KB5021131: Cách quản lý thay đổi giao thức Kerberos liên quan đến CVE-2022-37966

Tài khoản được gắn cờ cho rõ ràng RC4 sử dụng dễ bị tổn thương. Ngoài ra, môi trường không có khóa phiên AES trong tài khoản krbgt có thể dễ bị tổn thương. Để giảm thiểu sự cố này, hãy làm theo hướng dẫn về cách xác định các lỗ hổng và sử dụng phần thiết đặt Khóa Đăng ký để cập nhật các mặc định mã hóa được đặt rõ ràng.

Bạn sẽ cần xác minh rằng tất cả các thiết bị của bạn đều có kiểu Mã hóa Kerberos phổ biến.  Để biết thêm thông tin về các loại Mã hóa Kerberos, hãy xem Giải mã Các loại Mã hóa Kerberos được Hỗ trợ.

Môi trường không có kiểu Mã hóa Kerberos thông thường trước đây có thể đã hoạt động do tự động thêm RC4 hoặc bổ sung AES, nếu RC4 bị vô hiệu hóa thông qua chính sách nhóm bởi bộ kiểm soát miền. Hành vi này đã thay đổi với các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 và bây giờ sẽ tuân thủ nghiêm ngặt những gì được đặt trong khóa đăng ký, msds-SupportedEncryptionTypes và DefaultDomainSupportedEncTypes. 

Nếu tài khoản không có bộ msds-SupportedEncryptionTypes hoặc được đặt thành 0, bộ kiểm soát miền sẽ giả định giá trị mặc định là 0x27 (39) hoặc bộ kiểm soát miền sẽ sử dụng cài đặt trong khóa đăng ký DefaultDomainSupportedEncTypes.

Nếu tài khoản có bộ msds-SupportedEncryptionTypes , cài đặt này sẽ vinh dự và có thể gây ra lỗi khi đặt cấu hình loại Mã hóa Kerberos phổ biến bị che bởi hành vi trước đó là tự động thêm RC4 hoặc AES, không còn hành vi này sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022.

Để biết thông tin về cách xác minh bạn có kiểu Mã hóa Kerberos phổ biến, hãy xem câu hỏi Làm cách nào để tôi có thể xác minh rằng tất cả các thiết bị của tôi có kiểu Mã hóa Kerberos phổ biến?

Xem câu hỏi trước để biết thêm thông tin về lý do thiết bị của bạn có thể không có loại Mã hóa Kerberos phổ biến sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022.

Nếu bạn đã cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022, bạn có thể phát hiện các thiết bị không có kiểu Mã hóa Kerberos phổ biến bằng cách xem Nhật ký Sự kiện cho Microsoft-Windows-Kerberos-Key-Distribution-Center Event 27, giúp xác định loại mã hóa phân chia giữa máy khách Kerberos và máy chủ hoặc dịch vụ từ xa.

Việc cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 trên máy khách hoặc máy chủ vai trò không thuộc Bộ kiểm soát Miền không ảnh hưởng đến xác thực Kerberos trong môi trường của bạn.

Để giảm thiểu sự cố đã biết này, hãy mở cửa sổ Dấu nhắc Lệnh với tư cách Người quản trị và tạm thời sử dụng lệnh sau đây để đặt khóa đăng ký KrbtgtFullPacSignature thành 0:

• reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
  

Các bước tiếp theoChúng tôi đang tìm giải pháp và sẽ cung cấp bản cập nhật trong một bản phát hành sắp tới.

Sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 trên bộ kiểm soát miền của bạn, tất cả các thiết bị phải hỗ trợ ký phiếu AES theo yêu cầu để tuân thủ yêu cầu kiểm soát bảo mật đối với CVE-2022-37967.

Các bước Tiếp theo Nếu bạn đang chạy phần mềm và vi chương trình cập nhật nhất cho các thiết bị không chạy Windows và đã xác minh rằng có kiểu Mã hóa phổ biến sẵn dùng giữa bộ kiểm soát miền Windows và các thiết bị không chạy Windows, bạn sẽ cần liên hệ với nhà sản xuất thiết bị (OEM) để được trợ giúp hoặc thay thế thiết bị bằng thiết bị tuân thủ. 

Các phiên bản Windows không được hỗ trợ bao gồm Windows XP, Windows Server 2003, Windows Server 2008 SP2 và Windows Server 2008 R2 SP1 không thể truy cập được bằng các thiết bị Windows được cập nhật trừ khi bạn có giấy phép ESU. Nếu bạn có giấy phép ESU, bạn sẽ cần cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 và xác minh rằng cấu hình của bạn có loại Mã hóa phổ biến khả dụng giữa tất cả các thiết bị.

Các bước Tiếp theo Cài đặt bản cập nhật, nếu có sẵn cho phiên bản Windows của bạn và bạn có giấy phép ESU hiện hành. Nếu không có bản cập nhật, bạn sẽ cần nâng cấp lên phiên bản Windows được hỗ trợ hoặc di chuyển bất kỳ ứng dụng hoặc dịch vụ nào sang thiết bị tương thích.

