Erreur de connexion au bureau à distance après la mise à jour de Windows 2018/05/08 - Mises à jour du CredSSP pour CVE-2018-0886

J'ai trouvé une solution. Comme décrit dans le help link , j'ai essayé de revenir en arrière à partir de la mise à jour 2018/05/08 en changeant la valeur de cette politique de groupe :

• Run gpedit. msc

• Computer Configuration -> Administrative Templates -> System -> Credentials Delegation -> Encryption Oracle Remediation

Changez-le en Enable et en niveau de protection, revenez en Vulnerable.

Je ne suis pas sûr que cela puisse réduire le risque qu'un attaquant exploite ma connexion. J'espère que Microsoft corrigera cela rapidement afin que je puisse rétablir le paramètre recommandé Mitigé.

Comme dans certaines réponses, la meilleure solution pour cette erreur est de mettre à jour à la fois le serveur et les clients à la version >= la mise à jour 2018-05-08 de Microsoft.

Si vous ne pouvez pas mettre à jour les deux (c'est-à-dire que vous pouvez seulement mettre à jour le client ou le serveur) alors vous pourriez appliquer l'une des solutions de contournement des réponses ci-dessous, et changer la configuration dès que possible afin de minimiser la durée de la vulnérabilité introduite par la solution de contournement.

Un autre moyen consiste à installer le client Microsoft Remote Desktop à partir de MS Store - https://www.microsoft.com/en-us/store/p/microsoft-remote-desktop/9wzdncrfj3ps

Ce problème ne se produit que dans ma VM Hyper-V, et le transfert vers des machines physiques est OK.

Allez sur This PC → System Settings → Advanced System Settings on the server and then I solved it by unchecking target VM “allow connections only from computers running Remote Desktop with Network Level Authentication (recommended)”.

Suite à la réponse d'ac19501, j'ai créé deux fichiers de registre pour faciliter les choses :

rdp_insecure_on.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
@=""
"AllowEncryptionOracle"=dword:00000002

rdp_insecure_off.reg

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]

Mise à jour de l'exemple GPO sur l'écran d'impression.

Basé sur la réponse “reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters” /f /v AllowEncryptionOracle /t REG_DWORD /d 2" Print Screen

Key Path : Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters Value Name : AllowEncryptionOracle Données de la valeur : 2

Une autre option si vous avez accès à la ligne de commande (nous avons un serveur SSH qui tourne sur la boîte) est de lancer “sconfig.cmd” depuis la ligne de commande. Vous obtenez un menu comme ci-dessous : Choisissez l'option 7, et activez-la pour tous les clients, pas seulement pour les clients sécurisés. Il semble que pour nous, le problème soit que nos systèmes clients ont été mis à jour pour la nouvelle sécurité, mais que nos serveurs ont pris du retard sur les mises à jour. Je vous suggère d'obtenir les mises à jour et de réactiver ce paramètre de sécurité.

Désinstallation :

• Pour Windows 7 et 8.1 : KB4103718 et/ou KB4093114&nbsp ;
• Pour Windows 10: KB4103721 et/ou  KB4103727&nbsp ; serveur sans mises à jour&nbsp ;

Cette mise à jour contient un correctif pour la vulnérabilité CVE-2018-0886. Sur un serveur non corrigé, elle les laisse entrer sans eux.

Pour les serveurs, nous pouvons également modifier le paramètre via Remote PowerShell (en supposant que WinRM est activé, etc…)

$Server = remoteHostName
Invoke-Command -ComputerName $Server -ScriptBlock {(Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)} -Credential (Get-Credential)

Maintenant, si ce paramètre est géré par une GPO de domaine, il est possible qu'il revienne, vous devez donc vérifier les GPO. Mais pour une solution rapide, cela fonctionne.

Reference : https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell