KB5020276 – Netjoin: Toimialueeseen liittymisen kovettumismuutokset

Yhteenveto

11. lokakuuta 2022 ja sen jälkeen julkaistut Windows-päivitykset sisältävät lisäsuojauksia, jotka CVE-2022-38042 on ottanut käyttöön. Nämä suojaukset estävät tarkoituksellisesti toimialueeseen liittymistoimintoja käyttämästä uudelleen aiemmin luotua tietokonetiliä kohdetoimialueella, paitsi jos:

• Käyttäjä, joka yrittää toimintoa, on olemassa olevan tilin luoja.

  Tai

• Tietokoneen on luonut toimialueen järjestelmänvalvojien jäsen.

  Tai

• Uudelleenkäytettävien tietokonetilien omistaja kuuluu toimialueen ohjauskoneeseen: Salli tietokonetilin uudelleenkäyttö toimialueeseen liittymisen aikana. ryhmäkäytäntö asetus. Tämä asetus edellyttää 14. maaliskuuta 2023 tai sen jälkeen julkaistujen Windows-päivitysten asentamista KAIKKIIN jäsentietokoneisiin ja toimialueen ohjauskoneisiin.

Päivitykset julkaistu 14. maaliskuuta 2023 ja 12. syyskuuta 2023 jälkeen, tarjoaa lisävaihtoehtoja asiakkaille, joita ongelma koskee Windows Server 2012 R2:ssa ja sitä ennen, sekä kaikille tuetuille asiakkaille. Lisätietoja on 11.10.2022 julkaistuissa toiminta- ja Toimintatoimet-osioissa . 

Toiminta ennen 11. lokakuuta 2022

Ennen kuin asennat 11. lokakuuta 2022 tai uudemmat kumulatiiviset päivitykset, asiakastietokone etsii Active Directorysta samannimistä tiliä. Tämä kysely suoritetaan toimialueeseen liittymisen ja tietokonetilien valmistelun aikana. Jos tällainen tili on olemassa, asiakas yrittää automaattisesti käyttää sitä uudelleen.

Huomautus Uudelleenkäyttöyritys epäonnistuu, jos toimialueen liittymistoimintoa yrittävällä käyttäjällä ei ole asianmukaisia kirjoitusoikeuksia. Jos käyttäjällä on kuitenkin riittävästi käyttöoikeuksia, toimialueeseen liittyminen onnistuu.

Toimialueeseen liittymiselle on kaksi skenaariota, joissa käytetään oletustoimintoja ja -merkintöjä seuraavasti:

• Domain Join (NetJoinDomain)

  • Tilin uudelleenkäytön oletusarvot (ellei NETSETUP_NO_ACCT_REUSE merkintää ole määritetty)

• Tilin valmistelu (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Oletusarvona EI uudelleenkäyttöä (ellei NETSETUP_PROVISION_REUSE_ACCOUNT ole määritetty.)

11. lokakuuta 2022 -toiminta 

Kun olet asentanut 11. lokakuuta 2022 tai uudemman Windowsin kumulatiivisen päivityksen asiakastietokoneelle, asiakas suorittaa toimialueeseen liittymisen aikana lisäsuojaustarkistuksia ennen kuin yrittää käyttää aiemmin luotua tietokonetiliä uudelleen. Algoritmi:

1. Tilin uudelleenkäyttöyritys on sallittu, jos toimintoa käyttävä käyttäjä on olemassa olevan tilin luoja.

2. Tilin uudelleenkäyttöyritys on sallittu, jos tilin on luonut toimialueen järjestelmänvalvojien jäsen.

Nämä lisäsuojaustarkistukset tehdään ennen tietokoneeseen liittymistä. Jos tarkistukset onnistuvat, muut liittymistoiminnot ovat Active Directory -käyttöoikeuksien alaisia, kuten ennenkin.

Tämä muutos ei vaikuta uusiin tileihin.

Huomautus Kun olet asentanut 11. lokakuuta 2022 tai uudemmat Windowsin kumulatiiviset päivitykset, toimialueeseen liittyminen tietokonetilin uudelleenkäytöllä saattaa tarkoituksellisesti epäonnistua seuraavalla virheellä:

Virhe 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Active Directoryssa on samanniminen tili. Suojauskäytäntö esti tilin uudelleenkäytön."

