به‌روزرسانی حیاتی مایکروسافت: رفع مشکل امنیتی کربروس در ویندوز ۱۱

مایکروسافت امروز به‌روزرسانی‌های Patch Tuesday را برای ماه آوریل 2025 منتشر کرد. در ویندوز 10، این به‌روزرسانی‌ها تحت شماره‌های KB5055518، KB5055519 و KB5055521 منتشر شدند. در ویندوز 11 نیز، تحت شماره‌های KB5055523 و KB5055528 منتشر شدند.

در مورد ویندوز 10، مایکروسافت تأیید کرده است که هیچ مشکل شناخته‌شده‌ای برای آخرین نسخه پشتیبانی‌شده ویندوز وجود ندارد، که این یک مورد نادر است. در عین حال، در مورد جدیدترین نسخه ویندوز 11، این غول فناوری اعلام کرده است که یک باگ در احراز هویت Kerberos را برطرف کرده است.

این باگ اجازه نمی‌داد رمزهای عبور به درستی تغییر کنند و منجر به شکست‌های احراز هویت می‌شد زیرا این رمزها به عنوان “قدیمی، غیرفعال یا حذف‌شده” در نظر گرفته می‌شدند. در شرایط عادی، این رمزهای عبور به‌طور خودکار در یک بازه زمانی (به طور پیش‌فرض 30 روز) تغییر می‌کنند.

به دلیل این مشکل، حساب‌های ماشین در Credential Guard نیز غیرفعال شدند زیرا این ویژگی به عملکرد بهینه احراز هویت Kerberos وابسته است. برای کسانی که می‌خواهند بدانند، هنگام استفاده از این ویژگی، اعتبارنامه‌های حساب ماشین برای ایمنی بیشتر از رجیستری به Defender Credential Guard منتقل می‌شوند.

مایکروسافت توضیح می‌دهد: “پس از نصب ویندوز 11 نسخه 24H2، دستگاه‌هایی که از گواهی Identity Update Manager/احراز هویت اولیه با کلید عمومی (PKNIT) استفاده می‌کنند، ممکن است با مشکل چرخش نادرست رمزهای عبور مواجه شوند که منجر به شکست در احراز هویت می‌شود. این مشکل به‌ویژه زمانی رخ می‌دهد که از احراز هویت Kerberos استفاده می‌شود و ویژگی Credential Guard فعال است. توجه داشته باشید که گواهی ماشین با استفاده از مسیر PKINIT یک مورد استفاده خاص است و این مشکل تعداد کمی از دستگاه‌ها در محیط‌های سازمانی را تحت تأثیر قرار می‌دهد.”

با این مشکل، دستگاه‌ها نمی‌توانند هر 30 روز یکبار (فاصله پیش‌فرض) رمز عبور خود را تغییر دهند. به دلیل این شکست، دستگاه‌ها به عنوان قدیمی، غیرفعال یا حذف‌شده در نظر گرفته می‌شوند که منجر به مشکلات احراز هویت کاربر می‌شود.

دستگاه‌های دارای نسخه Windows Home احتمالاً تحت تأثیر این مشکل قرار نمی‌گیرند، زیرا احراز هویت Kerberos معمولاً در محیط‌های سازمانی استفاده می‌شود و در تنظیمات شخصی یا خانگی رایج نیست.

نکته: ویژگی حساب‌های ماشین در Credential Guard که به چرخش رمز عبور از طریق Kerberos وابسته است، تا زمانی که یک راه‌حل دائمی در دسترس قرار گیرد، غیرفعال شده است.

شرکت می‌گوید این مشکل اکنون حل شده است: “این مشکل در به‌روزرسانی امنیتی آوریل 2025 ویندوز (KB5055523) و به‌روزرسانی‌های بعدی برطرف شده است. ما توصیه می‌کنیم جدیدترین به‌روزرسانی را برای دستگاه خود نصب کنید زیرا شامل بهبودها و رفع مشکلات مهمی از جمله این مورد است.”