注意
- 原始發佈日期： 2024 年 4 月 9 日
- KB 識別碼： 5037754
注意
- Windows 10 的支援已於 2025 年 10 月 14 日結束
- 2025 年 10 月 14 日之後，Microsoft 將不再提供 Windows Update、技術協助或 Windows 10 安全性問題修正的免費軟體更新。 您的電腦仍可運作，但我們建議您移至 Windows 11。
- 深入了解
變更記錄
| 變更日期 | 描述 |
|---|---|
| 2025 年 1 月 9 日 | 在「變更時間表部分」的「2025 年 1 月：預設階段強制執行」 下，強調現有的登錄機碼設定將覆寫 2025 年 1 月或之後發行之更新的預設行為。 |
| 2024 年 10 月 1 日 | 已將 [預設強制執行] 階段從 2024 年 10 月變更為 2025 年 1 月。 |
摘要
在 2024 年 4 月 9 日或之後發行的 Windows 安全性更新會解決使用 Kerberos PAC 驗證通訊協定提高權限弱點的問題。 專用權屬性憑證 (PAC) 是 Kerberos 服務票證的延伸模組。 它包含驗證使用者及其權限的相關資訊。 此更新修正處理程序的使用者可以詐騙簽章以繞過 KB5020805 中新增的 PAC 簽章驗證安全性檢查的弱點 ： 如何管理與 CVE-2022-37967 相關的 Kerberos 通訊協定變更。
此外，此更新可解決某些跨樹系案例中的弱點。 要深入了解這些弱點，請造訪 CVE-2024-26248 和 CVE-2024-29056。
採取行動
注意
重要 安裝 2024 年 4 月 9 日或之後發行之更新的步驟 1 無法完全解決 CVE-2024-26248 和 CVE-2024-29056 中的安全性問題。 若要完全緩解所有裝置的安全性問題，您必須在環境完全更新之後，移至步驟 3) 所述的強制模式 (。
為了協助保護您的環境並防止中斷，我們建議執行下列步驟：
- 更新： Windows 網域控制站和 Windows 用戶端必須以 2024 年 4 月 9 日或之後發行的 Windows 安全性更新進行更新。
- 監視器： 稽核事件將在 相容性 模式中顯示，以識別未更新的裝置。
- 啟用： 在您的環境中完全啟用 強制模式 後， CVE-2024-26248 和 CVE-2024-29056 中所述的弱點將會得到緩解。
背景
當 Windows 工作站在輸入 Kerberos 驗證流程上執行 PAC 驗證時，它會執行新的要求 (網路票證登入) 來驗證服務票證。 要求一開始會透過 Netlogon 轉寄至網域控制站 (工作站網域的 DC) 。
如果服務帳戶和電腦帳戶屬於不同的網域，則會透過 Netlogon 透過必要的信任方式傳遞要求，直到到達服務網域為止;否則，電腦帳戶網域中的 DC 會執行驗證。 然後，DC 會呼叫金鑰發佈中心 (KDC) ，以驗證服務票證的 PAC 簽章，並將使用者和裝置資訊傳送回工作站。
如果在服務帳戶和工作站帳戶屬於不同) 網域的情況下透過信任 (轉送要求和回覆，則信任中的每個 DC 都會篩選與其相關的授權資料。
變更時間表
匯報以下列方式發行。 請注意，可能會視需要修訂此發行排程。
2024 年 4 月 9 日：初始部署階段 - 相容性模式
初始部署階段從 2024 年 4 月 9 日發行的更新開始。 此更新新增了新的行為，可防止 CVE-2024-26248 和 CVE-2024-29056 中所述的權限弱點提高，但除非環境中的 Windows 網域控制站和 Windows 用戶端都更新，否則不會強制執行。
若要啟用新行為並防範弱點，您必須確定整個 Windows 環境 (都已更新，包括網域控制站和用戶端) 。 將記錄稽核事件，以協助識別未更新的裝置。
2025 年 1 月：依預設階段強制執行
2025 年 1 月或之後發行的匯報會將環境中的所有 Windows 網域控制站和用戶端移至 [強制] 模式。 此模式預設會強制執行安全行為。 先前設定的現有登錄機碼設定將覆寫此預設行為變更。
系統管理員可以覆寫預設的 強制 模式設定，以還原為 相容性 模式。
2025 年 4 月：強制階段
2025 年 4 月或之後發行的 Windows 安全性更新會移除對登錄子機碼 PacSignatureValidationLevel 和 CrossDomainFilteringLevel 的支援，並強制執行新的安全行為。 安裝 2025 年 4 月更新之後，將不支援 相容性 模式。
潛在問題與緩和措施
