CISA：不要在域控制器上安装 5 月的 Windows Patch Tuesday 更新

微软使用最新的补丁星​​期二更新修补了在CVE-2022-26925下跟踪的 ​​Windows 本地安全机构 (LSA) 欺骗漏洞。高严重性漏洞使未经身份验证的攻击者能够匿名调用方法并强制域控制器 (DC) 通过 NTLM 对其进行身份验证。在最坏的情况下，这可能会导致特权提升和攻击者控制您的整个域。

详细说明此漏洞非常重要，因为美国网络安全和基础设施安全局 (CISA) 已要求联邦民事行政部门机构 (FCEB) 应在三周内安装这些更新，以保护自己免受此攻击面和其他攻击。但是，它现在已删除此要求，因为最新的 Patch Tuesday 更新在安装在 DC 上时也会导致身份验证问题 –我们之前讨论过。

这些问题主要是由 Windows Kerberos 和 Active Directory 域服务的两个补丁引起的，分别跟踪为CVE-2022-26931和CVE-2022-26923。由于无法在要安装的补丁之间进行选择，CISA 不再鼓励 IT 管理员在 DC 上安装 May’s Patch Tuesday。公告上的注释如下：

在客户端 Windows 设备和非域控制器 Windows 服务器上安装 2022 年 5 月 10 日发布的更新不会导致此问题，仍然强烈建议。此问题仅影响安装在用作域控制器的服务器上的 2022 年 5 月 10 日更新。组织应继续将更新应用到客户端 Windows 设备和非域控制器 Windows 服务器。

目前，微软提供了一种涉及手动映射证书的解决方法。它还强烈强调，应用任何其他缓解措施可能会对您组织的安全状况产生负面影响。

鉴于 CISA 不鼓励 FCEB 完全在 Windows Server DC 上安装 May Patch Tuesday 更新，Microsoft可能会希望尽快推出更永久的修复。