Jos näin on, uusi toiminta suojaa tiliä tarkoituksellisesti.

Tapahtumatunnus 4101 käynnistyy, kun yllä oleva virhe ilmenee ja ongelma kirjataan sisään c:\windows\debug\netsetup.log. Noudata alla olevia ohjeita kohdassa Toimi, jotta ymmärrät virheen ja ratkaiset ongelman.

14. maaliskuuta 2023 -toiminta

Windows-päivityksissä, jotka julkaistiin 14. maaliskuuta 2023 tai sen jälkeen, olemme tehneet muutamia muutoksia suojauksen kovettumiseen. Nämä muutokset sisältävät kaikki muutokset, jotka teimme 11. lokakuuta 2022.

Laajensimme ensin niiden ryhmien laajuutta, jotka on vapautettu tästä kovettumisesta. Toimialueen järjestelmänvalvojien lisäksi yrityksen järjestelmänvalvojat ja sisäiset järjestelmänvalvojaryhmät on nyt vapautettu omistajuuden tarkistuksesta.

Toiseksi olemme ottaneet käyttöön uuden ryhmäkäytäntö asetuksen. Järjestelmänvalvojat voivat sen avulla määrittää sallittujen tietokonetilien omistajien luettelon. Tietokonetili ohittaa suojaustarkistuksen, jos jokin seuraavista on tosi:

• Tilin omistaa käyttäjä, joka on määritetty luotetuksi omistajaksi Toimialueen ohjauskone: Salli tietokonetilin uudelleenkäyttö toimialueeseen liittymisen aikana -ryhmäkäytäntö.

• Tilin omistaa käyttäjä, joka kuuluu ryhmään, joka on määritetty luotetuksi omistajaksi Toimialueen ohjauskone: Salli tietokonetilin uudelleenkäyttö toimialueeseen liittymisen aikana -ryhmäkäytäntö.

Jotta voit käyttää tätä uutta ryhmäkäytäntö, toimialueen ohjauskoneella ja jäsentietokoneella on oltava 14. maaliskuuta 2023 tai uudempi päivitys asennettuna. Joillakin voi olla tiettyjä tilejä, joita käytät automaattisessa tietokonetilien luonnissa. Jos nämä tilit ovat turvassa väärinkäytöksiltä ja luotat heidän luottavan tietokonetilien luomiseen, voit vapauttaa ne. 11. lokakuuta 2022 julkaistut Windows-päivitykset lieventävät edelleen alkuperäistä haavoittuvuutta.

^{12. syyskuuta 2023 -toiminta}

Windows-päivityksissä, jotka julkaistiin 12. syyskuuta 2023 tai sen jälkeen, olemme tehneet muutamia lisämuutoksia suojauksen kovennukseen. Nämä muutokset sisältävät kaikki muutokset, jotka teimme 11. lokakuuta 2022, ja muutokset 14. maaliskuuta 2023.

Korjattu ongelma, jossa toimialueeseen liittyminen älykorttitodennuksen avulla epäonnistui käytäntöasetuksesta riippumatta. Tämän ongelman korjaamiseksi siirsimme jäljellä olevat suojaustarkistukset takaisin toimialueen ohjauskoneeseen. Tämän vuoksi syyskuun 2023 suojauspäivityksen jälkeen asiakaskoneet soittamalla todennettuja SAMRPC-kutsuja toimialueen ohjauskoneeseen tietokonetilien uudelleenkäyttämiseen liittyvien suojaustarkistusten suorittamiseksi.

Tämä voi kuitenkin aiheuttaa toimialueen liittymisen epäonnistumisen ympäristöissä, joissa on määritetty seuraava käytäntö: Verkon käyttö: Asiakasohjelmien salliminen soittaa etäpuheluita SAM-verkkoon.  Katso "Tunnetut ongelmat" -osiosta lisätietoja tämän ongelman ratkaisemisesta.

