KB5020805：如何管理与 CVE-2022-37967 相关的 Kerberos 协议更改

本任务的内容

• 摘要

• 解决 CVE-2022-37967 的更新时间

• 部署指南

• 注册表项设置

• 与 CVE-2022-37967 相关的 Windows 事件

• 实现 Kerberos 协议的第三方设备

• 术语表

摘要

2022 年 11 月 8 日 Windows 更新使用特权属性证书 (PAC) 签名来解决安全旁路和特权提升漏洞。 此安全更新解决了攻击者可能以数字方式更改 PAC 签名并提升其特权的 Kerberos 漏洞。

若要帮助保护环境，请将此 Windows 更新安装到所有设备，包括 Windows 域控制器。 在将更新切换到“强制”模式之前，必须先更新域中的所有域控制器。

若要了解有关此漏洞的详细信息，请参阅 CVE-2022-37967。

采取操作

为了帮助保护环境并防止中断，我们建议你执行以下步骤：

1. 使用 2022 年 11 月 8 日或之后发布的 Windows 更新更新 Windows 域控制器。

2. 使用注册表项设置部分将 Windows 域控制器移动到审核模式。

3. 监视在审核模式下存档的事件，以保护环境。

4. 启用用于解决环境中的 CVE-2022-37967 的强制模式。

备注 安装 2022 年 11 月 8 日或之后发布的更新的步骤 1 默认情况下不会解决 Windows 设备的 CVE-2022-37967 中的安全问题。 若要完全缓解所有设备的安全问题，必须尽快在所有 Windows 域控制器上转到审核模式 (如步骤 2 所述)，然后转到强制模式 (如步骤 4 所述)。

重要说明 从 2023 年 7 月开始，将在所有 Windows 域控制器上启用强制模式，并将阻止来自不合规设备的易受攻击的连接。  此时，你将无法禁用更新，但可以后移到审核模式设置。 审核模式将于 2023 年 10 月删除，如解决 Kerberos 漏洞 CVE-2022-37967 的更新时间部分所述。

解决 CVE-2022-37967 的更新时间

更新将分阶段发布：2022 年 11 月 8 日或之后发布的更新的初始阶段和 2023 年 6 月 13 日或之后发布的更新的强制执行阶段。

部署指南

若要部署日期为 2022 年 11 月 8 日或更高版本的 Windows 更新，请执行以下步骤：

1. 使用 2022 年 11 月 8 日或之后发布的更新更新 Windows 域控制器。

2. 使用注册表项设置部分将域控制器移动到审核模式。

3. 监视在审核模式下存档的事件，以帮助保护环境。

4. 启用 用于解决环境中的 CVE-2022-37967 的强制模式。

步骤 1：更新 

将 2022 年 11 月 8 日或更高版本的更新部署到所有适用的 Windows 域控制器 (DC)。 部署更新后，已更新的 Windows 域控制器会将签名添加到 Kerberos PAC 缓冲区，并且在默认情况下不安全 (PAC 签名未验证)。

• 更新时，请确保将 KrbtgtFullPacSignature 注册表值保持为默认状态，直到更新所有 Windows 域控制器。

步骤 2：移动 

更新 Windows 域控制器后，通过将 KrbtgtFullPacSignature 值更改为 2，切换到审核模式。  

步骤 3：查找/监视 

确定缺少 PAC 签名或 PAC 签名未能通过审核模式下触发的事件日志验证的区域。   

• 在移动到强制模式之前，请确保域功能级别至少设置为 2008 或更高。 使用 2003 域功能级别的域移动到强制模式可能会导致身份验证失败。

• 如果域未完全更新，或者域中仍然存在以前颁发的未完成的服务票证，则会出现审核事件。

• 继续监视存档的其他事件日志，这些日志指示缺少 PAC 签名或现有 PAC 签名验证失败。

• 更新整个域并且所有未完成的票证都过期后，审核事件应不再显示。 然后，你应该能够移动到强制模式，而不会出现故障。

步骤 4：启用 

启用强制模式以解决环境中的 CVE-2022-37967。

• 解决所有审核事件且不再显示后，通过更新 KrbtgtFullPacSignature 注册表值，将域移动到强制模式，如注册表项设置部分所述。

• 如果服务票证的 PAC 签名无效或缺少 PAC 签名，验证将失败，并且会记录错误事件。

注册表项设置

与 CVE-2022-37967 相关的 Windows 事件

在审核模式下，如果 PAC 签名缺失或无效，则可能会发现以下错误之一。 如果在强制模式下此问题仍然存在，则这些事件将记录为错误。

如果在设备上发现任一错误，则可能是域中的所有 Windows 域控制器都没有更新到 2022 年 11 月 8 日或更高版本的 Windows 更新。 若要缓解这些问题，需要进一步调查域，以查找不是最新的 Windows 域控制器。  

备注 如果发现事件 ID 42 错误，请参阅 KB5021131: 如何管理与 CVE-2022-37966 相关的 Kerberos 协议更改。

实现 Kerberos 协议的第三方设备

具有第三方域控制器的域可能会在强制模式下看到错误。

安装 2022 年 11 月 8 日或更高版本的 Windows 更新后，使用第三方客户端的域可能需要更长时间才能完全清除审核事件。

请联系设备制造商 (OEM) 或软件供应商，以确定其软件是否与最新的协议更改兼容。

有关协议更新的信息，请参阅 Microsoft 网站上的 Windows 协议 主题。

术语表