Erro de ligação remota ao desktop após a actualização do Windows 2018/05/08 - Actualizações CredSSP para CVE-2018-0886

Encontrei uma solução. Como descrito no link de ajuda , tentei retroceder da actualização 2018/05/08 alterando o valor da política deste grupo:

• Run gpedit. msc

• Configuração do computador -> Modelos administrativos -> Sistema -> Delegação de Credenciais -> Encriptação Remediação Oracle

Altere para Enable e no nível de Protecção, altere de novo para Vulnerable.

Não tenho a certeza se pode fazer retroceder qualquer risco de um atacante explorar a minha ligação. Espero que a Microsoft corrija isto em breve para que eu possa restabelecer a configuração para a configuração recomendada Mitigated.

Como em algumas respostas, a melhor solução para este erro é actualizar tanto o servidor como os clientes para a versão >= a actualização 2018-05-08 da Microsoft.

Se não conseguir actualizar ambos (ou seja, só pode actualizar o cliente ou servidor) então poderá aplicar uma das soluções a partir das respostas abaixo, e alterar a configuração de volta o mais rapidamente possível, de modo a minimizar a duração da vulnerabilidade introduzida pela solução.

Outra forma é instalar o cliente Microsoft Remote Desktop a partir do MS Store - https://www.microsoft.com/en-us/store/p/microsoft-remote-desktop/9wzdncrfj3ps

Este problema só acontece na minha VM Hyper-V, e remotar para máquinas físicas está OK.

Vá a This PC → System Settings → Advanced System Settings on the server and then I solved it by uncheck target VM “allow connections only from computers running Remote Desktop with Network Level Authentication (recommended)”.

Na sequência da resposta do ac19501, criei dois ficheiros de registo para facilitar esta tarefa:

rdp_insecure_on.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
@=""
"AllowEncryptionOracle"=dword:00000002

rdp_insecure_off.reg

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]

Update on GPO example on print screen.

Based on the answer “reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters” /f /v AllowEncryptionOracle /t REG_DWORD /d 2" Print Screen

Key Path: Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters Value Name: AllowEncryptionOracle Dados de valor: 2

Outra opção se tiver acesso à linha de comando (temos um servidor SSH a correr na caixa) é correr “sconfig.cmd” a partir da linha de comando. Obtém um menu como o que se segue:

Escolha a opção 7, e ligue-a para todos os clientes, e não apenas para os seguros.

Uma vez feito isso, pode entrar remotamente no ambiente de trabalho. Parece que para nós o problema foi que os sistemas dos nossos clientes foram actualizados para a nova segurança, mas os nossos servidores estavam atrasados nas actualizações. Sugiro que obtenhamos as actualizações e depois liguemos novamente esta configuração de segurança.

Desinstalar:

• Para Windows 7 e 8.1: KB4103718 e/ou KB4093114 
• Para Windows 10: KB4103721 e/ou  KB4103727  servidor sem atualizações 

Esta atualização contém um patch para vulnerabilidade CVE-2018-0886. Num servidor não corrigido deixa-os entrar sem eles.

Para servidores, também podemos alterar a configuração via Remote PowerShell (assumindo que o WinRM está activado, etc…)

$Server = remoteHostName
Invoke-Command -ComputerName $Server -ScriptBlock {(Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)} -Credential (Get-Credential)

Agora, se esta configuração for gerida por um GPO de domínio, é possível que reverta, pelo que necessita de verificar os GPO. Mas para uma rápida correcção, isto funciona.

Referência: https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell