

Không, các cấu hình được thảo luận trong bài viết này được đề xuất cho các mạng không bảo mật.

dự án

Mô tả thuật ngữ chuẩn được sử dụng để miêu tả các bản cập nhật phần mềm của Microsoft

Tuyên bố từ chối trách nhiệm thông tin của bên thứ ba

Các sản phẩm của bên thứ ba thảo luận trong bài viết này được sản xuất bởi những công ty độc lập với Microsoft. Chúng tôi không đưa ra sự đảm bảo, dù là ngụ ý hay theo một hình thức khác, về hiệu suất hoặc mức độ tin cậy của những sản phẩm này.

Chúng tôi cung cấp thông tin liên hệ của bên thứ ba để giúp bạn tìm kiếm hỗ trợ kỹ thuật. Thông tin liên hệ này có thể thay đổi mà không cần thông báo. Chúng tôi không đảm bảo tính chính xác của thông tin liên hệ của bên thứ ba này.