KB5020805: Τρόπος διαχείρισης αλλαγών πρωτοκόλλου Kerberos που σχετίζονται με το CVE-2022-37967

Σε αυτό το άρθρο

• Σύνοψη

• Χρονισμός ενημερώσεων για την αντιμετώπιση του CVE-2022-37967

• Οδηγίες ανάπτυξης

• Ρυθμίσεις κλειδιού μητρώου

• Συμβάντα των Windows που σχετίζονται με το CVE-2022-37967

• Συσκευές τρίτων κατασκευαστών που εφαρμόζουν το πρωτόκολλο Kerberos

• Γλωσσάριο

Σύνοψη

Οι ενημερώσεις της 8ης Νοεμβρίου 2022 των Windows επιλύουν τις ευπάθειες παράκαμψης ασφαλείας και αναβάθμισης δικαιωμάτων με υπογραφές Privilege Attribute Certificate (PAC). Αυτή η ενημέρωση ασφαλείας αντιμετωπίζει ευπάθειες Kerberos όπου ένας εισβολέας θα μπορούσε να τροποποιήσει ψηφιακά τις υπογραφές PAC, αυξάνοντας τα δικαιώματά του.

Για να προστατεύσετε το περιβάλλον σας, εγκαταστήστε αυτήν την ενημέρωση των Windows σε όλες τις συσκευές, συμπεριλαμβανομένων των ελεγκτών τομέα των Windows. Όλοι οι ελεγκτές τομέα στον τομέα σας πρέπει να ενημερωθούν πρώτα πριν από την αλλαγή της ενημέρωσης σε ισχύουσα λειτουργία.

Για να μάθετε περισσότερα σχετικά με αυτές τις ευπάθειες, ανατρέξτε στο θέμα CVE-2022-37967.

Ανάληψη δράσης

Για να προστατεύσετε το περιβάλλον σας και να αποφύγετε διακοπές λειτουργίας, συνιστάται να κάνετε τα εξής βήματα:

1. ΕΝΗΜΕΡΏΣτε τους ελεγκτές τομέα των Windows με μια ενημέρωση των Windows που κυκλοφόρησε στις ή μετά τις 8 Νοεμβρίου 2022.

2. ΜΕΤΑΚΙΝΉΣτε τους ελεγκτές τομέα των Windows στη λειτουργία ελέγχου, χρησιμοποιώντας την ενότητα ρύθμισης κλειδιού μητρώου .

3. ΠΑΡΑΚΟΛΟΎΘΗΣΗ συμβάντων που αρχειοθετούνται κατά τη διάρκεια της λειτουργίας ελέγχου για την προστασία του περιβάλλοντός σας.

4. ΕΝΕΡΓΟΠΟΙΉΣΕΤΕΛειτουργία επιβολής για την αντιμετώπιση του CVE-2022-37967 στο περιβάλλον σας.

Σημείωση Το βήμα 1 της εγκατάστασης ενημερώσεων που κυκλοφόρησαν στις ή μετά τις 8 Νοεμβρίου 2022 ΔΕΝ θα αντιμετωπίσει τα προβλήματα ασφαλείας στο CVE-2022-37967 για συσκευές Windows από προεπιλογή. Για να μετριάσετε πλήρως το πρόβλημα ασφαλείας για όλες τις συσκευές, πρέπει να μεταβείτε στη λειτουργία ελέγχου (όπως περιγράφεται στο βήμα 2) ακολουθούμενη από την ισχύουσα λειτουργία (περιγράφεται στο βήμα 4) το συντομότερο δυνατό σε όλους τους ελεγκτές τομέα των Windows.

Σημαντικό Από τον Ιούλιο του 2023, η λειτουργία επιβολής θα ενεργοποιείται σε όλους τους ελεγκτές τομέα των Windows και θα αποκλείει τις ευάλωτες συνδέσεις από μη συμβατές συσκευές.  Εκείνη τη στιγμή, δεν θα μπορείτε να απενεργοποιήσετε την ενημέρωση, αλλά ενδέχεται να επιστρέψετε στη ρύθμιση Λειτουργία ελέγχου. Η λειτουργία ελέγχου θα καταργηθεί τον Οκτώβριο του 2023, όπως περιγράφεται στην ενότητα Χρονισμός ενημερώσεων για την αντιμετώπιση της ευπάθειας Kerberos CVE-2022-37967 .

