Windows Active Directory-Domänencontrollerroller Ereignis-ID 35 & 37

Mit der Installation des Windows Update 2021-11 oder 2021-12 erscheint plötzlich die Fehlermeldungen:

Das Schlüsselverteilungscenter (Key Distribution Center, KDC) hat ein Ticket-Granting-Ticket (TGT) von einem anderen KDC (GI-SRV-AD1) erhalten, das kein PAC-Attributfeld enthielt. Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2173051.

Das Schlüsselverteilungscenter (Key Distribution Center, KDC) hat ein Ticket gefunden, das keine Informationen über das Konto enthielt, das das Ticket angefordert hat, während eine Anforderung für ein anderes Ticket verarbeitet wurde. Dies verhinderte die Ausführung von Sicherheitsüberprüfungen und könnte zu Sicherheitsrisiken führen. Weitere Informationen finden Sie unter „https://go.microsoft.com/fwlink/?linkid=2173051“.

Im Windows Update 2021-11 war ein Bug, der zu Anmeldeproblemen im AD führen kann. Dafür gab es ein extra Update. Dieses Update ist auch im Update 2021-12 enthalten bwz wenn man 2021-11 überspringt, so komme es nicht zu diesem Fehler.

Bei den Windows Active Directory-Domänencontrollerroller Meldungen Ereignis-ID 35 & 37 handelt es sich nur um eine Warung.

Im Laufe der nächsten 6-8 Monate soll ein lange bestehender Bug in der Active Directory-Domänencontrollerroller Anmeldung behoben werden, wodurch sich Einbrecher unbeschränkten Zugang zur Domaine erstellen können.

Der Umstellung soll in mehreren Schritten durchgeführt werden. Der Weg ist in diesem Artikel von Microsoft beschrieben:

KB5008380 – Authentifizierungsupdates (CVE-2021-42287) (microsoft.com)

Allerdings weicht die Beschreibung gleich von Anfang an von der Realität ab.

Lt. Beschreibung sollte es den Registrierungsunterschlüssel

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Kdc
PacRequestorEnforcement geben, ist aber nicht vorhanden, wenn man nicht das Update 2021-11 installiert hat, sondern gleich das Update 2021-12

Dieser Key sollte eigentlich das Ereignis 35&37 auslösen. Der Key wurde aber mit Windows Update 2021-12 oder dem separaten Update wieder entfernt.

Was aber scheinbar egal ist. Auf alle Fälle sollten die Fehler in der Windows Ereignisanzeige nach 1-2 Wochen verschwinden. Voraussetzung ist jedoch, dass auf allen AD Controllern das Update installiert ist.

Wir beobachten mal, was die nächsten 2 Wochen bringen. Zum Update Stand 2021-12 ist der PacRequestorEnforcement Key nicht vorhanden.