Aiomme myös poistaa alkuperäisen NetJoinLegacyAccountReuse-rekisteriasetuksen tulevassa Windows-päivityksessä. [Tammikuu 2024 - Aloitus]Tämä poisto on alustavasti ajoitettu 13.8.2024 päivätylle päivitykselle. Julkaisupäivät voivat muuttua. [End - January 2024]

Huomautus Jos olet ottanut NetJoinLegacyAccountReuse-avaimen käyttöön asiakasohjelmissasi ja määrittänyt sen arvoksi 1, sinun on nyt poistettava kyseinen avain (tai määritettävä sen arvoksi 0), jotta voit hyötyä uusimmista muutoksista. 

Toimi

Määritä uusi sallittujen luetteloiden käytäntö toimialueen ohjauskoneen ryhmäkäytäntö avulla ja poista vanhat asiakaspuolen vaihtoehtoiset menetelmät. Toimi sitten seuraavasti:

1. Sinun on asennettava 12. syyskuuta 2023 tai sitä uudemmat päivitykset kaikkiin jäsentietokoneisiin ja toimialueen ohjauskoneisiin. 

2. Määritä asetukset alla olevissa vaiheissa uudessa tai aiemmin luodussa ryhmäkäytännössä, joka koskee kaikkia toimialueen ohjauskoneita.

3. Kaksoisnapsauta Kohdassa Tietokoneasetukset\Käytännöt\Windows-asetukset\Suojausasetukset\Paikalliset käytännöt\Suojausasetukset Toimialueen ohjauskone: Salli tietokonetilin uudelleenkäyttö toimialueeseen liittymisen aikana.

4. Valitse Määritä tämä käytäntöasetus ja <Muokkaa suojausta...>.

5. Objektinvalitsimen avulla voit lisätä käyttäjät tai luotettujen tietokonetilien luottajien ja omistajien ryhmät Salli-käyttöoikeuksiin. (Parhaana käytäntönä suosittelemme, että käytät käyttöoikeuksissa ryhmiä.) Älä lisää käyttäjätiliä, joka suorittaa toimialueeseen liittymisen.

   Varoitus: Rajoita käytännön jäsenyys luotettuihin käyttäjiin ja palvelutileihin. Älä lisää tähän käytäntöön todennettuja käyttäjiä, kaikkia tai muita suuria ryhmiä. Lisää sen sijaan tietyt luotetut käyttäjät ja palvelutilit ryhmiin ja lisää nämä ryhmät käytäntöön.

6. Odota ryhmäkäytäntö päivitysväliä tai suorita gpupdate /force kaikissa toimialueen ohjauskoneissa.

7. Varmista, että HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" -rekisteriavaimeen on täytetty haluttu SDDL. Älä muokkaa rekisteriä manuaalisesti.

8. Yritä liittyä tietokoneeseen, johon on asennettu 12. syyskuuta 2023 tai uudempia päivityksiä. Varmista, että jokin käytännössä luetelluista tileistä omistaa tietokonetilin. Varmista myös, että sen rekisterissä ei ole NetJoinLegacyAccountReuse-näppäintä käytössä (1). Jos toimialueeseen liittyminen epäonnistuu, tarkista c:\windows\debug\netsetup.log.

Jos tarvitset edelleen vaihtoehtoisen menetelmän, tarkista tietokonetilin valmistelutyönkulut ja ymmärrä, tarvitaanko muutoksia. 

1. Suorita liittymistoiminto käyttämällä samaa tiliä, joka loi kohdetoimialueeseen tietokonetilin.

2. Jos aiemmin luotu tili on käyttämätön, poista se ennen kuin yrität liittyä toimialueeseen uudelleen.

3. Nimeä tietokone uudelleen ja liity siihen käyttämällä toista tiliä, jota ei vielä ole olemassa.

4. Jos olemassa olevan tilin omistaa luotettu suojauspäämies ja järjestelmänvalvoja haluaa käyttää tiliä uudelleen, asenna syyskuun 2023 tai sitä uudemmat Windows-päivitykset noudattamalla Toimet-osion ohjeita ja määritä sallittujen luettelo.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Tunnetut ongelmat

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac