NetApp CIFS

Auswirkungen der Windows Sicherheitslücke CVE-2022-38023

Im April bzw. Juli wird Microsoft mit Hilfe von Windows Updates die Sicherheitslücke CVE-2022-38023schließen.

Dies wird in 3 Phasen geschehen:

Phase 1 - seit 08.11.2022:

• Seit diesem Tag bereitet Microsoft mit Hilfe von Patches das Schließen der Lücke vor.
• Auf Seiten der Clients wird seit diesem Tag RPC Sealing erzwungen.
• Auf Seiten der Server ist der sogenannte Compatability Mode aktiviert, der mit allen Clients regulär kommunizieren kann, egal ob diese RPC Sealing aktiviert haben oder nicht.
• Auf Seiten der NetApp gibt es keine Einschränkungen bei der Verwendung von CIFS.

Phase 2 - ab 11.04.2023:

Wenn Server ab diesem Tag mit Hilfe der Windows Update Funktion aktualisiert werden, erfolgt eine Anpassung der RPC Sealing Funktion. Diese wird ab dem erfolgten Reboot nach dem Update so eingestellt, dass das Sealing, genau wie bei den Clients, erzwungen wird.

• Das CIFS-Protokoll auf den NetApp-Controllern wird ab der Aktivierung des Updates nicht mehr sauber funktionieren.
• Dieses Problem lässt sich entweder durch das Einspielen eines ONTAP-Updates oder durch das Aktivieren eines Workarounds auf den Domain Controllern umgehen.
• NetApp plant hier ab Mitte April Update für die aktuellen ONTAP Versionen zur Verfügung zu stellen.

Phase 3 - ab 11.07.2023:

Wenn ab diesem Tag auf den Clients und Servern Update eingespielt und aktiviert werden, gibt es keine Möglichkeit eines Workarounds. Auf Seiten der NetApp ist es damit zwingend erforderlich, dass bis zu diesem Tag ein entsprechendes Update eingespielt ist.
Sollten Sie Fragen haben oder Unterstützung beim Update ihrer NetApp oder dem Einspielen des Workarounds benötigen, sprechen sie uns an.

Workaround:

Mit Hilfe des unten aufgeführten Registry-Values können die Server in den Phasen 1 und 2 auf Compatability Mode gesetzt und damit die Funktionalität von CIFS gewährleistet werden.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSeal
Um Compatibility-Mode zu aktivieren muss der Key auf 1 gesetzt werden.

Der offizielle Bericht von Microsoft findet sich hier:
CVE-2022-38023 - Sicherheitsanfälligkeit in Netlogon RPC bezüglich Rechteerweiterungen