Microsoft исправила ошибку проверки Windows CVE-2024-26248, CVE-2024-29056 Kerberos PAC

На прошлой неделе Microsoft выпустила обновления «Вторник Патчей» за апрель 2024 года для Windows 10 (KB5036892), Windows 11 (KB5036893) и других.

Помимо этого, компания также сообщила, что патч устраняет пару уязвимостей безопасности аутентификации Kerberos PAC, отслеживаемых под CVE-2024-26248 и CVE-2024-29056, обе из которых представляют собой недостатки повышения привилегий, которые обходят проверки подписи PAC, ранее добавленные в KB5020805.

В своем документе поддержки Microsoft объясняет:

Обновления безопасности Windows, выпущенные 9 апреля 2024 г. или после этой даты, устраняют уязвимости, связанные с несанкционированным повышением привилегий с помощью протокола проверки Kerberos PAC. Сертификат атрибута привилегий (PAC) — это расширение билетов службы Kerberos. Он содержит информацию об аутентифицирующемся пользователе и его привилегиях. Это обновление устраняет уязвимость, из-за которой пользователь процесса может подделать подпись, чтобы обойти проверки безопасности проверки подписи PAC, добавленные в KB5020805.

Microsoft также добавила, что простой загрузки и установки обновлений Patch Tuesday за апрель 2024 года будет недостаточно для устранения уязвимости, и что пользователи также должны принудительно применить изменения. Это только начальный этап развертывания исправления, и по умолчанию оно будет применяться только позже.

Полный график предстоящих изменений приведен ниже:

9 апреля 2024 г.: этап первоначального развертывания — режим совместимости.

Фаза начального развертывания начинается с обновлений, выпущенных 9 апреля 2024 г. Это обновление добавляет новое поведение, которое предотвращает несанкционированное повышение привилегий, описанное в CVE-2024-26248 и CVE-2024-29056, но не применяет его, если оба контроллера домена Windows и клиенты Windows в среде обновляются.

Чтобы включить новое поведение и устранить уязвимости, необходимо убедиться, что вся ваша среда Windows (включая контроллеры домена и клиенты) обновлена. События аудита будут регистрироваться, чтобы помочь идентифицировать необновленные устройства.

15 октября 2024 г.: этап принудительного применения по умолчанию

Обновления, выпущенные 15 октября 2024 г. или после этой даты, переведут все контроллеры домена и клиенты Windows в среде в принудительный режим путем изменения параметров подраздела реестра на PacSignatureValidationLevel=3 и CrossDomainFilteringLevel=4, что обеспечивает безопасное поведение по умолчанию.

Параметры «Принудительно по умолчанию» могут быть отменены администратором для возврата в режим совместимости.

8 апреля 2025 г.: этап исполнения закона

Обновления безопасности Windows, выпущенные 8 апреля 2025 г. или после этой даты, удалят поддержку подразделов реестра PacSignatureValidationLevel и CrossDomainFilteringLevel и обеспечат новое безопасное поведение. После установки этого обновления поддержка режима совместимости не будет.