KB5020805: CVE-2022-37967과 관련된 Kerberos 프로토콜 변경을 관리하는 방법

이 문서에서

• 요약

• CVE-2022-37967을 해결하기 위한 업데이트 시기

• 배포 지침

• 레지스트리 키 설정

• CVE-2022-37967과 관련된 Windows 이벤트

• Kerberos 프로토콜을 구현하는 타사 장치

• 용어집

요약

2022년 11월 8일 Windows 업데이트에서는 PAC(Privilege Attribute Certificate) 서명을 통해 보안 우회 및 권한 상승 취약성을 해결합니다. 이 보안 업데이트는 공격자가 PAC 서명을 디지털로 변경하여 권한을 높일 수 있는 Kerberos 취약성을 해결합니다.

환경을 안전하게 보호하려면 Windows 도메인 컨트롤러를 포함한 모든 장치에 이 Windows 업데이트를 설치하세요. 업데이트를 적용 모드로 전환하기 전에 도메인의 모든 도메인 컨트롤러를 먼저 업데이트해야 합니다.

이 취약성에 대한 자세한 내용은 CVE-2022-37967을 참조하세요.

조치 취하기

환경을 보호하고 운영 중단을 방지하려면 다음 단계를 수행하는 것이 좋습니다.

1. 2022년 11월 8일 이후에 릴리스된 Windows 업데이트로 Windows 도메인 컨트롤러를 업데이트합니다.

2. 레지스트리 키 설정 섹션을 사용하여 Windows 도메인 컨트롤러를 감사 모드로 이동합니다.

3. 감사 모드 중에 제출된 이벤트를 모니터링하여 환경을 보호합니다.

4. 사용사용자 환경에서 CVE-2022-37967을 해결하기 위한 적용 모드입니다.

참고 2022년 11월 8일 이후에 릴리스된 업데이트를 설치하는 1단계에서는 Windows 장치용 CVE-2022-37967의 보안 문제가 기본적으로 해결되지 않습니다. 모든 장치의 보안 문제를 완전히 완화하려면 모든 Windows 도메인 컨트롤러에서 가능한 한 빨리 감사 모드(2단계에서 설명)로 이동한 다음 적용 모드(4단계에서 설명)로 이동해야 합니다.

중요 2023년 7월부터 적용 모드가 모든 Windows 도메인 컨트롤러에서 사용하도록 설정되며 비규격 장치의 취약한 연결을 차단합니다.  이때 업데이트를 사용하지 않도록 설정할 수 없지만 감사 모드 설정으로 돌아갈 수 있습니다. 감사 모드는 Kerberos 취약성 CVE-2022-37967을 해결하기 위한 업데이트 시기 섹션에 설명된 대로 2023년 10월에 제거됩니다.

CVE-2022-37967을 해결하기 위한 업데이트 시기

업데이트는 2022년 11월 8일 또는 그 이후에 릴리스된 업데이트의 초기 단계와 2023년 6월 13일 또는 그 이후에 릴리스된 업데이트의 적용 단계로 나누어 릴리스됩니다.

배포 지침

2022년 11월 8일 또는 그 이후의 Windows 업데이트를 배포하려면 다음 단계를 수행합니다.

1. 2022년 11월 8일 또는 그 이후에 릴리스된 업데이트로 Windows 도메인 컨트롤러를 업데이트합니다.

2. 레지스트리 키 설정 섹션을 사용하여 도메인 컨트롤러를 감사 모드로 이동합니다.

3. 감사 모드 중에 제출된 이벤트를 모니터링하여 환경을 보호할 수 있습니다.

4. 사용 사용자 환경에서 CVE-2022-37967을 해결하기 위한 적용 모드입니다.