Χρονισμός ενημερώσεων για την αντιμετώπιση του CVE-2022-37967

Ενημερώσεις θα κυκλοφορήσει σε φάσεις: η αρχική φάση για τις ενημερώσεις που κυκλοφόρησαν στις ή μετά τις 8 Νοεμβρίου 2022 και η φάση επιβολής για ενημερώσεις που κυκλοφόρησαν στις ή μετά τις 13 Ιουνίου 2023.

Οδηγίες ανάπτυξης

Για να αναπτύξετε τις ενημερώσεις των Windows με ημερομηνία 8 Νοεμβρίου 2022 ή μεταγενέστερες ενημερώσεις των Windows, ακολουθήστε τα εξής βήματα:

1. ΕΝΗΜΕΡΏΣτε τους ελεγκτές τομέα των Windows με μια ενημέρωση που κυκλοφόρησε στις ή μετά τις 8 Νοεμβρίου 2022.

2. ΜΕΤΑΚΙΝΉΣτε τους ελεγκτές τομέα στη λειτουργία ελέγχου, χρησιμοποιώντας την ενότητα ρύθμισης κλειδιού μητρώου.

3. ΠΑΡΑΚΟΛΟΎΘΗΣΗ συμβάντων που αρχειοθετούνται κατά τη διάρκεια της λειτουργίας ελέγχου για την προστασία του περιβάλλοντός σας.

4. ΕΝΕΡΓΟΠΟΙΉΣΕΤΕ Λειτουργία επιβολής για την αντιμετώπιση του CVE-2022-37967 στο περιβάλλον σας.

ΒΉΜΑ 1: ΕΝΗΜΕΡΩΣΗ 

Αναπτύξτε τις ενημερώσεις της 8ης Νοεμβρίου 2022 ή νεότερες εκδόσεις για όλους τους κατάλληλους ελεγκτές τομέα (DCs) των Windows. Μετά την ανάπτυξη της ενημέρωσης, οι ελεγκτές τομέα των Windows που έχουν ενημερωθεί θα έχουν υπογραφές που προστίθενται στο buffer PAC Kerberos και θα είναι ανασφαλείς από προεπιλογή (η υπογραφή PAC δεν επικυρώνεται).

• Κατά την ενημέρωση, φροντίστε να διατηρήσετε την τιμή μητρώου KrbtgtFullPacSignature στην προεπιλεγμένη κατάσταση μέχρι να ενημερωθούν όλοι οι ελεγκτές τομέα των Windows.

ΒΉΜΑ 2: ΜΕΤΑΚΊΝΗΣΗ 

Μόλις ενημερωθούν οι ελεγκτές τομέα των Windows, μεταβείτε σε λειτουργία ελέγχου αλλάζοντας την τιμή KrbtgtFullPacSignature σε 2.  

ΒΉΜΑ 3: ΕΎΡΕΣΗ/ΟΘΌΝΗ 

Προσδιορίστε τις περιοχές που λείπουν υπογραφές PAC ή διαθέτουν υπογραφές PAC που αποτυγχάνουν στην επικύρωση μέσω των αρχείων καταγραφής συμβάντων που ενεργοποιούνται κατά τη διάρκεια της λειτουργίας ελέγχου.   

• Βεβαιωθείτε ότι το λειτουργικό επίπεδο του τομέα έχει οριστεί σε τουλάχιστον 2008 ή μεγαλύτερο πριν από τη μετακίνηση σε λειτουργία επιβολής. Η μετακίνηση σε κατάσταση λειτουργίας επιβολής με τομείς λειτουργικού επιπέδου τομέα 2003 μπορεί να οδηγήσει σε αποτυχίες ελέγχου ταυτότητας.

• Τα συμβάντα ελέγχου θα εμφανιστούν εάν ο τομέας σας δεν έχει ενημερωθεί πλήρως ή εάν εξακολουθούν να υπάρχουν δελτία υπηρεσίας που είχαν εκδοθεί προηγουμένως στον τομέα σας.

