KB5021130: Så här hanterar du Netlogon-protokolländringar relaterade till CVE-2022-38023

Den första distributionsfasen börjar med uppdateringarna som släpptes 8 november 2022 och fortsätter med senare Windows-uppdateringar fram till fasen för tillämpning. Windows-uppdateringar på eller efter 8 november 2022 åtgärdar säkerhetsbrister i CVE-2022-38023 genom att tillämpa RPC-sealing på alla Windows-klienter.

Som standard ställs enheter in i kompatibilitetsläge. Windows-domänkontrollanter kräver att Netlogon-klienter använder RPC-sigill om de kör Windows, eller om de fungerar som antingen domänkontrollanter eller som förtroendekonton.

Windows-uppdateringarna som släpptes den 11 april 2023 eller senare tar bort möjligheten att inaktivera RPC-sealing genom att ange värdet 0 i registerundernyckeln RequireSeal .

Registerundernyckeln RequireSeal flyttas till tvingande läge om inte administratörer uttryckligen konfigurerat att vara i kompatibilitetsläge. Sårbara anslutningar från alla klienter, inklusive tredje part, nekas autentisering. Se Ändra 1.

Windows-uppdateringarna som släpptes 11 juli 2023 tar bort möjligheten att ange värdet 1 till registerundernyckeln RequireSeal . Detta möjliggör tillämpningsfasen av CVE-2022-38023.

Om du hittar det här felmeddelandet i händelseloggarna måste du vidta följande åtgärder för att lösa systemfelet:

• Kontrollera att enheten kör en version av Windows som stöds.

• Kontrollera att alla enheter är uppdaterade.

• Kontrollera att Domänmedlem: Domänmedlem Kryptera eller signera data om säker kanal (alltid) är inställt på Aktiverad .

Om du hittar händelse 5840 är detta ett tecken på att en klient i din domän använder svag kryptografi.

Om du hittar händelse 5841 är det här ett tecken på att värdet RejectMD5Clients är inställt på SANT .

Nyckeln RejectMD5Clients är en befintlig nyckel i Netlogon-tjänsten. Mer information finns i beskrivningen RejectMD5Clients för den abstrakta datamodellen.

Alla domänanslutna datorkonton påverkas av denna CVE. Händelser visar vem som påverkas mest av det här problemet efter att Windows-uppdateringarna från 8 november 2022 eller senare har installerats. Läs avsnittet Händelseloggfel för att åtgärda problemen.

I den här uppdateringen introduceras händelseloggar för klienter som använder RC4 för att identifiera äldre klienter som inte använder den starkaste tillgängliga krypton.

RPC-signering är när Netlogon-protokollet använder RPC för att signera de meddelanden som skickas över tråden. RPC-försegling är när Netlogon-protokollet både signerar och krypterar de meddelanden som skickas över tråden.

Windows Domänkontrollant avgör om en Netlogon-klient kör Windows genom att fråga attributet "OperatingSystem" i Active Directory för Netlogon-klienten och söka efter följande strängar:

• "Windows", "Hyper-V Server" och "Azure Stack HCI"

Vi rekommenderar inte eller stöder inte att det här attributet ändras av Netlogon-klienter eller domänadministratörer till ett värde som inte är representativt för det operativsystem (OS) som Netlogon-klienten kör. Du bör vara medveten om att vi kan ändra sökvillkoren när som helst. Se Ändra 3.

Tvingande fas avvisar inte Netlogon-klienter baserat på vilken typ av kryptering som klienterna använder. Det kommer bara att avvisa Netlogon-klienter om de gör RPC-signering i stället för RPC Sealing. Avslag av RC4 Netlogon-klienter baseras på registernyckeln RejectMd5Clients som är tillgänglig för Windows Server 2008 R2 och senare Windows-domänkontrollanter. Tvingande fas för den här uppdateringen ändrar inte värdet "RejectMd5Clients". Vi rekommenderar att kunder aktiverar värdet "RejectMd5Clients" för högre säkerhet i sina domäner. Se Ändra 3.

AES (Advanced Encryption Standard) är ett blockkrypteringskrypteringsstandard (DES). AES kan användas för att skydda elektroniska data. AES-algoritmen kan användas för att kryptera (chiffrera) och dekryptera (dechiffrera) information. Kryptering konverterar data till en icke-begriplig form som kallas chiffertext; när du dekrypterar chiffertexten konverteras data tillbaka till dess ursprungliga form, så kallad oformaterad text. AES används i symmetrisk nyckelkryptografi, vilket innebär att samma nyckel används för krypterings- och dekrypteringsåtgärderna. Det är också ett block chiffer, vilket innebär att det fungerar på block med fast storlek av oformaterad text och chiffertext, och kräver att storleken på oformaterad text samt chiffertexten är en exakt multipel av denna blockstorlek. AES kallas även rijndael symmetrisk krypteringsalgoritm [FIPS197] .

I en Windows NT-operativsystemskompatibel nätverkssäkerhetsmiljö är komponenten som ansvarar för synkroniserings- och underhållsfunktioner mellan en primär domänkontrollant (PDC) och säkerhetskopiering av domänkontrollanter (BDC). Netlogon är en föregångare till DRS-protokollet (Directory Replication Server). RPC-gränssnittet (Netlogon Remote Protocol Remote Procedure Call) används främst för att upprätthålla relationen mellan en enhet och dess domän och relationer mellan domänkontrollanter och domäner. Mer information finns i Netlogon Remote Protocol.

RC4-HMAC (RC4) är en symmetrisk krypteringsalgoritm med variabel nyckellängd. Mer information finns i [SCHNEIER] avsnitt 17.1.

En Autentiserad RPC-anslutning (Remote Procedure Call) mellan två datorer i en domän med en etablerad säkerhetskontext som används för signering och kryptering av RPC-paket .