可能會出現一些潛在問題，包括 PAC 驗證和跨樹系篩選失敗。 2024 年 4 月 9 日的安全性更新包含後援邏輯和登錄設定，可協助減輕這些問題
登錄設定
此安全性更新會提供給 Windows 裝置 (，包括網域控制站) 。 下列控制行為的登錄機碼只需要部署到接受輸入 Kerberos 驗證並執行 PAC 驗證的 Kerberos 伺服器。
PacSignatureValidationLevel
| 登錄子機碼 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters | 描述 |
|---|---|---|
| 值 | PacSignatureValidationLevel | |
| 資料類型 | REG_DWORD | |
| 資料 | 2 | 預設 (與未修補環境的相容性) |
| 3 | 強制執行 | |
| 是否需要重新啟動？ | 否 |
CrossDomainFilteringLevel
| 登錄子機碼 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters | 描述 |
|---|---|---|
| 值 | CrossDomainFilteringLevel | |
| 資料類型 | REG_DWORD | |
| 資料 | 2 | 預設 (與未修補環境的相容性) |
| 4 | 強制執行 | |
| 是否需要重新啟動？ | 否 |
AuditKerberosTicketLogonEvents
此登錄機碼可以部署到接受輸入 Kerberos 驗證的 Windows 伺服器，以及沿途驗證新網路票證登入流程的任何 Windows 網域控制站。
| 登錄子機碼 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters | 描述 |
|---|---|---|
| 值 | AuditKerberosTicketLogonEvents | |
| 資料類型 | REG_DWORD | |
| 資料 | 1 | 預設值 – 記錄重大事件 |
| 2 | 記錄所有 Netlogon 事件 | |
| 0 | 不記錄 Netlogon 事件 | |
| 是否需要重新啟動？ | 否 |
事件記錄檔
接受輸入 Kerberos 驗證的 Kerberos 伺服器上將產生下列 Kerberos 稽核事件。 此 Kerberos 伺服器將會執行 PAC 驗證，其會使用新的網路票證登入流程。
Kerberos 票證登入動作
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | Informational |
| 事件來源 | Security-Kerberos |
| 事件識別碼 | 21 |
| 事件文字 | 在 Kerberos 網路票證登入期間，網域網域中的帳戶<帳戶>服務票證由 DC <網域控制站>對其<執行下列動作。> 欲了解更多信息，請訪問 https://go.microsoft.com/fwlink/?linkid=2262558。 <動作> |
當網域控制站在網路票證登入流程期間採取非嚴重動作時，會顯示此事件。 到目前為止，已記錄以下動作：
- 已篩選使用者 SID。
- 已篩選裝置 SID。
- 由於 SID 篩選不允許裝置的身分識別，因此已移除複合身分識別。
- 由於 SID 篩選不允許裝置的網域名稱，因此已移除複合身分識別。
Kerberos 票證登入失敗
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 錯誤 |
| 事件來源 | Security-Kerberos |
| 事件識別碼 | 22 |
| 事件文字 | 在 Kerberos 網路票證登入期間，由於<下列原因，DC DC> 拒絕網域網域中的<>帳戶<帳戶>的服務票證。 欲了解更多信息，請訪問 https://go.microsoft.com/fwlink/?linkid=2262558。 原因： <原因> ErrorCode： <錯誤碼> |
當網域控制站因為事件中顯示的原因而拒絕網路票證登入要求時，會顯示此事件。
Kerberos 票證登入遞補
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 警告或錯誤 |
| 事件來源 | Security-Kerberos |
| 事件識別碼 | 23 |
