1.3K
En marzo de 2018, Microsoft lanzó una actualización de seguridad que corrige una vulnerabilidad de ejecución remota de código en el Protocolo de proveedor de soporte de seguridad de credenciales (CredSSP). Esta vulnerabilidad (CVE-2018–0886) permite a un atacante ejecutar de forma remota código arbitrario en un host Windows vulnerable con un puerto RDP abierto (TCP/3389). Cualquier aplicación que haya utilizado el proveedor CredSSP para la autenticación puede ser vulnerable a este tipo de ataque. En mayo de 2018, se lanzó una actualización «2018-05 Security only/Monthly Rollup». Bloquea la conexión RDP a computadoras con una versión afectada de CredSSP.
Cuando intenta conectarse a una computadora remota con una versión vulnerable de CredSSP de Windows 10/Windows Server 2016, recibe el error de conexión de escritorio remoto:
Se ha producido un error de autenticación.
La función no es compatible.
Computadora remota: nombre de host
Esto podría deberse a la remediación del oráculo de cifrado de CredSSP.Para obtener más información, consulte el enlace.
En Windows 7, el error de CredSSP se ve así:
Se ha producido un error de autenticación.
La función solicitada no es compatible.
Computadora remota: nombre de host
Nota. El protocolo CredSSP (Proveedor de soporte de seguridad de credenciales) es un proveedor de autenticación de Windows integrado que maneja las solicitudes de autenticación de otros servicios y aplicaciones.
Arreglar Esto podría deberse a la remediación del oráculo de cifrado credssp error, debe instalar las últimas actualizaciones de seguridad de Windows en la computadora remota. Puede instalar la última actualización acumulativa para su versión de Windows. Puede descargar la actualización manualmente a través del Catálogo de actualizaciones de Microsoft o instalarla a través de Windows Update o WSUS.
Pista. El error de autenticación de CredSSP aparece solo cuando intenta conectarse a través de RDP desde una computadora en la que están instaladas las últimas actualizaciones de seguridad a una computadora no actualizada (por ejemplo, una computadora que nunca recibe actualizaciones o un dispositivo instalado limpio con Windows 10/ compilación de Windows Server 2016 que se lanzó antes de marzo de 2018).
Existe una solución alternativa que le permite conectarse temporalmente a una computadora con una versión vulnerable de CredSSP. Por ejemplo, realizó una instalación limpia de Windows Server 2016 en una máquina virtual o un host físico y ahora desea conectarse de forma remota al servidor para configurar los ajustes de Windows Update/WSUS e instalar las actualizaciones de seguridad de Windows.
Para hacer esto, debe configurar un parámetro de directiva de grupo especial llamado Remediación de cifrado de Oracle en su computadora desde la cual está estableciendo la conexión de Escritorio remoto.
- Prensa Ganar+Rtipo gpedit.mscy presione Ingresar;
- Vaya a la siguiente sección del Editor de directivas de grupo local: Configuración del equipo > Plantillas administrativas > Sistema > Delegación de credenciales;
- Abra la configuración de la política Remediación de cifrado de Oracle;
- Cambia su estado a Activadoy establecer Vulnerable en el Nivel de protección campo;
- Actualice la configuración de la directiva de grupo con el comando gpupdate:
gpupdate /force
Pista. También puede permitir que su computadora se conecte a un host con versiones vulnerables de CredSSP a través del registro. Ejecute el siguiente comando a través de un símbolo del sistema elevado:
reg add HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters /f /v AllowEncryptionOracle /t REG_DWORD /d 2
Ahora puede conectarse al host remoto a través de RDP e instalar las actualizaciones.
Hay 3 opciones en la política de «Remediación de Oracle de cifrado»:
- Vulnerable: el cliente puede conectarse a equipos vulnerables;
- Mitigado: el cliente no puede conectarse a servidores vulnerables, pero los servidores pueden permitir que los clientes vulnerables se conecten;
- Forzar clientes actualizados: capa de interoperabilidad RDP CredSPP segura.
Si desde una computadora que no tiene instalada la actualización de seguridad CredSPP, no puede conectarse a un host RDP/RDS actualizado con el «Forzar clientes actualizadoshabilitada, puede permitir que el servidor acepte conexiones con una versión afectada de CredSPP. Para hacer esto, debe habilitar la política con el mitigado valor en el servidor. De esta forma, para realizar cambios en el servidor, puede conectarse de forma remota a través de PowerShell con las credenciales de administrador:
Enter-PSSession -ComputerName RDSServer01 -Credential RDSServer01administrator
Y permitir la conexión:
Set-ItemProperty -Path 'HKLM:SoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters' -name "AllowEncryptionOracle" 2 -Type DWord
Otra forma de conectarse rápidamente a un host con una versión vulnerable de CredSSP es deshabilitar Autenticación a nivel de red (NLA) para conexiones RDP. Para hacer esto:
- Abra Propiedades del sistema ejecutando el comando sysdm.cpl;
- Vaya a la pestaña Remoto y deshabilite la opción Permitir conexiones solo desde computadoras que ejecutan Escritorio remoto con autenticación de nivel de red (recomendado
- Guarde sus cambios haciendo clic en Aceptar.
También puede deshabilitar NLA para la conexión RDP mediante el comando de PowerShell:
Set-ItemProperty -Path 'HKLM:SystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -name "UserAuthentication" -Value 0
Ahora podrá conectarse al host remoto a través de RDP, pero esta no es una solución de seguridad. Después de eso, debe ir a Configuración> Actualización y seguridad> Actualización de Windows (puede ir a esta sección ejecutando el comando ms-settings: windowsupdate). Clickea en el Buscar actualizaciones botón. Espere a que Windows descargue e instale las últimas actualizaciones de seguridad.
Aquí recopilamos enlaces directos para descargar actualizaciones de MSU (actualizaciones solo de seguridad) que corrigen la vulnerabilidad CredSSP para versiones anteriores de Windows:
- Windows Server 2016 y Windows 10 LTSB: KB4103723
- Windows Server 2012 R2 y Windows 8.1 — KB4103715
- Windows Server 2008 R2 SP1 y Windows 7 Service Pack 1: KB4103712
Nota. Las compilaciones antiguas de Windows 10 como 1507 (versión original, RTM) y 1511 no tienen parches de seguridad para corregir la vulnerabilidad de corrección de CredSSP CredSSP Oracle. El hecho es que el período de soporte para estas compilaciones de Windows 10 finalizó en 2018 y no se han lanzado nuevas actualizaciones desde entonces. Actualice su Windows 10 a la última versión disponible.
Después de actualizar, no olvide deshabilitar la política o restablecer el valor de registro de AllowEncryptionOracle a su valor original:
reg add HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters /f /v AllowEncryptionOracle /t REG_DWORD /d 0
Y habilite NLA (si lo deshabilitó antes):
reg add "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TCP" /v UserAuthentication /t REG_DWORD /d 1 /f
En todos los casos, Microsoft siempre recomienda instalar las últimas actualizaciones de Windows tanto en el servidor RDP como en el cliente.
