विंडोज 2018/05/08 को अपडेट करने के बाद दूरस्थ डेस्कटॉप कनेक्शन त्रुटि - CVE-2018-0886 के लिए क्रेडेंशियल अपडेट

Question

विंडोज अपडेट के बाद, मुझे यह त्रुटि मिलती है जब रिमोट डेस्कटॉप कनेक्शन का उपयोग करके सर्वर से कनेक्ट करने का प्रयास किया जाता है।

जब त्रुटि संदेश द्वारा दिए गए लिंक को पढ़ें , तो यह 2018/05/08 पर एक अपडेट के कारण लगता है:

8 मई, 2018

कमजोर करने के लिए डिफ़ॉल्ट सेटिंग को मिटिगेट में बदलने के लिए एक अद्यतन।

संबंधित Microsoft नॉलेज बेस नंबर CVE-2018-0886 में सूचीबद्ध हैं।

क्या इसका कोई समाधान है?

Comments

(मेटा: अपडेट पोस्ट के अंत में जाते हैं, यह सुनिश्चित करने के लिए कि वे अभी भी नए पाठकों के लिए समझ में आते हैं, और जवाब उत्तर में जाते हैं, प्रश्नों में विलय नहीं किया जाता है। धन्यवाद)।

— halfer

Answer 1

(प्रश्न लेखक की ओर से जवाब पोस्ट किया गया) ।

जैसा कि कुछ उत्तरों में, इस त्रुटि का सबसे अच्छा समाधान सर्वर और क्लाइंट दोनों को Microsoft से संस्करण> = 2018-05-08 अपडेट में अपडेट करना है।

यदि आप दोनों को अपडेट नहीं कर सकते (यानी आप केवल क्लाइंट या सर्वर को अपडेट कर सकते हैं ) तो आप नीचे दिए गए उत्तरों में से किसी एक कार्यपट्टी को लागू कर सकते हैं, और कॉन्फ़िगरेशन को वापस ASAP में बदल सकते हैं ताकि आप वर्कअराउंड द्वारा शुरू की गई भेद्यता की अवधि को कम कर सकें।

Comments

यह उन दुर्लभ मामलों में से एक है जहां स्वीकृत उत्तर भी सबसे अच्छा उत्तर है। अन्य उत्तर आपको CVE-2018-0886 के लिए असुरक्षित छोड़ देते हैं: "एक दूरस्थ कोड निष्पादन भेद्यता क्रेडेंशपी के अप्रकाशित संस्करणों में मौजूद है। एक हमलावर जो इस भेद्यता का सफलतापूर्वक शोषण करता है, वह उपयोगकर्ता क्रेडेंशियल्स को लक्ष्य प्रणाली पर कोड निष्पादित करने के लिए रिले कर सकता है । कोई भी एप्लिकेशन जो क्रेडेंशियल पर निर्भर करता है। प्रमाणीकरण के लिए इस प्रकार के हमले की चपेट में आ सकते हैं। "

— ब्रियम

हमें एक आसान, गैर-इनवेसिव वर्कअराउंड मिला - हम अपने सर्वर में से एक जम्प बॉक्स के रूप में आरडीपी का उपयोग करने में सक्षम थे

— बकाया

किसी भी विचार में भेद्यता कितनी गंभीर है यदि क्लाइंट और सर्वर दोनों एक ही स्थानीय नेटवर्क में हैं और केवल एक इंटरनेट के बिना किसी खुले बंदरगाहों के पीछे राउटर के संपर्क में हैं?

