Microsoft onderzoekt meldingen dat de Windows 11 KB5124008 beveiligingsupdate problemen veroorzaakt met domeinvertrouwensrelaties op sommige bedrijfsystemen. Hierdoor kunnen gebruikers niet inloggen met geldige domeinreferenties.

Beheerders melden op Reddit en de Q&A-forums van Microsoft dat getroffen computers hun beveiligde verbinding met Active Directory verliezen na installatie van de Windows 11-update en het opnieuw opstarten van de apparaten.

Vorige week bevestigde Microsoft aan BleepingComputer dat ze op de hoogte zijn van de meldingen en een onderzoek zijn gestart.

“Microsoft is op de hoogte van deze meldingen en onderzoekt de situatie. We zullen advies geven zodra het beschikbaar is,” aldus Microsoft tegen BleepingComputer.

Hoewel Microsoft de oorzaak nog niet heeft bevestigd, wijzen rapporten erop dat de problemen verband houden met de Windows Machine Identity Isolation-beveiligingsfunctie, vooral wanneer deze in audit- of afdwingingsmodus staat.

Domeinvertrouwen verbreekt na installeren KB5124008

In Windows Active Directory gebruiken met een domein verbonden computers machinaal accountreferenties om een beveiligde verbinding met domeincontrollers te onderhouden.

Als die lokaal opgeslagen referenties niet meer overeenkomen met wat Active Directory verwacht, kan de beveiligde verbinding falen. Dit kan leiden tot domeinvertrouwensfouten of meldingen dat de gebruikersnaam of het wachtwoord onjuist is, zelfs als de referenties geldig zijn.

Alex Turner, een Windows-beheerder die het probleem op de forums van Microsoft meldde, zei dat Windows 11 25H2-werkstations normaal werkten voordat KB5124008 werd geïnstalleerd. Na installatie van de update begonnen de apparaten echter problemen met domeinlogin te vertonen na een herstart.

Opgeslagen referenties bleven werken terwijl de systemen offline waren, wat aangeeft dat het probleem verband hield met domeinauthenticatie in plaats van de wachtwoorden van de gebruikers.

De beheerder zei dat testen aangaven dat de beveiligde verbinding van de computer met Active Directory was verbroken en dat het probleem consistent kon worden gereproduceerd. Het verwijderen van KB5124008 en het repareren van de domeinrelatie herstelde de toegang, terwijl het herinstalleren van de update het probleem weer liet terugkeren.

Een andere beheerder op Reddit meldde dat 11 van de 256 Windows 11 25H2 Enterprise-apparaten het domeinvertrouwen verloren na het updaten.

De beheerder vond ook talrijke Kerberos-authenticatiefouten, gevolgd door NTLM- en Netlogon-terugvallen op getroffen systemen.

Nog een beheerder meldde dat elke Windows 11 25H2-werkstation op hun netwerk na installatie van de updates geldige domeinreferenties begon te weigeren.

Turner koppelde de problemen later aan een Windows-beveiligingsinstelling genaamd “Machine Identity Isolation”, die volgens hem op ‘2’, of afdwingingsmodus, werd gezet na installatie van KB5124008.

Een andere beheerder die het probleem onderzocht, zag hetzelfde gedrag en vertelde dat ‘MachineIdentityIsolation’ na de update op ‘2’ stond, en dat het uitschakelen van de functie voorkwam dat Windows het LSA-geheim van het machineaccount verwierp zonder dat KB5124008 verwijderd hoefde te worden.

De functie maakt deel uit van de Virtualization-Based Security en Credential Guard-configuratie van Windows en isoleert machinaal accountreferenties die door met een domein verbonden computers worden gebruikt om zich bij Active Directory te authenticeren.

In de afdwingingsmodus verplaatst Windows het geheime machineaccount naar Credential Guard en verwijdert de kopie die in LSA is opgeslagen.

De instelling kan worden beheerd via de volgende registerwaarde:

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]
"MachineIdentityIsolation"

Sommige beheerders hebben getroffen systemen hersteld door ‘MachineIdentityIsolation’ op ‘0’ te zetten, opnieuw op te starten en vervolgens het beveiligde kanaal van de machine te repareren met PowerShell.

Een beheerder zei dat het volgende PowerShell-commando, uitgevoerd als beheerder, het beveiligde kanaal herstelde na het uitschakelen van de functie:

Test-ComputerSecureChannel -Repair -Credential(Get-Credential)

“Na een herstart moest ik het beveiligde kanaal herstellen met ‘Test-ComputerSecureChannel -Repair -Credential(Get-Credential)’. Sindsdien werkt de computer zonder het beveiligde kanaal te verliezen,” legde Marcel Zehnder uit.

Beheerders moeten echter voorzichtig zijn met het uitschakelen van Machine Identity Isolation, omdat dit ook soortgelijke problemen kan veroorzaken.

Een andere beheerder waarschuwde dat het wijzigen van de instelling van audit- of afdwingingsmodus naar uitgeschakeld domeinvertrouwensproblemen veroorzaakte binnen hun omgeving, ook op systemen die KB5124008 nooit hadden geïnstalleerd.

Documentatie van Microsoft waarschuwt ook dat als Machine Identity Isolation eerder in de afdwingingsmodus was ingeschakeld, het uitschakelen daarvan domeinauthenticatie zal verbreken en het apparaat opnieuw moet worden gekoppeld aan het domein.

Microsoft heeft nog niet bevestigd dat Machine Identity Isolation de oorzaak is van de KB5124008-problemen en er is nog geen officiële oplossing gepubliceerd.

BleepingComputer zal het verhaal bijwerken zodra Microsoft meer informatie geeft over het onderzoek.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.