Sự cố đã biết này đã được giải quyết trong các bản cập nhật ngoài dải được phát hành vào ngày 17 tháng 11 năm 2022 và ngày 18 tháng 11 năm 2022 để cài đặt trên tất cả các bộ kiểm soát miền trong môi trường của bạn. Bạn không cần cài đặt bất kỳ bản cập nhật nào hoặc thực hiện bất kỳ thay đổi nào đối với máy chủ hoặc thiết bị máy khách khác trong môi trường của bạn để giải quyết sự cố này. Nếu bạn đã sử dụng bất kỳ giải pháp thay thế hoặc biện pháp giảm nhẹ nào cho sự cố này thì chúng sẽ không còn cần thiết nữa và chúng tôi khuyên bạn nên loại bỏ chúng.

Để tải gói độc lập cho các bản cập nhật ban đầu này, hãy tìm kiếm số KB trong Danh mục Microsoft Update. Bạn có thể nhập các bản cập nhật này vào Dịch vụ Cập nhật Windows Server (WSUS) và Microsoft Endpoint Configuration Manager. Để biết hướng dẫn về WSUS, hãy xem WSUS và Site Danh mục. Để biết hướng dẫn về Bộ quản lý Cấu hình, hãy xem Nhập bản cập nhật từ Danh mục Microsoft Update. 

Các bản cập nhật tích lũy:

• Windows Server 2022: KB5021656

• Windows Server 2019: KB5021655

• Windows Server 2016: KB5021654

Phiên bản Cập nhật lập:

• Windows Server 2012 R2: KB5021653

• Windows Server 2012: KB5021652

• Windows Server 2008 R2 SP1: KB5021651 (phát hành ngày 18 tháng 11 năm 2022)

• Windows Server 2008 SP2: KB5021657

Nếu bạn đã xác minh cấu hình môi trường của mình và vẫn gặp phải sự cố với mọi hoạt động triển khai Kerberos không phải của Microsoft, bạn sẽ cần các bản cập nhật hoặc hỗ trợ từ nhà phát triển hoặc nhà sản xuất ứng dụng hoặc thiết bị đó.

Có thể giảm thiểu sự cố đã biết này bằng cách thực hiện một trong các thao tác sau:

• Đặt msds-SupportedEncryptionTypes bằng bitwise hoặc đặt thành giá trị mặc định hiện 0x27 giữ nguyên giá trị hiện tại của nó. Ví dụ:

  • Msds-SuportedEncryptionTypes -bor 0x27

• Đặt msds-SupportEncryptionTypes thành0 để cho phép bộ kiểm soát miền sử dụng giá trị mặc định 0x27.

Các bước tiếp theoChúng tôi đang tìm giải pháp và sẽ cung cấp bản cập nhật trong một bản phát hành sắp tới.

Advanced Encryption Standard (AES) là một mật mã khối thay thế Tiêu chuẩn Mã hóa Dữ liệu (DES). AES có thể được sử dụng để bảo vệ dữ liệu điện tử. Thuật toán AES có thể được sử dụng để mã hóa (mã hóa) và giải mã thông tin (giải mã). Mã hóa chuyển đổi dữ liệu thành biểu mẫu không thể hiểu được gọi là văn bản mật mã; việc giải mã văn bản mật mã sẽ chuyển đổi dữ liệu trở lại dạng ban đầu của nó, được gọi là văn bản thuần. AES được sử dụng trong mật mã khóa đối xứng, có nghĩa là cùng một khóa được sử dụng cho các thao tác mã hóa và giải mã. Nó cũng là một mật mã khối, có nghĩa là nó hoạt động trên các khối có kích thước cố định của văn bản thuần và văn bản mật mã, và đòi hỏi kích thước của văn bản đồng bằng cũng như văn bản mật mã phải là bội số chính xác của kích thước khối này. AES còn được gọi là thuật toán mã hóa đối xứng Rijndael [FIPS197].

Kerberos là một giao thức xác thực mạng máy tính hoạt động dựa trên "vé" để cho phép các nút giao tiếp qua mạng để chứng minh danh tính của họ với nhau một cách an toàn.

Dịch vụ Kerberos thực thi các dịch vụ xác thực và cấp phiếu được chỉ định trong giao thức Kerberos. Dịch vụ này chạy trên các máy tính được lựa chọn bởi người quản trị của các vùng hoặc tên miền; nó không hiện diện trên tất cả các máy trên mạng. Nó phải có quyền truy cập vào một cơ sở dữ liệu tài khoản cho các khu vực mà nó phục vụ. KDC được tích hợp vào vai trò bộ kiểm soát miền. Nó là một dịch vụ mạng cung cấp vé cho khách hàng để sử dụng trong xác thực dịch vụ.

RC4-HMAC (RC4) là một giải thuật mã hóa đối xứng độ dài khóa biến đổi. Để biết thêm thông tin, hãy xem [SCHNEIER] phần 17.1.

Một khóa đối xứng tương đối ngắn hạn (một khóa mật mã được đàm phán bởi khách hàng và máy chủ dựa trên một bí mật chung). Tuổi thọ khóa phiên được liên kết bởi phiên mà nó được liên kết. Khóa phiên phải đủ mạnh để có thể chịu được khó hiểu trong thời gian vòng đời của phiên.

Một loại vé đặc biệt có thể được sử dụng để nhận các vé khác. Vé cấp vé (TGT) thu được sau khi xác thực ban đầu trong giao dịch dịch vụ xác thực (AS); sau đó, người dùng không cần phải trình bày thông tin đăng nhập của họ, nhưng có thể sử dụng TGT để lấy vé tiếp theo.