— केवकोंग

@ केवकोंग: यह एक विकी उत्तर है जो मैंने प्रश्न लेखक के लिए पोस्ट किया है। आप चाहें तो उन्हें प्रश्न के नीचे पिंग कर सकते हैं।

— 18'18

हाय @Peter: आपके संपादन के लिए धन्यवाद। ज्यादातर उनके साथ सहमत हैं, लेकिन मेटा-परिचय आवश्यक है लाइसेंस के नियमों के भीतर रहने के लिए IMO। स्टैक ओवरफ्लो पर मेरे पास इनमें से कई सौ हैं, और मेटा से दृश्य यह है कि न केवल इसे बने रहने की आवश्यकता है, लेकिन कुछ लोगों को लगता है कि यह अपर्याप्त है, और ओपी का नाम होना चाहिए। यह पूरी तरह से देखने के लिए अधिक कर्षण नहीं जीता, लेकिन यह दर्शाता है कि किस तरह से सबसे अच्छा लक्ष्य हासिल किया जाता है। लेकिन, मूल रूप से, हम लेखकों को मिटा नहीं सकते। क्या यह बहाल किया जा सकता है?

— halfer

Answer 2

Cmd का उपयोग करके gpedit के लिए वैकल्पिक विधि:

reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /f /v AllowEncryptionOracle /t REG_DWORD /d 2

Comments

Lifesaver। विंडोज 10 होम का उपयोग करने वालों के लिए, यह सही काम करना चाहिए। बस cmd को प्रशासक के रूप में चलाना याद रखें।

यह कमांड विंडोज 8. पर काम कर रहा है। धन्यवाद

— जयराथ

दरअसल समस्या यह थी कि अपडेट अभी भी सर्वर पर इंस्टॉल किए जा रहे थे, इसलिए कोई कनेक्शन संभव नहीं था। बस इंतजार किया और यह काम कर गया। serverfault.com/questions/387593/…

— tobiak777

@pghcpa इस पर ध्यान न दें कि, कमांड लापता रजिस्ट्री नोड बनाता है और आपके लिए पैरामीटर सम्मिलित करता है। यह वास्तव में जीवन रक्षक है यदि आप सर्वर को सुरक्षा पैच के साथ अपडेट नहीं कर सकते हैं जो इस समस्या का कारण बना।

— गेरिकली लुकासी

मुझे नहीं पता क्यों, लेकिन इसके काम करने की सराहना करते

— Dian

Answer 3

मुझे एक उपाय मिला। जैसा कि सहायता लिंक में वर्णित है , मैंने इस समूह नीति के मूल्य को बदलकर अद्यतन 2018/05/08 से वापस करने की कोशिश की:

• Gpedit.msc चलाएं

• कंप्यूटर कॉन्फ़िगरेशन -> प्रशासनिक टेम्प्लेट -> सिस्टम -> क्रेडेंशियल प्रतिनिधि -> एन्क्रिप्शन ओरेमेडिशन

इसे सक्षम और सुरक्षा स्तर में बदलें, वापस बदलकर कमजोर कर दें ।

मुझे यकीन नहीं है कि यह मेरे कनेक्शन का फायदा उठाने वाले हमलावर के किसी भी जोखिम को रोलबैक कर सकता है। मुझे उम्मीद है कि Microsoft इसे जल्द ही ठीक कर देगा ताकि मैं मिटिगेट की सिफारिश करने के लिए सेटिंग को पुनर्स्थापित कर सकूं ।

Comments

मेरे सिस्टम में "एन्क्रिप्शन Oracle रिमेडियेशन" के लिए वह विकल्प नहीं है, यह एक विंडोज़ 2012 सर्वर है। ऐसा लगता है कि यह 5/8 सुरक्षा अद्यतन को लागू करता है।

मैंने पाया कि हमारे लिए ग्राहक "मुद्दा" था। सर्वरों में नवीनतम अपडेट नहीं थे। क्लाइंट्स के पास नवीनतम अपडेट नहीं था इसलिए वे काम नहीं करेंगे। एक बार सर्वर अपडेट होने के बाद, सब कुछ काम कर गया।

उन लोगों के लिए जो निश्चित नहीं हैं कि कहां से शुरू करें, "gpedit.msc" चलाएं और फिर ऊपर दिए गए निर्देशों का पालन करें।