1단계: 업데이트 

2022년 11월 8일 이상의 업데이트를 해당하는 모든 Windows DC(도메인 컨트롤러)에 배포합니다. 업데이트를 배포한 후 업데이트된 Windows 도메인 컨트롤러는 Kerberos PAC 버퍼에 서명이 추가되고 기본적으로 안전하지 않습니다(PAC 서명의 유효성이 검사되지 않음).

• 업데이트하는 동안 모든 Windows 도메인 컨트롤러가 업데이트될 때까지 KrbtgtFullPacSignature 레지스트리 값을 기본 상태로 유지해야 합니다.

2단계: 이동 

Windows 도메인 컨트롤러가 업데이트되면 KrbtgtFullPacSignature 값을 2로 변경하여 감사 모드로 전환합니다.  

3단계: 찾기/모니터 

감사 모드 중에 트리거된 이벤트 로그를 통해 PAC 서명이 누락되었거나 유효성 검사에 실패한 PAC 서명이 있는 영역을 식별합니다.   

• 적용 모드로 이동하기 전에 도메인 기능 수준이 2008 이상으로 설정되어 있는지 확인합니다. 2003 도메인 기능 수준의 도메인이 있는 적용 모드로 이동하면 인증이 실패할 수 있습니다.

• 도메인이 완전히 업데이트되지 않았거나 이전에 발급된 미해결 서비스 티켓이 여전히 도메인에 있는 경우 감사 이벤트가 표시됩니다.

• 누락된 PAC 서명 또는 기존 PAC 서명의 유효성 검사 실패를 나타내는 제출된 추가 이벤트 로그를 계속 모니터링합니다.

• 전체 도메인이 업데이트되고 모든 미해결 티켓이 만료된 후에는 감사 이벤트가 더 이상 표시되지 않습니다. 그런 다음 실패 없이 적용 모드로 전환할 수 있습니다.

4단계: 사용 

사용자 환경에서 적용 모드를 사용하도록 설정하여 CVE-2022-37967을 해결합니다.

• 모든 감사 이벤트가 해결되어 더 이상 나타나지 않으면 레지스트리 키 설정 섹션에 설명된 대로 KrbtgtFullPacSignature 레지스트리 값을 업데이트하여 도메인을 적용 모드로 이동합니다.

• 서비스 티켓에 유효하지 않은 PAC 서명이 있거나 PAC 서명이 없는 경우 유효성 검사가 실패하고 오류 이벤트가 기록됩니다.

레지스트리 키 설정

CVE-2022-37967과 관련된 Windows 이벤트

감사 모드에서 PAC 서명이 없거나 유효하지 않은 경우 다음 오류를 발견할 수 있습니다. 적용 모드에서 이 문제가 계속되면 이러한 이벤트가 오류로 기록됩니다.

장치에서 오류가 발견되면 도메인의 모든 Windows 도메인 컨트롤러가 2022년 11월 8일 또는 이후 Windows 업데이트로 최신 상태가 아닐 수 있습니다. 문제를 완화하려면 도메인을 자세히 조사하여 최신 버전이 아닌 Windows 도메인 컨트롤러를 찾아야 합니다.  

참고 이벤트 ID 42에서 오류가 발견되면 KB5021131: CVE-2022-37966과 관련된 Kerberos 프로토콜 변경 관리 방법을 참조하세요.

Kerberos 프로토콜을 구현하는 타사 장치

타사 도메인 컨트롤러가 있는 도메인에서 적용 모드에서 오류가 표시될 수 있습니다.

타사 클라이언트가 있는 도메인은 2022년 11월 8일 또는 이후 Windows 업데이트를 설치한 후 감사 이벤트를 완전히 지우는 데 더 오래 걸릴 수 있습니다.

OEM(장치 제조업체) 또는 소프트웨어 공급업체에 문의하여 해당 소프트웨어가 최신 프로토콜 변경 사항과 호환되는지 확인합니다.

프로토콜 업데이트에 대한 자세한 내용은 Microsoft 웹 사이트의 Windows 프로토콜 항목을 참조하세요.

용어집