Windows Server 2012 R2: Sonderpatch für Kerberos-Authentication-Problem

[English]Microsoft hat zum 17. November 2020 ein Update KB4594439 außer der Reihe für Windows Server 2012 R2 freigegeben. Das soll die Probleme mit der Kerberos-Authentifizierung von Tickets auf Domain Controllern beheben.

Worum geht es genau?

Microsoft hatte am 10. November 2020 das Update KB4586781 für Windows 10, Version 2004, und Version 20H2 sowie für Windows Server, Version 2004 und 20H2 freigegeben. Das Update behebt eine Reihe an Problemen, auch am Windows-Kernel (siehe auch Patchday: Windows 10-Updates (10. November 2020)). Allerdings gab es Probleme mit der Kerberos-Authentifizierung an Domain Controllern, wenn das Update unter Windows Server, Version 2004 und 20H2 installiert wurde, aber Tickets von Windows Servern ohne dieses Update ausgestellt wurden. Das gilt auch für Maschinen mit Windows Server 2012 / R2. Ich hatte das im Blog-Beitrag Windows 10/Windows Server: Update KB4586781 macht Probleme mit Kerberos DC-Authentifizierung thematisiert, nachdem Microsoft einen entsprechenden Hinweis auf der Windows Statusseite gepostet hatte. Microsoft hatte baldmöglichst Abhilfe versprochen.

Update KB4594439 für Windows Server 2012 R2

Blog-Leser Jürgen hat in diesem Kommentar auf das aktuelle Sonderupdate hingewiesen. Update KB4594439 für Windows Server 2012 R2 behebt Probleme mit der Kerberos-Authentifizierung im Zusammenhang mit dem Wert des Registrierungsunterschlüssels PerformTicketSignature in CVE-2020-17049. Die Probleme hängen mit den Windows-Updates vom 10. November 2020 zusammen. Laut Supportbeitrag soll das Sonderupdate folgende Probleme beheben:

• Kerberos service tickets and ticket-granting tickets (TGT) might not renew for non-Windows Kerberos clients when PerformTicketSignature is set to 1 (the default).
• Service for User (S4U) scenarios, such as scheduled tasks, clustering, and services for line-of-business applications, might fail for all clients when PerformTicketSignature is set to 0.
• S4UProxy delegation fails during ticket referral in cross-domain scenarios if DCs in intermediate domains are inconsistently updated and PerformTicketSignature is set to 1.

Das Update ist im Microsoft Update Catalog erhältlich. Microsoft empfiehlt die Installation des letzten Servicing Stack Update (SSU) gemäß ADV990001, bevor der Patch installiert wird. Probleme sind bisher nicht bekannt.

Ergänzung: Inzwischen liegen auch Sonderupdates für Windows Server 2012 sowie Windows Server 2018/2019 vor (siehe Windows-Sonderupdates: Fix für Kerberos-Authentication-Problem).

Ähnliche Artikel:
Patchday: Windows 10-Updates (10. November 2020)
Windows 10/Windows Server: Update KB4586781 macht Probleme mit Kerberos DC-Authentifizierung
Windows-Sonderupdates: Fix für Kerberos-Authentication-Problem