— ग्लेन लिटिल

यह मेरे विंडोज 10 सिस्टम पर काम नहीं करता है। मैन्युअल रूप से CredSSP रजिस्ट्री कुंजी को अपडेट करने से मुझे कनेक्ट करने की अनुमति मिलती है - जिसे मैं केवल वर्तमान मानक तक मशीन को पैच करने के लिए लंबे समय तक करने का इरादा रखता हूं।

— टॉम डब्ल्यू

Answer 4

MS स्टोर से Microsoft दूरस्थ डेस्कटॉप क्लाइंट स्थापित करने का एक और तरीका है - https://www.microsoft.com/en-us/store/p/microsoft-remote-desktop/9wzdncrfj3ps

Comments

धन्यवाद, आशा है कि यह एक दिन शेयर फ़ोल्डर के बजाय कॉपी / पेस्ट फ़ाइल होगा। केवल पाठ को कॉपी / पेस्ट करने के लिए क्लिपबोर्ड साझा करना है

— Pham X. Bach

विंडोज ऐप स्टोर आरडीपी क्लाइंट के पास अंतर्निहित बहुत सारे अनुकूलन और एकीकरण सुविधाओं का अभाव है, mstsc.exeइसे गंभीरता से लेना मुश्किल है। सुरक्षा दृष्टिकोण से, यह आपको सुरक्षित कनेक्शन के लिए उपयोग किए गए प्रमाण पत्र को देखने की अनुमति नहीं देगा (पिछली बार जब मैंने जाँच की थी), इसमें स्मार्ट-कार्ड समर्थन, मल्टीपल-मॉनीटर स्पैनिंग, ड्राइव रिडायरेक्शन और अन्य का भी अभाव है। Microsoft की अपनी तुलना तालिका से पता चलता है कि यह कितना एनीमिया

— दाई

Answer 5

यह समस्या केवल मेरे हाइपर-वी वीएम में होती है, और भौतिक मशीनों के लिए रीमोट करना ठीक है।

इस पीसी पर जाएं → सिस्टम सेटिंग्स → सर्वर पर एडवांस्ड सिस्टम सेटिंग्स और फिर मैंने इसे अनचेक करके टारगेट किया वीएम को अनचेक करके "नेटवर्क लेवल ऑथेंटिकेशन (अनुशंसित)" के साथ रिमोट डेस्कटॉप चलाने वाले कंप्यूटर से ही कनेक्शन की अनुमति दें।

Comments

हे भगवान। मैंने उस विकल्प को सक्षम किया, के बारे में भूल गया, और 2 घंटे बाद मुझे एहसास हुआ कि यह मुद्दा था। Q

— शफीक अल-शार

Answer 6

Ac19501 के उत्तर के बाद मैंने इसे आसान बनाने के लिए दो रजिस्ट्री फाइलें बनाई हैं:

rdp_insecure_on.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
@=""
"AllowEncryptionOracle"=dword:00000002

rdp_insecure_off.reg

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]

Answer 7

प्रिंट स्क्रीन पर जीपीओ उदाहरण पर अपडेट करें।

उत्तर के आधार पर "reg add" HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ नीतियाँ \ System \ CredSSP \ Parameters "/ f / v AllowEnc एन्क्रिप्शनOracle / t REG_DWORD / d 2"

प्रिंट स्क्रीन

मुख्य पथ: सॉफ़्टवेयर \ Microsoft \ Windows \ CurrentVersion \ नीतियाँ \ System \ CredSSP \ Parameters
मान नाम: AllowEnc एन्क्रिप्शनOracle
मान डेटा: 2

Answer 8

मैं उन्हीं मुद्दों को लेकर आया था। बेहतर उपाय यह होगा कि आप जिस मशीन से जुड़ रहे हैं, उसे कम सुरक्षा स्तर पर फाम एक्स बाच उत्तर का उपयोग करने के बजाय कनेक्ट किया जाए।

हालाँकि, यदि आप किसी कारण से मशीन को अद्यतन नहीं कर सकते हैं तो उसका वर्कअराउंड कार्य करता है।

Comments

आपके उत्तर को गलत समझने के लिए क्षमा करें। हां सबसे अच्छा समाधान अपडेट सर्वर और सभी क्लाइंट को संस्करण> = 2018/05/08 को MS

