Windows 10/Windows Server: Update KB4586781 macht Probleme mit Kerberos DC-Authentifizierung

[English]Kurze Information für Administratoren in Windows 10-Umgebungen (Version 2004 und 20H2), wo bereits Windows Server 2004/20H2 zum Einsatz kommt. Update KB4586781 vom 10. November 2020 verursacht in ganz speziellen Umgebungen mit gemischten Server-Versionen Probleme mit der Kerberos-Authentifizierung auf Domain Controllern (DC).

Blog-Leser Alitai hat bereits am Sonntag Abend in den Kommentaren auf das Problem hingewiesen – ich hatte die Nacht aber keinen Nerv, das schon in den Blog einzustellen.

Update KB4586781 für Windows 10/Windows Server

Update KB4586781 wurde am 10. November 2020 für Windows 10, Version 200, und Version 20H2 sowie für Windows Server, Version 2004 und 20H2 freigegeben. Das Update behebt eine Reihe an Problemen, auch am Windows-Kernel (siehe auch Patchday: Windows 10-Updates (10. November 2020)).

Probleme mit Kerberos DC-Authentifizierung

In den Statusinformationen von Windows 10, version 20H2 and Windows Server, version 20H2 weist Microsoft in diesem Abschnitt darauf hin, dass man ein Problem mit der Kerberos-Authentifizierung auf Domain Controllern (DC) untersucht, welches durch das Update KB4586781 vom 10. November 2020 hervorgerufen wird. Zur Fehlerbeschreibung heißt es:

Nach der Installation von KB4586781 auf Domänencontrollern (DCs) und schreibgeschützten Domänencontrollern (RODCs) in Ihrer Umgebung können Probleme mit der Kerberos-Authentifizierung auftreten.

Hervorgerufen wird dies durch den Patch für die Schwachstelle CVE-2020-17049 (im Netzwerk-Stack) in Update KB4586781. In der Beschreibung von CVE-2020-17049 gibt es drei Registrierungseinstellungswerte für PerformTicketSignature, um diese Ticket-Signatur zu steuern. In der aktuellen Implementierung könnten nach Installation des Update KB4586781 bei jeder Einstellung andere Probleme auftreten:

• Wert 0: Es kann bei der Verwendung von S4U-Szenarien, wie geplante Aufgaben (Scheduled Tasks), Clustering und Services, z. B. Spartenanwendungen (Line-of-Business-Anwendungen), zu Authentifizierungsproblemen kommen.
• Wert 1: Der Standardwert 1 kann bei Nicht-Windows-Clients, die sich bei Windows-Domänen mit Kerberos authentifizieren, zu Authentifizierungsproblemen führen.
• Wert 2: Der Wert ist für den Durchsetzungsmodus gedacht und führt zu Problemen in einer Umgebung, in der nicht alle DCs aktualisiert werden, da bestimmte Arten von nicht konformen Kerberos-Tickets explizit abgelehnt werden. Der Wert sollte aktuell auch nicht verwendet werden, wenn die Umgebung DCs mit Windows Server 2008 R2 SP1 oder Windows Server 2008 SP2 enthält.

Bezüglich des Werts 1 schreibt Microsoft, dass der Versuch eines Clients, ein Kerberos-Ticket zu erneuern, scheitert, wenn auf dem Domain Controller (DC) Update KB4586781 installiert ist der ausstellende DC nicht auf die Änderung vorbereitet ist. Das trifft zu, wenn das Kerberos-Ticket von einem DC ausgestellt wurde, der den Patch vom 10.11.2020 noch nicht enthält. Die Erneuerung scheitert aber auch, wenn das Kerberos-Ticket von einem DC mit Windows Server 2008 R2 SP1 oder Windows Server 2008 SP2 ausgestellt wurde.

Ein Wechsel des Registrierungswerts von 0 auf 1 kann ebenfalls zu diesem Problem führen, da es ausstehende Kerberos-Tickets geben kann, die als verlängerbar gekennzeichnet sind, aber von aktualisierten DCs nicht verlängert werden.

Bei der Standardeinstellung von 1 kann es auch zu bereichsübergreifenden Verweisungsfehlern auf Windows- und Nicht-Windows-Geräten für Kerberos-Verweisungstickets kommen, die durch Domänen-DCs laufen, die kein am 11. November 2020 veröffentlichtes Update oder ein DC mit Windows Server 2008 R2 SP1 oder Windows Server 2008 SP2 installiert haben. Dieses Problem kann auftreten, wenn die Domänenumgebung teilweise aktualisiert ist oder mindestens einen Windows Server 2008 R2 SP1 oder Windows Server 2008 SP2 enthält.

Das Ganze betrifft nur Windows Server und Windows 10-Systeme samt Anwendungen in Unternehmensumgebungen, wenn folgende Server-Varianten vorhanden und das Update KB4586781 auf einem DC installiert ist.

Server: Windows Server, Version 20H2; Windows Server, Version 2004; Windows Server, Version 1909; Windows Server, Version 1903; Windows Server, Version 1809; Windows Server 2019; Windows Server 2016; Windows Server 2012 R2; Windows Server 2012

Meine Einschätzung ist, dass wohl recht wenige Umgebungen existieren, wo bereits Windows Server 2004 oder 20H2 als Domain-Controller läuft (mag mich aber täuschen). Aktuell untersucht Microsoft dieses Problem und will baldmöglichst ein Update bereitstellen. Irgend jemand von euch betroffen?