KB5021130: So verwalten Sie die Netlogon-Protokolländerungen im Zusammenhang mit CVE-2022-38023

Die erste Bereitstellungsphase beginnt mit dem am 8. November 2022 veröffentlichten Windows-Update und wird mit einem späteren Windows-Update für die Erzwingungsphase fortgesetzt. Windows-Updates am oder nach dem 8. November 2022 beheben das Sicherheitsrisiko der Umgehung von CVE-2022-38023 durch Erzwingen der RPC-Versiegelung auf allen Windows-Clients.

Standardmäßig werden Geräte im Kompatibilitätsmodus festgelegt. Windows-Domänencontroller erfordern, dass Anmeldeclients RPC-Versiegelung verwenden, wenn sie Windows ausführen oder wenn sie entweder als Domänencontroller oder als Vertrauenskonten fungieren.

Mit den am oder nach dem 11. April 2023 veröffentlichten Windows-Updates wird die Möglichkeit zum Deaktivieren der RPC-Versiegelung entfernt, indem der Wert 0 für den Registrierungsunterschlüssel RequireSeal festgelegt wird.

Der Registrierungsunterschlüssel RequireSeal wird in den erzwungenen Modus versetzt, es sei denn, Administratoren konfigurieren ausdrücklich den Kompatibilitätsmodus. Anfällige Verbindungen von allen Clients, einschließlich Drittanbietern, werden die Authentifizierung verweigert. Siehe Änderung 1.

Mit den am 11. Juli 2023 veröffentlichten Windows-Updates wird die Möglichkeit entfernt, den Wert 1 für den Registrierungsunterschlüssel RequireSealfestzulegen. Dadurch wird die Erzwingungsphase von CVE-2022-38023 aktiviert.

Wenn Sie diese Fehlermeldung in Ihren Ereignisprotokollen finden, müssen Sie die folgenden Aktionen ausführen, um den Systemfehler zu beheben:

• Vergewissern Sie sich, dass auf dem Gerät eine unterstützte Version von Windows ausgeführt wird.

• Stellen Sie sicher, dass alle Geräte auf dem neuesten Stand sind.

• Stellen Sie sicher, dass Domänenmitglied: Domänenmitglied Sichere Kanaldaten digital verschlüsseln oder signieren (immer) auf Aktiviert festgelegt ist.

Wenn Sie Ereignis 5840 finden, ist dies ein Zeichen dafür, dass ein Client in Ihrer Domäne schwache Kryptografie verwendet.

Wenn das Ereignis 5841 angezeigt wird, ist dies ein Zeichen dafür, dass der RejectMD5Clients-Wert auf TRUE festgelegt ist.

Der RejectMD5Clients-Schlüssel ist ein bereits vorhandener Schlüssel im Netlogon-Dienst. Weitere Informationen finden Sie in der Beschreibung von RejectMD5Clients des abstrakten Datenmodells.

Alle in die Domäne eingebundenen Computerkonten sind von dieser CVE betroffen. Ereignisse zeigen an, wer von diesem Problem am meisten betroffen ist, nachdem die Windows-Updates vom 8. November 2022 oder höher installiert wurden. Lesen Sie den Abschnitt Ereignisprotokollfehler, um die Probleme zu beheben.

Um ältere Clients zu erkennen, die nicht die stärkste verfügbare Kryptografie verwenden, werden mit diesem Update Ereignisprotokolle für Clients eingeführt, die RC4 verwenden.

Die RPC-Signatur ist, wenn das Netlogon-Protokoll RPC verwendet, um die Nachrichten zu signieren, die es über das Netzwerk sendet. RPC-Versiegelung ist, wenn das Netlogon-Protokoll die Nachrichten, die es über das Netzwerk sendet, sowohl signiert als auch verschlüsselt.

Windows-Domänencontroller bestimmen, ob auf einem Anmeldeclient Windows ausgeführt wird, indem sie das “OperatingSystem-Attribut” in Active Directory für den Netlogon-Client abfragen und nach den folgenden Zeichenfolgen suchen:

• "Windows", "Hyper-V Server" und "Azure Stack HCI"

Es wird weder empfohlen noch unterstützt, dass Netlogon-Clients oder Domänenadministratoren dieses Attribut auf einen Wert ändern, der nicht repräsentativ für das Betriebssystem ist, das auf dem Netlogon-Client ausgeführt wird. Sie sollten sich darüber im Klaren sein, dass wir die Suchkriterien jederzeit ändern können. Siehe Änderung 3.

In der Erzwingungsphase werden Netlogon-Clients nicht basierend auf dem von diesen verwendeten Verschlüsselungstyp abgelehnt. Netlogon-Clients werden nur abgelehnt, wenn sie die RPC-Signierung anstelle der RPC-Versiegelung verwenden. Die Ablehnung von RC4 Netlogon-Clients basiert auf dem Registrierungsschlüssel "RejectMd5Clients", der für Windows Server 2008 R2 und höhere Windows-Domänencontroller verfügbar ist. In der Erzwingungsphase für dieses Update wird der Wert "RejectMd5Clients" nicht geändert. Wir empfehlen Kunden, den Wert "RejectMd5Clients" für eine höhere Sicherheit in ihren Domänen zu aktivieren. Siehe Änderung 3.

Advanced Encryption Standard (AES) ist eine Blockchiffre, die den Datenverschlüsselungsstandard (DES) ablöst. AES kann verwendet werden, um elektronische Daten zu schützen. Der AES-Algorithmus kann verwendet werden, um Informationen zu verschlüsseln (verschlüsseln) und zu entschlüsseln (entschlüsseln). Die Verschlüsselung konvertiert Daten in eine unverständliche Form namens Chiffretext. Durch die Entschlüsselung des Chiffretexts werden die Daten wieder in ihre ursprüngliche Form konvertiert, die als Klartext bezeichnet wird. AES wird in der Kryptografie mit symmetrischen Schlüsseln verwendet, was bedeutet, dass derselbe Schlüssel für die Ver- und Entschlüsselungsvorgänge verwendet wird. Es ist auch eine Blockchiffre, was bedeutet, dass es mit Blöcken mit fester Größe von Klartext und Chiffretext arbeitet und erfordert, dass die Größe des Klartexts sowie des Chiffretexts ein genaues Vielfaches dieser Blockgröße ist. AES wird auch als symmetrischer Rijndael-Verschlüsselungsalgorithmus [FIPS197] bezeichnet.

In einer mit dem Windows NT-Betriebssystem kompatiblen Netzwerksicherheitsumgebung ist die Komponente für Synchronisierungs- und Wartungsfunktionen zwischen einem primären Domänencontroller (PDC)und Sicherungsdomänencontrollern (BDC) zuständig. Netlogon ist ein Vorläufer des DRS-Protokolls (Directory Replication Server). Die RPC-Schnittstelle (Remote Procedure Call) des Netlogon-Remoteprotokolls wird hauptsächlich verwendet, um die Beziehung zwischen einem Gerät und seiner Domäne sowie die Beziehungen zwischen Domänencontrollern (DCs) und Domänen aufrechtzuerhalten. Weitere Informationen finden Sie unter Netlogon Remote Protocol.

RC4-HMAC (RC4) ist ein symmetrischer Verschlüsselungsalgorithmus mit variabler Schlüssellänge. Weitere Informationen finden Sie unter [SCHNEIER] Abschnitt 17.1.

Eine authentifizierte RPC-Verbindung (Remote Procedure Call) zwischen zwei Computern in einer Domäne mit einem eingerichteten Sicherheitskontext, der zum Signieren und Verschlüsseln von RPC-Paketen verwendet wird.