KB5020805: CVE-2022-37967 ile ilgili Kerberos protokolü değişikliklerini yönetme

Bu makalede

• Özet

• CVE-2022-37967 ile ilgili güncelleştirmelerin zamanlaması

• Dağıtım yönergeleri

• Kayıt Defteri Anahtarı ayarları

• CVE-2022-37967 ile ilgili Windows olayları

• Kerberos protokolünü uygulayan üçüncü taraf cihazlar

• Sözlük

Özet

8 Kasım 2022 Windows güncelleştirmeleri, Ayrıcalık Öznitelik Sertifikası (PAC) imzalarıyla güvenlik atlama ve ayrıcalık yükseltme güvenlik açıklarını ele alır. Bu güvenlik güncelleştirmesi, bir saldırganın PAC imzalarını dijital olarak değiştirerek ayrıcalıklarını yükseltebildiği Kerberos güvenlik açıklarını giderir.

Ortamınızın güvenliğini sağlamaya yardımcı olmak için bu Windows güncelleştirmesini Windows etki alanı denetleyicileri de dahil olmak üzere tüm cihazlara yükleyin. Güncelleştirmeyi Zorunlu moda geçirmeden önce etki alanınızdaki tüm etki alanı denetleyicileri güncelleştirilmelidir.

Bu güvenlik açıkları hakkında daha fazla bilgi edinmek için bkz. CVE-2022-37967.

Eyleme Geç

Ortamınızı korumaya ve kesintileri önlemeye yardımcı olmak için aşağıdaki adımları gerçekleştirmenizi öneririz:

1. Windows etki alanı denetleyicilerinizi 8 Kasım 2022 tarihinde veya sonrasında yayımlanan bir Windows güncelleştirmesi ile GÜNCELLEŞTIRin.

2. Kayıt Defteri Anahtarı ayarı bölümünü kullanarak Windows etki alanı denetleyicilerinizi Denetim moduna taşıyın.

3. Ortamınızın güvenliğini sağlamak için Denetim modu sırasında dosyalanan olayları izleyin.

4. ETKİNLEŞTİRMEKOrtamınızda CVE-2022-37967'yi ele almak için zorlama modu.

Not 8 Kasım 2022 veya sonrasında yayımlanan güncelleştirmeleri yükleme adım 1'i, Windows cihazları için CVE-2022-37967'deki güvenlik sorunlarını varsayılan olarak ÇÖZMEZ. Tüm cihazlarda güvenlik sorununu tamamen azaltmak için, tüm Windows etki alanı denetleyicilerinde en kısa sürede Denetim moduna (2. Adımda açıklanmıştır) ve ardından Zorunlu mod 'a (4. Adımda açıklanmıştır) geçmeniz gerekir.

Önemli Temmuz 2023'ten itibaren, zorlama modu tüm Windows etki alanı denetleyicilerinde etkinleştirilecek ve uyumlu olmayan cihazlardan gelen güvenlik açığı olan bağlantıları engelleyecek.  Bu sırada güncelleştirmeyi devre dışı bırakamazsınız ancak Denetim modu ayarına geri dönebilirsiniz. Kerberos güvenlik açığını gidermek için güncelleştirmelerin zamanlaması CVE-2022-37967 bölümünde açıklandığı gibi denetim modu Ekim 2023'te kaldırılacaktır.

CVE-2022-37967 ile ilgili güncelleştirmelerin zamanlaması

Güncelleştirmeler aşamalar halinde yayımlanacaktır: 8 Kasım 2022 veya sonrasında yayımlanan güncelleştirmelerin başlangıç aşaması ve 13 Haziran 2023 veya sonrasında yayımlanan güncelleştirmeler için Zorlama aşaması.

Dağıtım yönergeleri

8 Kasım 2022 veya sonraki Windows güncelleştirmelerine ait Windows güncelleştirmelerini dağıtmak için şu adımları izleyin:

1. Windows etki alanı denetleyicilerinizi 8 Kasım 2022 tarihinde veya sonrasında yayınlanan bir güncelleştirmeyle GÜNCELLEŞTIRin.

