KB5021130: Jak zarządzać zmianami protokołu Netlogon dotyczącymi CVE-2022-38023

Początkowa faza wdrażania rozpoczyna się od aktualizacji wydanych 8 listopada 2022 r. i jest kontynuowana z późniejszymi aktualizacjami systemu Windows do fazy wymuszania. Aktualizacje systemu Windows w okresie od 8 listopada 2022 r. usuwają lukę w zabezpieczeniach związaną z luką CVE-2022-38023 przez wymuszanie uszczelniania RPC we wszystkich klientach systemu Windows.

Domyślnie urządzenia będą ustawione w trybie zgodności. Kontrolery domeny systemu Windows będą wymagać, aby klienci Netlogon korzystali z uszczelnienia RPC, jeśli korzystają z systemu Windows lub działają jako kontrolery domeny lub jako konta zaufania.

Aktualizacje systemu Windows wydane 11 kwietnia 2023 r. usuwają możliwość wyłączenia uszczelniania RPC, ustawiając wartość 0 na podkluczu rejestru RequireSeal .

Podklucz RequireSeal rejestru zostanie przeniesiony do trybu Wymuszone, chyba że administratorzy jawnie skonfigurują się w trybie zgodności. Nie można uwierzytelnić wrażliwych połączeń od wszystkich klientów, w tym innych firm. Zobacz Zmienianie 1.

Aktualizacje systemu Windows wydane 11 lipca 2023 r. usuną możliwość ustawienia wartości 1 na podkluczu RequireSeal rejestru. Umożliwia to fazę wymuszania CVE-2022-38023.

W przypadku znalezienia tego komunikatu o błędzie w dziennikach zdarzeń należy wykonać następujące czynności, aby rozwiązać problem z systemem:

• Upewnij się, że na urządzeniu działa obsługiwana wersja systemu Windows.

• Upewnij się, że wszystkie urządzenia są aktualne.

• Upewnij się, że członek domeny: Członek domeny Szyfrowanie cyfrowe lub podpisywanie bezpiecznych danych kanału (zawsze) ma ustawioną wartość Włączone .

Jeśli znajdziesz zdarzenie 5840, jest to znak, że klient w Twojej domenie używa słabej kryptografii.

Jeśli znajdziesz zdarzenie 5841, jest to znak, że wartość RejectMD5Clients ma wartość PRAWDA .

Klucz RejectMD5Clients jest wcześniej istniejącym kluczem w usłudze Netlogon. Aby uzyskać więcej informacji, zobacz opis RejectMD5Clients modelu danych abstrakcyjnych.

Ten cve dotyczy wszystkich kont komputerów przyłączonych do domeny. Zdarzenia pokazują, kto jest najbardziej dotknięty tym problemem po zainstalowaniu aktualizacji systemu Windows z 8 listopada 2022 r. lub nowszych. Aby rozwiązać te problemy, zapoznaj się z sekcją błędów dziennika zdarzeń .

Aby ułatwić wykrywanie starszych klientów, którzy nie używają najsilniejszej dostępnej kryptografii, ta aktualizacja wprowadza dzienniki zdarzeń dla klientów, którzy używają RC4.

Podpisywanie RPC jest wtedy, gdy protokół Netlogon używa RPC do podpisywania wiadomości wysyłana za pośrednictwem przewodu. Uszczelnienie RPC jest wtedy, gdy protokół Netlogon podpisuje i szyfruje wiadomości wysyłane za pośrednictwem przewodu.

Kontroler domeny systemu Windows określa, czy klient netlogon jest uruchomiony w systemie Windows, sprawdzając atrybut "OperatingSystem" w usłudze Active Directory dla klienta Netlogon i sprawdzając, czy są dostępne następujące ciągi:

• "Windows", "Hyper-V Server" i "Azure Stack HCI"

Nie zalecamy ani nie obsługujemy zmiany tego atrybutu przez klientów netlogon lub administratorów domeny na wartość, która nie jest reprezentatywna dla systemu operacyjnego uruchomionego przez klienta Netlogon. Należy pamiętać, że możemy zmienić kryteria wyszukiwania w dowolnym momencie. Zobacz Zmienianie 3.

Faza wymuszania nie odrzuca klientów Netlogon na podstawie typu szyfrowania, którego używają klienci. Będzie odrzucać klientów Netlogon tylko wtedy, gdy nie RPC podpisywania zamiast RPC uszczelniania. Odrzucenie klientów Netlogon RC4 jest oparte na kluczu rejestru "RejectMd5Clients" dostępnym dla kontrolerów domeny systemu Windows Server 2008 R2 i nowszych. Faza wymuszania dla tej aktualizacji nie zmienia wartości "RejectMd5Clients". Zalecamy, aby klienci włączyli wartość "RejectMd5Clients" dla wyższych zabezpieczeń w swoich domenach. Zobacz Zmienianie 3.

Advanced Encryption Standard (AES) to szyfrowanie blokowe, które zastępuje standard szyfrowania danych (DES). AES może służyć do ochrony danych elektronicznych. Algorytm AES może być używany do szyfrowania (szyfrowania) i odszyfrowywania (odszyfrowywania) informacji. Szyfrowanie konwertuje dane na niezrozumiały formularz nazywany szyfrem; Odszyfrowanie szyfrowanego tekstu powoduje przekonwertowanie danych z powrotem na ich oryginalną formę, zwaną zwykłym tekstem. AES jest używany w kryptografii klucza symetrycznego, co oznacza, że ten sam klucz jest używany do operacji szyfrowania i odszyfrowywania. Jest to również szyfrowanie blokowe, co oznacza, że działa na blokach o stałym rozmiarze zwykłego tekstu i szyfru, i wymaga, aby rozmiar zwykłego tekstu oraz szyfru był dokładną wielokrotność tego rozmiaru bloku. AES jest również znany jako algorytm szyfrowania symetrycznego Rijndael [FIPS197] .

W środowisku zabezpieczeń sieci zgodnych z systemem operacyjnym Windows NT składnik odpowiedzialny za funkcje synchronizacji i konserwacji między podstawowym kontrolerem domeny (PDC) a zapasowymi kontrolerami domeny (BDC). Netlogon jest prekursorem protokołu serwera replikacji katalogów (DRS). Interfejs netlogon remote protocol remote procedure call (RPC) służy przede wszystkim do utrzymywania relacji między urządzeniem a jego domeną oraz relacji między kontrolerami domeny i domenami. Aby uzyskać więcej informacji, zobacz Netlogon Remote Protocol.

RC4-HMAC (RC4) to algorytm szyfrowania symetrycznego o zmiennej długości klucza. Aby uzyskać więcej informacji, zobacz [SCHNEIER] sekcja 17.1.

Uwierzytelnione połączenie zdalnego wywołania procedur (RPC) między dwoma komputerami w domenie o ustalonym kontekście zabezpieczeń używanym do podpisywania i szyfrowania pakietów RPC .