Microsoft разследва сигнали, че актуализацията за сигурност KB5124008 за Windows 11 нарушава отношенията на доверие с домейна (domain trust) при някои корпоративни системи, което пречи на потребителите да се вписват с валидни идентификационни данни за домейна.

Администратори съобщават в Reddit и форумите за въпроси и отговори на Microsoft (Q&A), че засегнатите компютри губят своя защитен канал с Active Directory след инсталиране на обновяването за Windows 11 и рестартиране на устройствата.

Миналата седмица Microsoft потвърди пред BleepingComputer, че е наясно със съобщенията и провежда разследване.

„Microsoft е запозната с тези сигнали и ги разследва. Ще споделим насоки веднага щом са налични“, заявиха от Microsoft пред BleepingComputer.

Въпреки че Microsoft все още не е потвърдила първопричината, докладите сочат, че сривовете са свързани с функцията за сигурност Windows Machine Identity Isolation, особено когато тя е активирана в режим на одит (audit) или принудително прилагане (enforcement).

Доверието към домейна се нарушава след инсталиране на KB5124008

В Windows Active Directory присъединените към домейн компютри използват идентификационни данни на машинния акаунт, за да поддържат защитен канал с контролерите на домейна.

Ако тези локално съхранявани идентификационни данни вече не съвпадат с очакваните от Active Directory, защитеният канал може да откаже. Това може да доведе до съобщения за грешка при доверието към домейна или до уведомление към потребителите, че тяхното потребителско име или парола са неправилни, въпреки че данните им за вход са напълно валидни.

Алекс Търнър, Windows администратор, който докладва за проблема във форумите на Microsoft Q&A, сподели, че работните станции с Windows 11 25H2 са функционирали нормално преди инсталирането на KB5124008. След инсталиране на обновяването обаче устройствата са започнали да срещат грешки при вписване в домейна след рестартиране.

Кешираните идентификационни данни са продължили да работят, докато системите са били офлайн, което показва, че проблемът е свързан с автентикацията в домейна, а не с паролите на потребителите.

Администраторът заяви, че тестовете са показали прекъсване на защитения канал на компютъра с Active Directory и че проблемът може да се възпроизведе надеждно. Деинсталирането на KB5124008 и възстановяването на връзката с домейна възстановяват достъпа, докато повторното инсталиране на обновяването връща проблема отново.

Друг администратор в Reddit съобщи, че 11 от общо около 256 устройства с Windows 11 25H2 Enterprise са загубили доверие към домейна след инсталиране на актуализацията.

Администраторът е установил също така множество неуспешни опити за Kerberos автентикация, последвани от резервни механизми чрез NTLM и Netlogon на засегнатите системи.

Друг администратор сподели, че всяка работна станция с Windows 11 25H2 в тяхната мрежа е започнала да отхвърля валидни данни за достъп до домейна след инсталирането на корекциите.

По-късно Търнър свърза сривовете с настройка за сигурност на Windows, наречена „Machine Identity Isolation“, която според него е била зададена на стойност ‚2‘ (режим на принудително прилагане) след инсталирането на KB5124008.

Друг администратор, разследващ проблема, докладва за същото поведение, заявявайки, че ‚MachineIdentityIsolation‘ е била зададена на ‚2‘ след обновяването и че деактивирането на функцията е спряло Windows да отхвърля LSA тайната на машинния акаунт, без да се налага премахване на KB5124008.

Функцията е част от конфигурацията на Windows за Virtualization-Based Security и Credential Guard и изолира идентификационните данни на машинния акаунт, използвани от присъединените към домейна компютри за автентикация пред Active Directory.

В режим на принудително прилагане Windows премества тайната на машинния акаунт в Credential Guard и премахва копието, съхранявано в LSA.

Настройката може да се управлява чрез следната стойност в системния регистър (Registry):

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"MachineIdentityIsolation"

Някои администратори са възстановили засегнатите системи, като са задали ‚MachineIdentityIsolation‘ на ‚0‘, рестартирали са и след това са възстановили защитения канал на машината чрез PowerShell.

Един от администраторите посочи, че следната команда в PowerShell, изпълнена с администраторски права, е възстановила защитения канал след изключване на функцията:

Test-ComputerSecureChannel -Repair -Credential(Get-Credential)

„След рестартиране трябваше да възстановя защитения канал чрез ‚Test-ComputerSecureChannel -Repair -Credential(Get-Credential)‘. Оттогава компютърът работи, без повече да губи защитения канал“, обяснява Марсел Зендер.

Администраторите обаче трябва да бъдат внимателни с деактивирането на Machine Identity Isolation, тъй като това също може да предизвика подобни проблеми.

Друг администратор предупреди, че промяната на настройката от режим на одит или принудително прилагане към деактивирано състояние е довела до сривове в доверието към домейна в цялата им среда, включително на системи, на които никога не е инсталиран KB5124008.

Документацията на Microsoft също така предупреждава, че ако Machine Identity Isolation е била предварително включена в режим на принудително прилагане, нейното спиране ще наруши автентикацията в домейна и ще изисква устройството да бъде извадено и отново присъединено към домейна.

Microsoft все още не е потвърдила официално дали Machine Identity Isolation е първопричината за сривовете след KB5124008 и не е публикувала официално временно решение.

BleepingComputer ще обнови материала, когато Microsoft предостави допълнителна информация за разследването си.