KB5021130: Как да управлявате промените в протокола Netlogon, свързани с CVE-2022-38023

Началната фаза на разполагане започва с актуализациите, издадени на 8 ноември 2022 г. и продължава с по-късните актуализации на Windows до фазата на прилагане. Актуализации на Windows на или след 8 ноември 2022 г. адресират уязвимостта за заобикаляне на защитата на CVE-2022-38023 чрез прилагане на RPC запечатване на всички клиенти на Windows.

По подразбиране устройствата ще бъдат зададени в режим на съвместимост. Домейновите контролери на Windows ще изискват клиентите на Netlogon да използват RPC печат, ако работят с Windows, или ако действат като домейнови контролери или като акаунти за сигурност.

Актуализациите на Windows, издадени на или след 11 април 2023 г., ще премахнат възможността за забраняване на запечатването на RPC, като зададете стойност 0 на подключа requireSeal на системния регистър.

Подключът requireSeal на системния регистър ще бъде преместен в наложен режим, освен ако администраторите изрично не конфигурират да бъдат в режим на съвместимост. Удостоверяването на уязвимите връзки от всички клиенти, включително от трети лица, ще бъде отказано. Вижте Промяна 1.

Актуализациите на Windows, издадени на 11 юли 2023 г., ще премахнат възможността за задаване на стойност 1 на подключа requireSeal от системния регистър. Това позволява фазата на прилагане на CVE-2022-38023.

Ако намерите това съобщение за грешка в регистрите на събитията, трябва да предприемете следните действия, за да отстраните системната грешка:

• Уверете се, че на устройството се изпълнява поддържана версия на Windows.

• Проверете, за да се уверите, че всички устройства са актуализирани.

• Проверете, за да се уверите, че член на домейна: Членът на домейна Цифрово шифровай или подписвай защитените данни за канала (винаги) е настроен на Разрешен .

Ако откриете събитие 5840, това е знак, че клиент във вашия домейн използва слаба криптография.

Ако намерите събитие 5841, това е знак, че стойността на RejectMD5Clients е зададена на TRUE .

Ключът RejectMD5Clients е вече съществуващ ключ в услугата Netlogon. За повече информация вижте описанието rejectMD5Clients на абстрактния модел на данни.

Всички акаунти, присъединени към домейна, са засегнати от този CVE. Събитията ще покажат кой е най-засегнат от този проблем след инсталирането на актуализациите на Windows от 8 ноември 2022 г. или по-нова версия. Прегледайте раздела за грешки в регистъра на събитията , за да се справите с проблемите.

За да ни помогне да открием по-стари клиенти, които не използват най-силните налични crypto, тази актуализация въвежда регистрите на събитията за клиенти, които използват RC4.

Подписването на RPC е, когато протоколът Netlogon използва RPC за подписване на съобщенията, които изпраща по кабела. RPC запечатване е, когато протоколът Netlogon подписва и шифрова съобщенията, които изпраща по кабела.

Домейновият контролер на Windows определя дали клиент netlogon изпълнява Windows чрез заявка към атрибута "OperatingSystem" в Active Directory за клиента Netlogon и проверка за следните низове:

• "Windows", "Hyper-V Server" и "Azure Stack HCI"

Не препоръчваме и не поддържаме този атрибут да бъде променен от клиенти на Netlogon или администратори на домейни на стойност, която не е представителна за операционната система (ОС), изпълнявана от клиента netlogon. Имайте предвид, че може да променим критериите за търсене по всяко време. Вижте Промяна 3.

Фазата на прилагане не отхвърля netlogon клиенти въз основа на типа шифроване, който клиентите използват. Това ще отхвърли Netlogon клиенти само ако те правят RPC подписване вместо RPC запечатване. Отхвърлянето на клиенти на RC4 Netlogon се базира на ключа от системния регистър RejectMd5Clients, достъпен за Windows Server 2008 R2 и по-нови домейнови контролери на Windows. Фазата на прилагане за тази актуализация не променя стойността "RejectMd5Clients". Препоръчваме на клиентите да разрешат стойността "RejectMd5Clients" за по-висока защита в своите домейни. Вижте Промяна 3.

Advanced Encryption Standard (AES) е блоков шифър, който замества стандарта за шифроване на данни (DES). AES може да се използва за защита на електронните данни. Алгоритъмът на AES може да се използва за шифроване (шифроване) и дешифриране на информация. Шифроването преобразува данните в неразбираем формуляр, наречен шифъртекст; дешифрирането на текста на шифъра преобразува данните обратно в първоначалния им вид, наречен обикновен текст. AES се използва в симетрична криптография, което означава, че същият ключ се използва за операциите за шифроване и дешифриране. Това е и блоков шифър, което означава, че той работи върху блокове с фиксиран размер на обикновен текст и шифъртекст и изисква размерът на обикновения текст, както и шифърът да бъдат точно кратно на този размер на блока. AES е известен също като алгоритъма за симетрично шифроване Rijndael [FIPS197].

В среда за мрежова защита, съвместима с операционната система Windows NT, компонентът, отговорен за функциите за синхронизиране и поддръжка между основен домейнов контролер (PDC) и архивни домейнови контролери (BDC). Netlogon е предшественик на протокола за репликация на справочен сървър (DRS). Интерфейсът за извикване на отдалечен протокол Netlogon за отдалечен протокол (RPC) се използва предимно за поддържане на връзката между устройството и неговия домейн и връзките между домейновите контролери (DCs) и домейните. За повече информация вижте Netlogon Remote Protocol.

RC4-HMAC (RC4) е алгоритъм за симетрично шифроване с променлива дължина на ключа. За повече информация вж. [SCHNEIER] точка 17.1.

Удостоверена връзка за извикване на отдалечена процедура (RPC) между два компютъра в домейн с установен контекст на защитата, използван за подписване и шифроване на RPC пакети.