{"id":279990,"date":"2023-04-20T16:03:32","date_gmt":"2023-04-20T14:03:32","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=279990"},"modified":"2023-09-12T08:28:40","modified_gmt":"2023-09-12T06:28:40","slug":"windows-april-2023-updates-netlogon-und-kerberos-protokoll-nderungen-es-gibt-probleme","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/04\/20\/windows-april-2023-updates-netlogon-und-kerberos-protokoll-nderungen-es-gibt-probleme\/","title":{"rendered":"Windows April 2023 Updates: Netlogon- und Kerberos Protokoll-&Auml;nderungen, es gibt Probleme"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Windows\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Windows-klein.jpg\" alt=\"Windows\" width=\"200\" \/>[<a href=\"https:\/\/borncity.com\/win\/2023\/04\/22\/windows-april-2023-updates-netlogon-und-kerberos-protokoll-anderungen-es-gibt-probleme\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Microsoft hat seine Zeitpl\u00e4ne zur stufenweisen Anpassung am Netlogon-Protokoll (wegen CVE-2022-38023) und am Kerberos-Protokoll zwar vom 11. April 2023 auf den 13. Juni 2023 verschoben. Aber mit dem Windows-Update vom 11. April 2023 wurde bereits die M\u00f6glichkeit entfernt, die RPC-Versiegelung (RPC Sealing) in der Registry zu deaktivieren. Inzwischen werden erste Probleme gemeldet und ein Microsoft-Mitarbeiter hat Administratoren gerade aufgefordert, die Systeme zu testen, wie ich auf Twitter gesehen habe.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/4cf3e8a35c8742c784ea203bed8d5a88\" alt=\"\" width=\"1\" height=\"1\" \/>Im November 2022 hatte Microsoft mit seinen Sicherheitsupdates eine stufenweise \u00c4nderung am Netlogon- und Kerberos-Protokoll eingeleitet, die bis Oktober 2023 dauern soll. Grund sind Schwachstellen (CVE-2022-38023 und CVE-2022-37967) in Windows. Administratoren m\u00fcssen entsprechend reagieren, um sicherzustellen, dass diese \u00c4nderungen in der Netzwerkkommunikation ber\u00fccksichtig werden (siehe mein Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2022\/11\/10\/november-2022-updates-fr-windows-nderungen-am-netlogon-und-kerberos-protokoll\/\">November 2022-Updates f\u00fcr Windows: \u00c4nderungen am Netlogon- und Kerberos-Protokoll<\/a>). Die n\u00e4chste \u00c4nderung sollte zum 11. April 2023 greifen &#8211; ich hatte im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2023\/01\/15\/nderungen-an-den-windows-sicherheitseinstellungen-in-2023\/\">\u00c4nderungen an den Windows Sicherheitseinstellungen in 2023<\/a> darauf hingewiesen.<\/p>\n<h2>Sicherheitsupdates vom April 2023<\/h2>\n<p>Zum April 2023 hatte Microsoft dann eigentlich den n\u00e4chsten Schritt geplant, indem der sogenannte Erzwingungsmodus f\u00fcr die RPC-Versiegelung (RPC Sealing) aktiviert werden sollte. Dieser Schritt wurde durch Microsoft aber auf den 11. Juni 2023 verschoben, wie man im Support-Beitrag <a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5021130-how-to-manage-the-netlogon-protocol-changes-related-to-cve-2022-38023-46ea3067-3989-4d40-963c-680fd9e8ee25\" target=\"_blank\" rel=\"noopener\">KB5021130: How to manage the Netlogon protocol changes related to CVE-2022-38023<\/a> und im Beitrag <a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb\" target=\"_blank\" rel=\"noopener\">KB5020805: How to manage Kerberos protocol changes related to CVE-2022-37967<\/a> nachlesen kann. Dort steht:<\/p>\n<blockquote><p><b>April 5, 2023:<\/b> Moved the \"Enforcement by Default\" phase of the registry key from April 11, 2023 to June 13, 2023 in the \"Timing of updates to address CVE-2022-38023\" section.<\/p><\/blockquote>\n<p>Allerdings hei\u00dft es im Support-Beitrag <a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5021130-how-to-manage-the-netlogon-protocol-changes-related-to-cve-2022-38023-46ea3067-3989-4d40-963c-680fd9e8ee25\" target=\"_blank\" rel=\"noopener\">KB5021130: How to manage the Netlogon protocol changes related to CVE-2022-38023<\/a> auch, dass das Sicherheitsupdate vom 11. April 2023 (also vom April 2023-Patchday) die Initial Inforcement-Phase einleite.<\/p>\n<blockquote><p>The Windows updates released on or after April 11, 2023 will remove the ability to disable RPC sealing by setting value <b>0<\/b> to the <b>RequireSeal<\/b> registry subkey.