{"id":314639,"date":"2025-08-16T00:01:30","date_gmt":"2025-08-15T22:01:30","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=314639"},"modified":"2025-08-29T06:11:30","modified_gmt":"2025-08-29T04:11:30","slug":"probleme-mit-dem-regkey-allowntauthpolicybypass-cve-2025-26647","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/08\/16\/probleme-mit-dem-regkey-allowntauthpolicybypass-cve-2025-26647\/","title":{"rendered":"Probleme mit dem Regkey AllowNtAuthPolicyBypass (CVE-2025-26647)"},"content":{"rendered":"

\"Windows\"[English<\/a>]Im April 2025 gab es ein Update um die Schwachstelle CVE-2025-26647 in der Kerberos Authentifizierung zu schlie\u00dfen. Ein Blog-Leser wies mich bereits Mitte Juli 2025 darauf hin, dass\u00a0 der Registry-Wert AllowNtAuthPolicyBypass<\/em> eingef\u00fchrt wurde. Allerdings ist er auf Probleme in Zusammenhang mit dem Schl\u00fcssel gesto\u00dfen.<\/p>\n

<\/p>\n

CVE-2025-26647: Kurzer Abriss des Sachverhalts<\/h2>\n

\"\"Von Microsoft gibt es seit dem 8. April 2025 den Support-Beitrag\u00a0Protections for CVE-2025-26647 (Kerberos Authentication)<\/a>, der sich mit dem Schlie\u00dfen der Kerberos Authentifizierungschwachstelle CVE-2025-26647 unter den noch im Support befindlichen Windows Server-Versionen befasst. In folgendem Registrierungsschl\u00fcssel:<\/p>\n

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Kdc<\/pre>\n
wurde der REG_DWORD Wert AllowNtAuthPolicyBypass<\/em> neu eingef\u00fchrt. Der Wert muss manuell erstellt werden, um sich abzusichern. Nachfolgend werden die m\u00f6glichen Werte genannt:<\/p>\n\n\n\n\n\n\n
\n
\n
Wert<\/div>\n<\/div>\n<\/td>\n
\n
\n
Modus<\/div>\n<\/div>\n<\/td>\n
\n
\n
Beschreibung<\/div>\n<\/div>\n<\/td>\n<\/tr>\n
\n
\n
0<\/div>\n<\/div>\n<\/td>\n
\n
\n
Deaktiviert<\/b><\/div>\n<\/div>\n<\/td>\n
\n
\n
Die\u00a0NTAuth-Pr\u00fcfung\u00a0wird nicht\u00a0durchgef\u00fchrt<\/b>. Kein Schutz\u00a0aktiv.<\/div>\n<\/div>\n<\/td>\n<\/tr>\n
\n
\n
1<\/div>\n<\/div>\n<\/td>\n
\n
\n
Audit-Modus<\/b><\/div>\n<\/div>\n<\/td>\n
\n
\n
NTAuth-Pr\u00fcfung\u00a0wird\u00a0durchgef\u00fchrt. Bei\u00a0Problemen\u00a0wird nur\u00a0ein\u00a0Warn-Event (ID 45)<\/b>\u00a0protokolliert. Standardverhalten\u00a0ab 8. April 2025<\/b>,\u00a0wenn\u00a0der Key nicht\u00a0gesetzt<\/b>\u00a0ist.<\/div>\n<\/div>\n<\/td>\n<\/tr>\n
\n
\n
2<\/div>\n<\/div>\n<\/td>\n
\n
\n
Enforced-Modus<\/b><\/div>\n<\/div>\n<\/td>\n
\n
\n
NTAuth-Pr\u00fcfung\u00a0wird\u00a0durchgef\u00fchrt. Bei\u00a0Fehlern\u00a0wird\u00a0die\u00a0Anmeldung verweigert<\/b>. Event-ID 21\u00a0wird\u00a0protokolliert.<\/div>\n<\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Ist der Schl\u00fcssel nicht gesetzt (Standardverhalten) verh\u00e4lt sich der Domain Controller so, als ob der Wert auf 1 steht (Audit-Modus). Das bedeutet:<\/p>\n