• Συνεχίστε να παρακολουθείτε για πρόσθετα αρχεία καταγραφής συμβάντων που αρχειοθετούνται και υποδεικνύουν ότι λείπουν υπογραφές PAC ή αποτυχίες επικύρωσης των υπαρχουσών υπογραφών PAC.

• Μετά την ενημέρωση ολόκληρου του τομέα και τη λήξη όλων των εκκρεμών εισιτηρίων, τα συμβάντα ελέγχου δεν θα πρέπει πλέον να εμφανίζονται. Στη συνέχεια, θα πρέπει να μπορείτε να μεταβείτε σε λειτουργία επιβολής χωρίς αποτυχίες.

ΒΉΜΑ 4: ΕΝΕΡΓΟΠΟΊΗΣΗ 

Ενεργοποιήστε τη λειτουργία επιβολής για να αντιμετωπίσετε το CVE-2022-37967 στο περιβάλλον σας.

• Αφού επιλυθούν όλα τα συμβάντα ελέγχου και δεν εμφανίζονται πλέον, μετακινήστε τους τομείς σας σε λειτουργία ενεργοποίησης ενημερώνοντας την τιμή μητρώου KrbtgtFullPacSignature , όπως περιγράφεται στην ενότητα ρυθμίσεων κλειδιού μητρώου.

• Εάν ένα δελτίο υπηρεσίας έχει μη έγκυρη υπογραφή PAC ή αν λείπουν υπογραφές PAC, η επικύρωση θα αποτύχει και θα καταγραφεί ένα συμβάν σφάλματος.

Ρυθμίσεις κλειδιού μητρώου

Συμβάντα των Windows που σχετίζονται με το CVE-2022-37967

Στη λειτουργία ελέγχου, ενδέχεται να βρείτε ένα από τα ακόλουθα σφάλματα, εάν λείπουν υπογραφές PAC ή δεν είναι έγκυρα. Εάν αυτό το πρόβλημα συνεχιστεί κατά τη λειτουργία επιβολής, αυτά τα συμβάντα θα καταγράφονται ως σφάλματα.

Αν διαπιστώσετε κάποιο από τα δύο σφάλματα στη συσκευή σας, είναι πιθανό όλοι οι ελεγκτές τομέα των Windows στον τομέα σας να μην είναι ενημερωμένοι με μια ενημέρωση των Windows στις 8 Νοεμβρίου 2022 ή μεταγενέστερη. Για να μετριάσετε τα προβλήματα, θα πρέπει να διερευνήσετε περαιτέρω τον τομέα σας για να βρείτε τους ελεγκτές τομέα των Windows που δεν είναι ενημερωμένοι.  

Σημείωση Εάν βρείτε ένα σφάλμα με το αναγνωριστικό συμβάντος 42, ανατρέξτε στο KB5021131: Πώς μπορείτε να διαχειριστείτε τις αλλαγές πρωτοκόλλου Kerberos που σχετίζονται με το CVE-2022-37966.

Συσκευές τρίτων κατασκευαστών που εφαρμόζουν το πρωτόκολλο Kerberos

Οι τομείς με ελεγκτές τομέα τρίτων κατασκευαστών ενδέχεται να βλέπουν σφάλματα στη λειτουργία επιβολής.

Οι τομείς με προγράμματα-πελάτες τρίτων ενδέχεται να χρειαστούν περισσότερο χρόνο για την πλήρη απαλοιφή των συμβάντων ελέγχου μετά την εγκατάσταση μιας ενημέρωσης των Windows στις 8 Νοεμβρίου 2022 ή μεταγενέστερης.

Επικοινωνήστε με τον κατασκευαστή της συσκευής (OEM) ή με τον προμηθευτή του λογισμικού, για να διαπιστώσετε αν το λογισμικό του είναι συμβατό με την πιο πρόσφατη αλλαγή πρωτοκόλλου.

Για πληροφορίες σχετικά με τις ενημερώσεις πρωτοκόλλων, ανατρέξτε στο θέμα Του πρωτοκόλλου των Windows στην τοποθεσία web της Microsoft.

Γλωσσάριο