<\/p><\/blockquote>\n<p>Ist das April 2023-Update unter Windows installiert, l\u00e4sst sich RPC sealing durch Setzen des Registrierungswerts <em>RequireSeal <\/em>auf 0 nicht mehr deaktivieren. Beim <em>KrbtgtFullPacSignature-<\/em>Schl\u00fcssel tritt wird der Enforcement Modus erst zum 13. Juni 2023 aktiv (siehe <a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb\" target=\"_blank\" rel=\"noopener\">KB5020805: How to manage Kerberos protocol changes related to CVE-2022-37967<\/a>). Die April 2023-Patches k\u00f6nnen bei KrbPAC &amp; RPCNetLogonSeal aber bereits jetzt f\u00fcr St\u00f6rungen sorgen.<\/p>\n<h2>St\u00f6rungen durch April 2023-Update<\/h2>\n<p>Blog-Leser Florian T. hat mich bereits zum 12. April 2023 per E-Mail auf m\u00f6gliche Probleme im Zusammenhang mit den Protokoll\u00e4nderungen hingewiesen und schrieb dazu.<\/p>\n<blockquote><p>Hallo Herr Born,<\/p>\n<p>ein Tipp f\u00fcr einen Artikel: Der Patch f\u00fcr Kerberos PAC Signaturen geht in seine dritte Phase und enforced die Kerberos PAC Signatur (krb pac Abschaltung wird deaktiviert). Zur Analyse, wo diese fehlt, siehe Windows Eventlog Eventid 43 bzw 44 nutzen.<\/p>\n<p>Der Patch der RPC Netlogon Sealing erzwingt und RPC Netlogon Signing entfernt war ebenfalls dabei. Kann durch Windows Eventlog Eventids 5838-5841 vorab analysiert werden.<\/p>\n<p>Mancher Hersteller hat schon Warnungen f\u00fcr Outages ver\u00f6ffentlicht, z.B. Netapp und Ivanti vpn (ehemals pulsevpn).<\/p><\/blockquote>\n<p><img decoding=\"async\" title=\"Netlogon protocol changes\" src=\"https:\/\/i.imgur.com\/ho4QEVQ.png\" alt=\"Netlogon protocol changes\" \/><\/p>\n<p>Obiger Screenshot zeigt den Ausriss aus einem der nachfolgenden Microsoft Support-Artikel auf die Florian in seiner Mail verlinkt (danke daf\u00fcr).<\/p>\n<ul>\n<li><a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb\" target=\"_blank\" rel=\"noopener\">KB5020805: How to manage Kerberos protocol changes related to CVE-2022-37967<\/a><\/li>\n<li><a href=\"https:\/\/support.microsoft.com\/en-us\/topic\/kb5021130-how-to-manage-the-netlogon-protocol-changes-related-to-cve-2022-38023-46ea3067-3989-4d40-963c-680fd9e8ee25\" target=\"_blank\" rel=\"noopener\">KB5021130: How to manage the Netlogon protocol changes related to CVE-2022-38023<\/a><\/li>\n<\/ul>\n<p>Administratoren sollten sich also die beiden Supportbeitr\u00e4ge nochmals durchlesen und ihre Windows Server-Umgebungen auf entsprechende Probleme testen.<\/p>\n<h2>Testet den Enforcement-Mode!<\/h2>\n<p>Nun ist mir nachfolgender Tweet von Microsoft-Mitarbeiter Ryan Ries unter die Augen gekommen. Ries bittet alle Administratoren, insbesondere diejenigen, die Ger\u00e4te von Drittanbietern wie NetApp-Storage verwenden, den Enforcent-Modus so schnell wie m\u00f6glich zu testen.<\/p>\n<p><a href=\"https:\/\/twitter.com\/JosephRyanRies\/status\/1648724225773953024\" target=\"_blank\" rel=\"noopener\"><img decoding=\"async\" title=\"Test Netlogon protocol changes Enforement\" src=\"https:\/\/i.imgur.com\/dG2tJWE.png\" alt=\"Test Netlogon protocol changes Enforement\" \/><\/a><\/p>\n<p>Ries merkt dazu an: <em>Noch ist nichts best\u00e4tigt, aber ich erhalte zunehmend interne Berichte, dass dies nicht so reibungslos ablaufen k\u00f6nnte, wie wir denken<\/em>. Administratoren sollten das Testen &#8211; und ggf. Aktualisieren der erforderlichen Software nicht bis zur letzten Minute aufschieben. Sonst wird es im Juni 2023 ein b\u00f6ses Erwachen geben.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Microsoft hat seine Zeitpl\u00e4ne zur stufenweisen Anpassung am Netlogon-Protokoll (wegen CVE-2022-38023) und am Kerberos-Protokoll zwar vom 11. April 2023 auf den 13. Juni 2023 verschoben. Aber mit dem Windows-Update vom 11. April 2023 wurde bereits die M\u00f6glichkeit entfernt, die RPC-Versiegelung &hellip; <a href=\"https:\/\/borncity.com\/blog\/2023\/04\/20\/windows-april-2023-updates-netlogon-und-kerberos-protokoll-nderungen-es-gibt-probleme\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[185,301,2557],"tags":[154,4315,3288],"class_list":["post-279990","post","type-post","status-publish","format-standard","hentry","category-update","category-windows","category-windows-server","tag-probleme","tag-update","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/279990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=279990"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/279990\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=279990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=279990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=279990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}