2018-05-09 03:54:35 +0000 2018-05-09 03:54:35 +0000
90
90

Windows 2018/05/08更新后的远程桌面连接错误---CredSSP更新后的CVE-2018-0886

在Windows更新后，当我尝试使用远程桌面连接连接到服务器时，得到这个错误。

当阅读链接提供的错误信息时，似乎是因为2018/05/08的一次更新：

2018年5月8日 2018年5月8日 一次更新将默认设置从Vulnerable改为Mitigated

相关的微软知识库编号为CVE-2018-0886

有解决方法吗？
来源

答案 (9)

39
39
39
2018-05-09 04:21:59 +0000

我找到了一个解决方案。正如帮助链接中描述的那样，我试着从2018/05/08更新后回滚，改变这个组策略的值：

  • 运行gpedit. msc

  • 计算机配置 -> 管理模板 -> 系统 -> Credentials Delegation -> Credentials Delegation -> Encryption Oracle Remediation

把它改成Enable，在保护级别中，改回Vulnerable。我希望微软能尽快解决这个问题，这样我就可以把设置恢复到推荐的减弱。
来源
21
21
21
2018-05-10 09:43:04 +0000

(以问题作者的名义发布了一个答案)_.

如同某些答案一样，这个错误的最佳解决方案是将服务器和客户端都更新到2018-05-08更新的版本。
来源
12
12
12
2018-05-09 07:53:32 +0000

另一种方法是在MS Store中安装微软远程桌面客户端 - https://www.microsoft.com/en-us/store/p/microsoft-remote-desktop/9wzdncrfj3ps

来源
6
6
6
2018-05-10 06:04:59 +0000

这个问题只发生在我的Hyper-V虚拟机上，远程连接到物理机是没有问题的。

进入这台电脑→系统设置→服务器上的高级系统设置，然后我通过取消选中目标虚拟机 “只允许从运行远程桌面的计算机上连接，并进行网络级认证（推荐）"来解决这个问题。
来源
3
3
3
2018-05-10 15:06:51 +0000

按照ac19501的回答，我创建了两个注册表文件，这样做比较容易：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
@=""
"AllowEncryptionOracle"=dword:00000002

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
来源
2
2
2
2018-05-10 15:08:41 +0000

在打印屏幕上更新GPO的例子。 根据答案 “reg添加 "HKLM/f/v AllowEncryptionOracle/t REG/DWORD/d 2” 打印屏幕 关键路径: Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters 值名。AllowEncncryptionOracle 值数据: 2
来源
1
1
1
2018-05-09 17:43:10 +0000

如果你可以访问命令行（我们的盒子上有一个SSH服务器），另一个选择是在命令行中运行 “sconfig.cmd"。你会得到一个像下面这样的菜单。

选择选项7，打开所有客户端，不只是安全的。看来对我们来说，问题是我们的客户端系统已经更新了新的安全系统，但我们的服务器盒却迟迟没有更新。我建议你先更新，然后再打开这个安全设置。
来源
1
1
1
2018-05-10 14:35:23 +0000

卸载：  

  • 适用于Windows 7和8.1。 在未打补丁的服务器上，它让他们在没有他们的情况下进入。
来源
1
1
1
2018-05-10 11:02:13 +0000

对于服务器来说，我们也可以通过Remote PowerShell来改变设置（假设WinRM启用了等）

$Server = remoteHostName
Invoke-Command -ComputerName $Server -ScriptBlock {(Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)} -Credential (Get-Credential)

现在，如果这个设置是由域GPO管理的，有可能会恢复，所以需要检查GPO。但为了快速修复，这个方法很管用。

参考。 https://www.petri.com/disable-remote-desktop-network-level-authentication-using-powershell

来源