Errore di connessione al desktop remoto dopo l'aggiornamento di Windows 2018/05/08 - Aggiornamenti CredSSP per CVE-2018-0886

Ho trovato una soluzione. Come descritto nel help link , ho provato a tornare indietro dall'aggiornamento 2018/05/08 cambiando il valore di questa politica di gruppo:

• Run gpedit. msc

• Configurazione computer - > Modelli amministrativi - > Sistema - > Delegazione credenziali - > Crittografia Oracle Remediation

Modificarlo in Enable e nel livello di protezione, tornare a Vulnerable.

Non sono sicuro che possa ridurre il rischio che un aggressore sfrutti la mia connessione. Spero che Microsoft lo corregga presto in modo da poter ripristinare l'impostazione consigliata Mitigata.

Come in alcune risposte, la soluzione migliore per questo errore è quella di aggiornare sia il server che i client alla versione >= l'aggiornamento 2018-05-08 di Microsoft.

Se non è possibile aggiornare entrambi (cioè si può aggiornare solo il client o server) allora si può applicare una delle soluzioni alternative dalle risposte qui sotto, e modificare la configurazione al più presto in modo da ridurre al minimo la durata della vulnerabilità introdotta dalla soluzione alternativa.

Un altro modo è installare il client Microsoft Remote Desktop da MS Store - https://www.microsoft.com/en-us/store/p/microsoft-remote-desktop/9wzdncrfj3ps

Questo problema si verifica solo nella mia Hyper-V VM, e la remotazione su macchine fisiche è OK.

Vai a Questo PC → Impostazioni di sistema → Impostazioni di sistema avanzate sul server e poi l'ho risolto deselezionando la VM di destinazione “consentire connessioni solo da computer che eseguono Remote Desktop con Autenticazione a livello di rete (consigliato)”.

Seguendo la risposta di ac19501 ho creato due file di registro per rendere tutto questo più facile:

rdp_insecure_on.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
@=""
"AllowEncryptionOracle"=dword:00000002

rdp_insecure_off.reg

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]

Aggiornamento su GPO esempio su schermo di stampa.

In base alla risposta “reg aggiungere "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Policies\System\CredSSP\Parameters” /f /v AllowEncryptionOracle /t REG_DWORD /d 2" Schermo di stampa

Key Path: Software ]&003

Nome del valore: AllowEncryptionOracle Dati del valore: 2

Un'altra opzione se si ha accesso alla riga di comando (abbiamo un server SSH in esecuzione sul box) è quella di eseguire “sconfig.cmd” dalla riga di comando. Si ottiene un menu come quello qui sotto:

Scegliete l'opzione 7, e attivatela per tutti i client, non solo in modo sicuro.

Una volta fatto questo, potete accedere al desktop remoto. Sembra che per noi il problema sia stato l'aggiornamento dei nostri sistemi client per la nuova sicurezza, ma le nostre caselle dei server erano indietro con gli aggiornamenti. Suggerirei di ottenere gli aggiornamenti e poi di riattivare questa impostazione di sicurezza.

Disinstallazione:

• Per Windows 7 e 8.1: KB4103718 e/o KB4093114 
• Per Windows 10: KB4103721 e/o   KB4103727  server senza aggiornamenti 

Questo aggiornamento contiene una patch per la vulnerabilità CVE-2018-0886. Su un server non patchato li lascia entrare senza di essi.

Per i server, possiamo anche modificare l'impostazione tramite Remote PowerShell (supponendo che WinRM sia abilitato, ecc…)

$Server = remoteHostName
Invoke-Command -ComputerName $Server -ScriptBlock {(Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)} -Credential (Get-Credential)
``` &001 


Ora, se questa impostazione è gestita da un dominio GPO, è possibile che si inverta, quindi è necessario controllare i GPO. Ma per una rapida soluzione, questo funziona. 


Reference: [ https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell ](https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell)