美国网络安全和基础设施安全局：域控制器不要安装微软 Windows 5 月“星期二补丁”更新
最新 5 月 17 日消息，据 Neowin 报道，微软使用其最新的"星期二补丁"更新修补了在 CVE-2022-26925 下跟踪的 Windows 本地安全机构 (LSA) 欺骗漏洞。高严重性漏洞使未经身份验证的攻击者能够匿名调用方法并强制域控制器 (DC) 通过 NTLM 对其进行身份验证。在最坏的情况下，这可能会导致特权提升和攻击者控制整个域。
详细说明此漏洞很重要，因为美国网络安全和基础设施安全局 (CISA) 已要求联邦民事执行部门机构 (FCEB) 应在三周内安装这些更新，以保护自己免受此攻击面和其他攻击。但是，它现在已删除此要求，因为最新的"星期二补丁"更新在安装在 DC 上时也会导致身份验证问题。
这些问题主要是由 Windows Kerberos 和 Active Directory 域服务的两个补丁引起的，分别跟踪为 CVE-2022-26931 和 CVE-2022-26923。由于无法在要安装的补丁之间进行选择，CISA 不再鼓励 IT 管理员在 DC 上安装 5 月"星期二补丁"。公告上的注释如下：
"在客户端 Windows 设备和非域控制器 Windows 服务器上安装 2022 年 5 月 10 日发布的更新不会导致此问题，仍然强烈建议。此问题仅影响安装在用作域控制器的服务器上的 2022 年 5 月 10 日更新。组织应继续将更新应用到客户端 Windows 设备和非域控制器 Windows 服务器。"
目前，微软提供了一种涉及手动映射证书的解决方法。该公司还强调，应用任何其他缓解措施可能会对组织的安全状况产生负面影响。
鉴于 CISA 不鼓励 FCEB 完全在 Windows Server DC 上安装 5 月"星期二补丁"更新，微软可能希望尽快推出更永久的修复程序。
