Probleme mit Remote-Unterst\u00fctzung nach April 2024-Update (PAC-\u00c4nderungen, KB5037754)<\/a> auf entsprechende Probleme bei der Remote-Unterst\u00fctzung hingewiesen.<\/p>\nProblem: Windows XP in Maschinensteuerungen<\/h2>\n
Blog-Leser Andy M. hatte mich bereits Mitte Oktober 2024 per Mail kontaktiert, weil das obige Thema ihm auf den N\u00e4geln brennt. Er meinte dazu, dass sie im Unternehmen \"letzte Woche\" die Info bekommen haben, dass im April 2024 eine L\u00fccke im Kerberos-Protokoll gepatcht wurde, aber nicht zwingend aktiv ist. Diese soll aber im April 2025 zwangsaktiviert werden – also genau das Szenario, das ich oben skizziert habe.<\/p>\n
Von Kollegen anderer Firmen wurden die Administratoren im Umfeld des Lesers dann auf einen Gesichtspunkt hingewiesen, der massive Auswirkungen hat: Ger\u00e4te, die noch mit Windows XP ausgestattet sind, sollen ab sp\u00e4testens April 2025 nicht mehr funktionieren, nachdem der Enforcement Modus mit dem betreffenden Update zum April 2025-Patchday auf den Domain Controllern aktiviert wird.<\/p>\n
Denn dann k\u00f6nnen die Clients nicht mehr \u00fcber das Kerberos-Protokoll mit einem gepatchten Active Directory-Server kommunizieren (die Kerberos PAC-Validierung scheitert). Da l\u00e4sst sich imho auch nichts machen, da f\u00fcr Windows XP die PAC-Patches nicht mehr bereitgestellt werden.<\/p>\n
Der Leser schrieb, dass auch andere (\u00e4ltere) Betriebssysteme, denen gewisse Patch-Level fehlen, dann nicht mehr funktionieren, sofern sie mit einem gepatchten Active Directory (AD) kommunizieren m\u00fcssen.<\/p>\n
Die Frage, die den Leser umtreibt: Ist die obige Annahme, dass Windows XP-Ger\u00e4te ab April 2025 von der Kerberos-Authentifizierung am Active Directory ausgesperrt sind, zutreffend und was funktioniert dann nicht mehr?<\/p>\n
Dazu schrieb der Leser: \"Da wir leider immer noch gewisse XP-Clients im Einsatz haben (Maschinen in der Produktion \u2013 Abl\u00f6sung nur durch sehr hohe Kosten m\u00f6glich), haben wir vermutlich das Thema dass hier die Windows XP Clients und ggfs. auch Windows 7 aus dem Raster fliegt. Leider findet man nicht all zu viel \u00fcber die Auswirkungen: Was funktioniert danach alles nicht mehr bei einem \u00e4lteren Client? Findet die Kommunikation dann anstatt per Kerberos dann via NTLM statt? Ist das Lesen des Netlogon-Shares wenigstens noch m\u00f6glich? <\/em>\"<\/p>\nIn einer Erg\u00e4nzungsmail von gestern schreibt er, dass die Administratoren in ihrer Umgebung die ben\u00f6tigten Registrierungseintr\u00e4ge gesetzt haben, um Eventlog-Eintr\u00e4ge von der Kerberos-PAC-Authentifizierung zu bekommen. Es werden jedoch werden keine Eintr\u00e4ge geschrieben.<\/p>\n
Der Leser zieht den Schluss, dass danach keine entsprechenden Clients, die die Kerberos-PAC-Validierung nicht bestehen, existieren. Das kann eigentlich nicht sein, da er sich 100 % sicher ist, dass solche Clients im Netzwerk vorhanden und am Active Directory angebunden sind. Er meint, dass der Registrierungseintrag f\u00fcr das Eventlog nicht korrekt umgesetzt wird. M\u00f6glicherweise liegt es aber auch daran, dass der Enforcement Modus noch nicht aktiviert ist.<\/p>\n
Ich gebe die Fragen des Lesers \"Ist das Thema schon mal angesprochen worden und stehen auch andere vor dem Problem?\"<\/em> damit an die Leserschaft des Blogs weiter.<\/p>\n\u00c4hnliche Artikel:<\/strong>
\nMicrosoft Security Update Summary (9. April 2024)<\/a>
\nPatchday: Windows 10-Updates (9. April 2024)<\/a>
\nPatchday: Windows 11\/Server 2022-Updates (9. April 2024)<\/a>
\nWindows Server 2012 \/ R2 und Windows 7 (9. April 2024)<\/a>
\nWindows Server: April 2024-Updates st\u00f6ren NTLM-Authentifizierung<\/a>
\nProbleme mit Remote-Unterst\u00fctzung nach April 2024-Update (PAC-\u00c4nderungen, KB5037754)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"[English]Microsoft hat im April 2024 ein Update f\u00fcr die Schwachstellen CVE-2024-26248 und CVE-2024-29056 im Kerberos-Protokoll ver\u00f6ffentlicht. Im April 2025 soll die Absicherung zwangsweise aktiviert werden. Das schl\u00e4gt auf \u00e4ltere Betriebssysteme wie Windows XP durch, die keine Updates mehr bekommen, aber … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-305603","post","type-post","status-publish","format-standard","hentry","category-allgemein"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/305603","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=305603"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/305603\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=305603"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=305603"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=305603"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"Windows\"](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Windows-klein.jpg\" "\\"Windows\\"")
[English]Microsoft hat im April 2024 ein Update f\u00fcr die Schwachstellen CVE-2024-26248 und CVE-2024-29056 im Kerberos-Protokoll ver\u00f6ffentlicht. Im April 2025 soll die Absicherung zwangsweise aktiviert werden. Das schl\u00e4gt auf \u00e4ltere Betriebssysteme wie Windows XP durch, die keine Updates mehr bekommen, aber in Maschinensteuerungen verwendet werden. Es d\u00fcrfte dann kein Zugriff auf das Active Directory mehr funktionieren, sobald die Domain Controller gepatcht und der Enforcement-Modus aktiviert wird.<\/p>\n