Patchday November

[daabm 1.357]

Mahlzeit. Wen hat's da denn sonst noch so erwischt? Bei uns hat's unternehmensweit Kerberos zerlegt, bis wir die SupportedEncryptionTypes für alle Computer/User/Service-Accounts auf 28 gesetzt haben (RC4/AES128/AES256)... Und alle Dokus im Netz (dirteam.com und MS KB) passen nicht zu unserem Fehlerbild.

 

Und wir üben grad, wie man das Attribut aktualisiert für etwa 4 Millionen Accounts... (In mehreren Domains, aber trotzdem - #grütze Microsoft).

 

[NorbertFe 2.050]

vor 2 Minuten schrieb daabm:

Bei uns hat's unternehmensweit Kerberos zerlegt

Wie hat sich das denn gezeigt? Fällt vermutlich in einer Kerberos-only Umgebung deutlich schneller auf als in einer wo NTLM als Fallback noch läuft, oder?

[daabm 1.357]

Oh ja, NTLM-Blocking ist ein echtes Abenteuer. HyperV-Cluster nicht mehr verwaltbar, Authentifizierung an Services nicht mehr möglich, das Identity Management (das mit Service Account und Keytab arbeitet) geht auf die Bretter. Ein Heidenspaß...

Unsere Kunden haben btw. nichts davon mitbekommen - die laufen alle noch mit NTLM-Fallback.

 

[da_flo 11]

Wir hatten ein ähnliches Thema im Januar. Zum Glück hatten wir uns mit diesem Thema im Vorfeld beschäftigt. Deshalb immer die Microsoft KBs und Windows EventLogs genau lesen.

 

Ihr müsst folgendes tun:

- per GPO alle alte unsichere Kerberos Typen sperren.

- alle Service, User Accounts Kerberos Support aktivieren (PowerShell hilft)

und im Attribut msDS-SupportedEncryptionTypes muss 24 sein

- Das Kennwort des KRBTGT Accounts neu setzten 

 

siehe https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/decrypting-the-selection-of-supported-kerberos-encryption-types/ba-p/1628797

[NorbertFe 2.050]

vor 19 Minuten schrieb daabm:

HyperV-Cluster nicht mehr verwaltbar,

Dazu hatte ich ja neulich einen Thread aufgemacht, aber das war noch vor den November Updates. Ich hatte übrigens heute einen anderen "netten" Fehler mit CVE-2021-42287. Das hatten wir vor Monaten auf 2 gesetzt und gefühlt seit Oktober (das war ja angekündigt) liefen die GPOs auf den DCs nicht mehr alle. Aufgefallen ist das, weil per GPO auf dem PDC Emulator der falsche Zeitserver (auf Domain Root auf NT5DS) ankam, anstatt der entsprechende NTP Server. Policy auf nicht konfiguriert gesetzt Fehler weg Zeit wieder in Ordnung. :/ Nervt aktuell richtig, wenn ich auch an das aktuelle Problem mit DirectAccess denke.

 

Bye

Norbert

[MurdocX 952]

Das Out of Band Update gegen den Bug ist draußen https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#2961

[NorbertFe 2.050]

War/ist Windows 2022 nicht davon betroffen? In der Liste stehen nur 2012R2, 2016 und 2019.

 

Edit: Ich muss wohl erst die Tasse Kaffee austrinken. Sorry, habs gefunden.

bearbeitet 18. November 2022 von NorbertFe

[daabm 1.357]

vor 7 Stunden schrieb NorbertFe:

Ich muss wohl erst die Tasse Kaffee austrinken.

 

Ja, Kaffee holen reicht nicht, Du mußt ihn schon auch benutzen

[MurdocX 952]

Hat den Patch schon jemand eingespielt und möchte seine Erfahrungen teilen? 

[NorbertFe 2.050]

Ja auf zwei 2022 dcs. Hab noch keine Probleme festgestellt (aber auch nicht danach gesucht).