KB4577252: Quản lý việc triển khai các thay đổi của Người dùng RBCD/Được bảo vệ cho CVE-2020-16996

Tóm tắt

Nếu bạn sử dụng Người dùng được Bảo vệ và Ủy quyền Dựa trên Tài nguyên (RBCD), một lỗ hổng bảo mật có thể tồn tại trên bộ kiểm soát miền Active Directory. Để tìm hiểu thêm về lỗ hổng bảo mật, hãy xem CVE-2020-16996.

Thời gian cập nhật

Các bản Windows nhật này sẽ được phát hành trong hai giai đoạn:

• Giai đoạn triển khai ban đầu cho Windows cập nhật phát hành vào hoặc sau ngày 8 tháng 12 năm 2020.

• Giai đoạn thực thi đối với Windows được phát hành vào hoặc sau ngày 9 tháng 3 năm 2021.

Hướng dẫn cài đặt

Bước 2: Bật chế độ Thực thi

Sau khi tất cả các thiết bị lưu trữ vai trò bộ kiểm soát miền Active Directory đã được cập nhật, hãy chờ ít nhất một ngày để cho phép tất cả các dịch vụ Tự động (S4U2) Kerberos hết hạn. Sau đó, bật bảo vệ đầy đủ bằng cách triển khai chế độ Thực thi. Để thực hiện điều này, hãy bật khóa đăng ký chế độ Thực thi.

Cảnh báo Các vấn đề nghiêm trọng có thể xảy ra nếu bạn sửa đổi sổ đăng ký không đúng cách bằng cách dùng Trình soạn thảo Sổ đăng ký hoặc bằng phương pháp khác. Những sự cố này có thể yêu cầu bạn phải cài đặt lại hệ điều hành. Microsoft không thể bảo đảm có thể giải quyết những vấn đề này. Bạn phải tự gặp rủi ro khi sửa đổi sổ đăng ký.

Chú ý Giá trị sổ đăng ký này không được tạo ra bằng cách cài đặt bản cập nhật này. Bạn phải thêm giá trị sổ đăng ký này theo cách thủ công.

Ghi chú về giá trịsổ đăng ký"NonForwardableDelegation":

• Nếu giá trị sổ đăng ký được đặt, giá trị đó sẽ được ưu tiên so với thiết đặt Chế độ thực thi được bao gồm trong bản cập nhật 09/03/2021 Windows Động.

  • Nếu giá trị sổ đăng ký được đặt thành 1 (Tắt), thì chuyển tiếp sẽ được cho phép trên vé dịch vụ Kerberos không được đánh dấu là có thể chuyển tiếp.

  • Nếu giá trị sổ đăng ký được đặt là 0 (Bật), thì tính năng chuyển tiếp SẼ KHÔNG được cho phép trên các vé dịch vụ Kerberos KHÔNG được đánh dấu là có thể chuyển tiếp.

• Nếu miền của bạn bao gồm Windows Server 2008 R2 hoặc bộ kiểm soát miền Active Directory cũ hơn, bạn không phải đặt chế độ Thực thi vì những bộ điều khiển tên miền này không hỗ trợ RBCD.

• Việc không cập nhật nhất quán tất cả bộ điều khiển tên miền Active Directory khi bật chế độ Thực thi sẽ dẫn đến thất bại trong việc ủy quyền dịch vụ bị thất bại.

• Trước khi thiết đặt chế độ Thực thi:

  • Tất cả bộ kiểm soát miền Active Directory phải được cập nhật bản cập nhật ngày 8 tháng 12 năm 2020 Windows hoặc cập nhật Windows mới hơn và

  • Tất cả các vé dịch vụ S4USelf Kerberos tồn tại phải hết hạn bằng cách chờ một ngày sau khi hoàn thành việc triển khai bản cập nhật Windows cho tất cả bộ điều khiển tên miền Active Directory.

Những điều cần cân nhắc khác

Khi được bật chức năng bảo vệ này, nó sẽ không xác nhận lô-gic cho Ủy quyền Giới Resource-Based Ràng buộc (RBCD) với ủy quyền ràng buộc ban đầu. Điều này có thể gây ra các vấn đề trong hai kịch bản sau đây:

• Một dịch vụ đơn đồng thời sử dụng Ủy quyền Kerberos Ràng buộc gốc (KCD) mà không cần chuyển tiếp giao thức đến một đích trong khi nó đang sử dụng RBCD với chuyển tiếp giao thức sang một dịch vụ khác. Sau thay đổi này, việc từ chối chuyển tiếp giao thức sẽ áp dụng cho cả hai kiểu ủy quyền.

• RBCD được sử dụng trong miền sử dụng bộ kiểm soát miền không được cập nhật CVE-2020-16996 hoặc chạy các phiên bản cũ hơn của Windows Server (cũ hơn Window Server 2012) không có bản cập nhật sẵn dùng cho CVE-2020-16996. Trung tâm phân phối khóa (KDC) không được cập nhật sẽ không gắn cờ cho vé dịch vụ S4USelf Kerberos nếu như đối với việc chuyển tiếp ủy quyền và giao thức sẽ bị từ chối.