Active Directory patchen _und_ konfigurieren (CVE-2021-42287)

[NorbertFe 2.211]

Heise hat darüber ja bereits berichtet, aber es soll hier natürlich nicht fehlen. Sonst wird euch noch langweilig über die Feiertage. ;)

 

https://www.heise.de/news/Microsoft-raet-zu-schnellem-Patchen-von-Active-Directories-6304027.html

https://support.microsoft.com/en-us/topic/kb5008380-authentication-updates-cve-2021-42287-9dafac11-e0d0-4cb8-959a-143bd0201041

https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699

https://www.der-windows-papst.de/2021/12/23/pacrequestorenforcement/

 

Ab Juli 2022 wird der Enforcement Modus zwangsweise mit den dann erscheinenden Updates aktiviert.

 

  Zitat

The July 12, 2022 release will transition all Active Directory domain controllers into the Enforcement phase. The Enforcement phase will also remove the PacRequestorEnforcement registry key completely. As a result, Windows domain controllers that have installed the July 12, 2022 update will no longer be compatible with:

• Domain controllers that did not install the November 9, 2021 or later updates.

• Domain controllers that installed the November 9, 2021 or later updates but have not yet installed the April 12, 2022 update AND who have a PacRequestorEnforcement registry value of 0.

Mehr  

 

Wer also bereits jetzt den Enforcement Mode aktivieren will/muss um seine Umgebung ggf. zu prüfen oder zu härten, der kann gern anhängendes admx/adml verwenden. (Ich gebe zu, man könnte das mit GPP regeln, aber da gibts so wenig Explain Text ;))

 

KB5008380.admx.txtFetching info...

KB5008380.adml.txtFetching info...

 

Ansonsten schöne Weihnachten für alle :)

Be

Norbert

 

[cj_berlin 1.444]

...aber denkt daran: Die beschriebenen Events werden nicht zum Spaß geloggt. Das sind die Applikationen, mit deren Authentifizierungsgewohnheiten ihr euch in den kommenden 6 Monaten beschäftigen müsst.

...und wenn wir schon dabei sind: https://support.microsoft.com/en-au/topic/kb5008383-active-directory-permissions-updates-cve-2021-42291-536d5555-ffba-4248-a60e-d6cbc849cde1 hat auch einen Enforcement Mode, der im April 2022 aktiv wird. Allerdings kann man das Verhalten mit den neuen Flags im dsHeuristics-Attribut dauerhaft abschalten.

[MurdocX 977]

Ich bekomme bei vielen Links zu dem Thema mittlerweile ein "HTTP ERROR 502". Beispielsweise bei dem Link von Evengij. Auch getestet über unterschiedliche Internetzugänge. Über die Waybackmachine sind sie zugreifbar. Hat das Phänomen noch jemand?

[NorbertFe 2.211]

Also eben gerade ging der Link im Beitrag über dir.

[NilsK 3.016]

Moin,

 

bei mir auch. Muss also an dir liegen, @MurdocX. 

 

Gruß, Nils

 

[MurdocX 977]

Interessant! Bei mir ist´s nur bei gewissen Support-Seiten von MS. Andere wiederum gehen einwandfrei. Auf jeden Fall Danke für´s Testen. 

[tesso 382]

Bei MS Seiten habe ich das auch immer mal. Wenn ich den Link kann ich ihn im Firefox komischerweise öffnen. 

[MurdocX 977]

  Am 19.1.2022 um 18:00 schrieb tesso:

Bei MS Seiten habe ich das auch immer mal. Wenn ich den Link kann ich ihn im Firefox komischerweise öffnen. 

Mehr  

Firefox installiert, statt Edge genutzt. Jetzt geht auch die MS-Seiten.  

[NorbertFe 2.211]

Zur Info, wer MacOS ans AD angebunden hat, sollte das hier beachten, sonst geht nix mehr.

 

https://www.jamf.com/blog/advisory-macos-ad-cve/

[NorbertFe 2.211]

  Am 24.12.2021 um 15:33 schrieb cj_berlin:

April 2022

Mehr  

April 23. ;)

https://support.microsoft.com/en-us/topic/kb5008383-active-directory-permissions-updates-cve-2021-42291-536d5555-ffba-4248-a60e-d6cbc849cde1

  Zitat

(Updated 7/8/22) April 11, 2023: Final deployment phase

The final deployment phase starts with a Windows update released no sooner than April 11, 2023 (to be determined). This phase will change the default to Enforcement mode.

Mehr  

 

bearbeitet 28. Juli 2022 von NorbertFe

[MurdocX 977]

Ich hab den enforcement Mode schon eine Weile ohne Probleme aktiv. Hat jemand schon Probleme mit Produkten feststellen können?

[NorbertFe 2.211]

  Am 24.12.2021 um 13:59 schrieb NorbertFe:

Ab Juli 2022 wird der Enforcement Modus zwangsweise mit den dann erscheinenden Updates aktiviert.

Mehr  

Auch bei der Variante gibts eine Verschiebung auf Oktober 2022.

 

https://support.microsoft.com/en-us/topic/kb5008380-authentication-updates-cve-2021-42287-9dafac11-e0d0-4cb8-959a-143bd0201041
(Updated) October 11, 2022: Enforcement phase

The October 11, 2022 release will transition all Active Directory domain controllers into the Enforcement phase. The Enforcement phase will also remove the PacRequestorEnforcement registry key completely. As a result, Windows domain controllers that have installed the October 11, 2022 update will no longer be compatible with:

 

 

und ich hab tatsächlich erst gestern gesehen, dass evgenij ein anderes Loch gepostet hatte. :/ nervt wenn ms das immer so umständlich macht. ;)

  Am 29.7.2022 um 04:34 schrieb MurdocX:

enforcement Mode

Mehr  

Welchen der beiden hier im thread denn?

[MurdocX 977]

Na beide

 

- Character 28 – Additional AuthZ verifications for LDAP Add operations

- Character 29 – Temporary removal of Implicit Owner for LDAP Modify operations

 

Wäre interessant zu wissen, ob jemand eine Software kennt die mit einem der beiden Einstellungen kollidiert. Microsoft verschiebt das Thema vermutlich nicht unbegründet um ein Jahr. 

[NorbertFe 2.211]

  Am 29.7.2022 um 08:30 schrieb MurdocX:

Wäre interessant zu wissen, ob jemand eine Software kennt die mit einem der beiden Einstellungen kollidiert. Microsoft verschiebt das Thema vermutlich nicht unbegründet um ein Jahr. 

Mehr  

Wäre dann ja auch "hilfreich", wenn solche Software mal gelistet würde. Denn ich wette, wenn der automatische Enforcement Modus kommt, gibts immer noch genug, die davon noch nie gehört haben.

[MurdocX 977]

  Am 29.7.2022 um 08:31 schrieb NorbertFe:

Denn ich wette, wenn der automatische Enforcement Modus kommt, gibts immer noch genug, die davon noch nie gehört haben.

Mehr  

Ich kenne keinen der die Posts von MS ließt. Es ist schon alleine schwierig Updates alter Posts mitzubekommen. Es wird also sicher welche geben die nach 2023 nie was davon wissen oder gehört haben..  Eine Liste wäre definitiv "hilfreich". Das Einzige was ich seit dem Zeitpunkt hatte waren Probleme mit dem SQL-Cluster Passwort Change.