IT之家 5 月 17 日消息，據(jù) Neowin 報道，微軟使用其最新的“星期二補丁”更新修補了在 CVE-2022-26925 下跟蹤的 Windows 本地安全機構 (LSA) 欺騙漏洞。高嚴重性漏洞使未經(jīng)身份驗證的攻擊者能夠匿名調(diào)用方法并強制域控制器 (DC) 通過 NTLM 對其進行身份驗證。在最壞的情況下，這可能會導致特權提升和攻擊者控制整個域。

詳細說明此漏洞很重要，因為美國網(wǎng)絡安全和基礎設施安全局 (CISA) 已要求聯(lián)邦民事執(zhí)行部門機構 (FCEB) 應在三周內(nèi)安裝這些更新，以保護自己免受此攻擊面和其他攻擊。但是，它現(xiàn)在已刪除此要求，因為最新的“星期二補丁”更新在安裝在 DC 上時也會導致身份驗證問題。

這些問題主要是由 Windows Kerberos 和 Active Directory 域服務的兩個補丁引起的，分別跟蹤為 CVE-2022-26931 和 CVE-2022-26923。由于無法在要安裝的補丁之間進行選擇，CISA 不再鼓勵 IT 管理員在 DC 上安裝 5 月“星期二補丁”。公告上的注釋如下：

“在客戶端 Windows 設備和非域控制器 Windows 服務器上安裝 2022 年 5 月 10 日發(fā)布的更新不會導致此問題，仍然強烈建議。此問題僅影響安裝在用作域控制器的服務器上的 2022 年 5 月 10 日更新。組織應繼續(xù)將更新應用到客戶端 Windows 設備和非域控制器 Windows 服務器?！?/p>

目前，微軟提供了一種涉及手動映射證書的解決方法。該公司還強調(diào)，應用任何其他緩解措施可能會對組織的安全狀況產(chǎn)生負面影響。

鑒于 CISA 不鼓勵 FCEB 完全在 Windows Server DC 上安裝 5 月“星期二補丁”更新，微軟可能希望盡快推出更永久的修復程序。