— Pham X. Bach

Answer 9

आपको सर्वर और सभी क्लाइंट के लिए विंडोज अपडेट इंस्टॉल करना होगा। अपडेट देखने के लिए, https://portal.msrc.microsoft.com/en-us/security-guidance पर जाएं , फिर 2018-0886 CVE की खोज करें और इंस्टॉल किए गए विंडोज के संस्करण के लिए सुरक्षा अपडेट चुनें।

Answer 10

आपको विंडोज अपडेट का उपयोग करके अपने विंडोज सर्वर को अपडेट करना होगा। सभी आवश्यक पैच स्थापित किए जाएंगे। फिर आप रिमोट डेस्कटॉप के माध्यम से अपने सर्वर से फिर से जुड़ सकते हैं।

आपको kb4103725 इंस्टॉल करना होगा

और अधिक पढ़ें: https://support.microsoft.com/en-us/help/4103725/windows-81-update-kb4103725

Comments

उन लोगों के लिए जो अपने रिमोट सर्वर तक पहुंच खो चुके हैं, मैं अभी भी एंड्रॉइड के लिए रिमोट डेस्कटॉप के साथ अपने सर्वर तक पहुंच सकता हूं। फिर आप पैच स्थापित कर सकते हैं और विंडोज क्लाइंट से रिमोट डेस्कटॉप कनेक्शन के साथ समस्या को हल कर सकते हैं।

Answer 11

सर्वर के लिए, हम रिमोट पॉवरशेल के माध्यम से भी सेटिंग बदल सकते हैं (यह मानते हुए कि WinRM सक्षम है, आदि ...)

$Server = remoteHostName
Invoke-Command -ComputerName $Server -ScriptBlock {(Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)} -Credential (Get-Credential)

अब, यदि यह सेटिंग एक डोमेन GPO द्वारा प्रबंधित की जाती है, तो संभव है कि यह वापस आ जाएगी, इसलिए आपको GPO की जांच करने की आवश्यकता है। लेकिन जल्दी ठीक करने के लिए, यह काम करता है।

संदर्भ: https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell

Answer 12

एक अन्य विकल्प यदि आपके पास कमांड-लाइन तक पहुंच है (हमारे पास SSH सर्वर बॉक्स पर चल रहा है) कमांड लाइन से "sconfig.cmd" चलाना है। आपको नीचे जैसा मेनू मिलेगा:

विकल्प 7 चुनें, और इसे सभी ग्राहकों के लिए चालू करें, न कि केवल सुरक्षित।

एक बार जब आप ऐसा कर लेते हैं, तो आप डेस्कटॉप को रिमोट कर सकते हैं। ऐसा लगता है कि हमारे लिए यह समस्या थी कि नई सुरक्षा के लिए हमारे क्लाइंट सिस्टम अपडेट किए गए थे, लेकिन अपडेट पर हमारे सर्वर बॉक्स पीछे थे। मेरा सुझाव है कि अपडेट प्राप्त करना और फिर इस सुरक्षा सेटिंग को वापस चालू करना।

Answer 13

स्थापना रद्द करें:

• विंडोज 7 और 8.1 के लिए: KB4103718 और / या KB4093114 
• विंडोज 10 के लिए: KB4103721 और / या KB4103727 बिना अपडेट के सर्वर 

इस अद्यतन में भेद्यता CVE-2018-0886 के लिए एक पैच होता है। एक गैर-पैच किए गए सर्वर पर यह उनके बिना उन्हें अनुमति देता है।

Comments

सुपर उपयोगकर्ता में आपका स्वागत है! क्या आप बता सकते हैं कि इन KBs को अनइंस्टॉल करने से मदद क्यों मिलेगी?

— बर्टिब

coz इस अद्यतन में भेद्यता CVE-2018-0886 के लिए पैच होते हैं, नॉन पैच सर्वर पर उन्हें बिना उनके लिए देता है

— EXPY