| 事件文字 | 在 Kerberos 網路票證登入期間，無法將來自網域 <domain_name> 的帳戶<account_name>服務票證轉寄到網域控制站來服務要求。 欲了解更多信息，請訪問 https://go.microsoft.com/fwlink/?linkid=2262558。 |
- 如果 PacSignatureValidationLevel 和 CrossDomainFilteringLevel 未設定為 [ 強制] 或更嚴格，則會將此事件顯示為警告。 當記錄為警告時，事件表示網路票證登入流程連絡了不了解新機制的網域控制站或同等裝置。 允許驗證回復為先前的行為。
- 如果 PacSignatureValidationLevel 或 CrossDomainFilteringLevel 設定為 [強制] 或更嚴格，則此事件會顯示為錯誤。 此事件顯示為「錯誤」，表示網路票證登入流程連絡了不了解新機制的網域控制站或同等裝置。 驗證遭到拒絕，而且無法回復到先前的行為。
Netlogon 意外失敗
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 錯誤 |
| 事件來源 | Netlogon |
| 事件識別碼 | 5842 |
| 事件文字 | Netlogon 服務在處理 Kerberos 網路票證登入要求時發生意外錯誤。 如需詳細資訊，請造訪 https://go.microsoft.com/fwlink/?linkid=2261497。 服務票證帳戶： <帳戶> 服務票證網域： <網域> 工作站名稱： <電腦名稱> 狀態： <錯誤碼> |
每當 Netlogon 在網路票證登入要求期間遇到意外錯誤時，就會產生此事件。 當 AuditKerberosTicketLogonEvents 設定為 1 () 或更高時，會記錄此事件。
Netlogon 無法轉寄
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 警告 |
| 事件來源 | Netlogon |
| 事件識別碼 | 5843 |
| 事件文字 | Netlogon 服務無法將 Kerberos 網路票證登入要求轉寄至網域控制站 <DC>。 如需詳細資訊，請造訪 https://go.microsoft.com/fwlink/?linkid=2261497。 服務票證帳戶： <帳戶> 服務票證網域： <網域> 工作站名稱： <電腦名稱> |
每當 Netlogon 因為網域控制站無法瞭解變更而無法完成網路票證登入時，就會產生此事件。 由於 Netlogon 通訊協定的限制，Netlogon 用戶端無法判斷 Netlogon 用戶端直接與之通訊的網域控制站是否為無法理解變更的網域控制站，或是轉送鏈沿線的網域控制站無法了解變更。
- 如果服務票證網域與電腦帳戶的網域相同，事件記錄檔中的網域控制站可能不瞭解網路票證登入流程。
- 如果服務票證網域與電腦帳戶的網域不同，則在從機器帳戶的網域到服務帳戶的網域途中，其中一個網域控制站不瞭解網路票證登入流程
此事件預設為關閉。 Microsoft 建議使用者在開啟活動之前，先更新其整個機群。
當 AuditKerberosTicketLogonEvents 設定為 (2) 時，會記錄此事件。
常見問題集 (FAQ)
為什麼我需要為此修補程式更新我的整個機群？
未更新的網域控制站將無法辨識這個新的要求結構。 這將導致安全檢查失敗。 在相容性模式中，將會使用舊的要求結構。 此案例仍然容易受到 CVE-2024-26248 和 CVE-2024-29056 的影響。
如果不更新整個環境，我會容易受到攻擊嗎？
是。 這是因為新的網路票證登入流程可能必須跨網域路由，才能到達服務帳戶的網域。
Windows Server 何時會執行 PAC 驗證？
在某些情況下，可能會略過 PAC 驗證，包括但不限於下列案例：
- 如果服務具有 TCB 權限。 一般而言，在 SYSTEM 帳戶內容下執行的服務 (，例如 SMB 檔案共用或 LDAP 伺服器，) 具有此權限。
- 如果服務是從工作排程器執行。
否則，將在所有輸入 Kerberos 驗證流程上執行 PAC 驗證。
為什麼只在接受輸入 Kerberos 驗證並執行 PAC 驗證的 Windows Server 上強制執行變更？
這些 CVE 涉及本機權限提高，其中在 Windows 工作站上執行的惡意或遭入侵的服務帳戶會嘗試提高其權限以取得本機系統管理權限。 這表示只有接受輸入 Kerberos 驗證的 Windows 工作站會受影響。