2. Kayıt Defteri Anahtarı ayarı bölümünü kullanarak etki alanı denetleyicilerinizi Denetim moduna taşıyın.

3. Ortamınızın güvenliğini sağlamaya yardımcı olmak için Denetim modu sırasında dosyalanan olayları izleyin.

4. ETKİNLEŞTİRMEK Ortamınızda CVE-2022-37967'yi ele almak için zorlama modu.

1. ADIM: GÜNCELLE 

8 Kasım 2022 veya sonraki güncelleştirmeleri tüm geçerli Windows etki alanı denetleyicilerine (DC) dağıtın. Güncelleştirmeyi dağıttıktan sonra, güncelleştirilen Windows etki alanı denetleyicilerinin Kerberos PAC Arabelleğine imzaları eklenir ve varsayılan olarak güvenli olmaz (PAC imzası doğrulanmaz).

• Güncelleştirme sırasında, tüm Windows etki alanı denetleyicileri güncelleştirilene kadar KrbtgtFullPacSignature kayıt defteri değerini varsayılan durumda tuttuğunuzdan emin olun.

2. ADIM: TAŞI 

Windows etki alanı denetleyicileri güncelleştirildikten sonra KrbtgtFullPacSignature değerini 2 olarak değiştirerek Denetim moduna geçin.  

3. ADIM: BUL/İZLE 

EKSIK PAC imzaları olan veya Denetim modu sırasında tetiklenen Olay Günlükleri aracılığıyla doğrulamayı başarısız olan PAC İmzalarına sahip alanları belirleyin.   

• Zorlama moduna geçmeden önce etki alanı işlev düzeyinin en az 2008 veya üzeri olarak ayarlandığından emin olun. 2003 etki alanı işlev düzeyinde etki alanlarıyla Zorlama moduna geçmek kimlik doğrulaması hatalarına neden olabilir.

• Etki alanınız tam olarak güncelleştirilmediyse veya daha önce verilmiş bekleyen hizmet biletleri etki alanınızda hala varsa denetim olayları görüntülenir.

• Eksik PAC imzalarını veya mevcut PAC imzalarının doğrulama hatalarını gösteren ek olay günlüklerini izlemeye devam edin.

• Etki alanının tamamı güncelleştirildikten ve kalan tüm biletlerin süresi dolduktan sonra denetim olayları artık görüntülenmemelidir. Ardından, hiçbir hata olmadan Zorlama moduna geçebiliyor olmanız gerekir.

4. ADIM: ETKİnLEŞTİr 

Ortamınızda CVE-2022-37967'yi ele almak için Zorlama modunu etkinleştirin.

• Tüm denetim olayları çözümlenip artık görünmedikten sonra, Kayıt Defteri Anahtarı ayarları bölümünde açıklandığı gibi KrbtgtFullPacSignature kayıt defteri değerini güncelleştirerek etki alanlarınızı Zorlama moduna taşıyın.

• Hizmet biletinde geçersiz PAC imzası varsa veya PAC imzaları eksikse doğrulama başarısız olur ve bir hata olayı günlüğe kaydedilir.

Kayıt Defteri Anahtarı ayarları

CVE-2022-37967 ile ilgili Windows olayları

Denetim modunda PAC İmzaları eksik veya geçersizse aşağıdaki hatalardan birini bulabilirsiniz. Bu sorun Zorlama modunda devam ederse, bu olaylar hata olarak günlüğe kaydedilir.

Cihazınızda herhangi bir hata bulursanız, büyük olasılıkla etki alanınızdaki tüm Windows etki alanı denetleyicileri 8 Kasım 2022 veya sonraki bir Windows güncelleştirmesi ile güncel değildir. Sorunları azaltmak için, güncel olmayan Windows etki alanı denetleyicilerini bulmak için etki alanınızı daha fazla araştırmanız gerekir.  

Not Olay Kimliği 42 ile ilgili bir hata bulursanız bkz. KB5021131: CVE-2022-37966 ile ilgili Kerberos protokolü değişikliklerini yönetme.

Kerberos protokolünü uygulayan üçüncü taraf cihazlar

Üçüncü taraf etki alanı denetleyicileri olan etki alanları Zorlama modunda hatalar görebilir.

Üçüncü taraf istemcilere sahip etki alanlarının 8 Kasım 2022 veya sonraki bir Windows güncelleştirmesinin yüklenmesinden sonra denetim olaylarından tamamen temizlenmesi daha uzun sürebilir.

Yazılımlarının en son protokol değişikliğiyle uyumlu olup olmadığını belirlemek için cihaz üreticisine (OEM) veya yazılım satıcısına başvurun.

Protokol güncelleştirmeleri hakkında bilgi için Microsoft web sitesindeki Windows Protokolü konusuna bakın.

Sözlük