Kunden die auf ihrem NetScaler Kerberos verwenden, bekommen nach dem Nov. Update ein Problem. Kerberos mit dem NetScaler funktioniert danach nicht mehr.
Microsoft aktiviert mit dem Update einen neuen Security Mechanismus, s. https://support.microsoft.com/en-us/topic/kb5008380-authentication-updates-cve-2021-42287-9dafac11-e0d0-4cb8-959a-143bd0201041, mit dem der NetScaler aktuell nicht umgehen kann.
Folglich funktionieren KCD und Kerberos Impersonation nicht mehr.
Das Deaktivieren der neuen Sicherheitsrichtlinie via Registry Key hilft nicht. Momentan bleibt einzig ein Rollback des Windows Updates auf den Stand 2021-10.
Momentan existiert noch keine Lösung. Bis auf weiteres sollten Kunden das Nov. Update nicht auf den Domain Controllern einspielen, wenn sie Kerberos via NetScaler benötigen.
Sobald eine Lösung existiert, wird dieser Artikel aktualisiert.
UPDATE:
Microsoft hat ein Out-of-Band Update bereitgestellt, welches die genannten Probleme behebt. Dieses Update wird allerdings NICHT via Windows Update verteilt, sondern steht nur im Microsoft Update Catalog zum Download bereit. Es muss also manuell heruntergeladen und auf den Domain Controllern installiert werden. Direkte Download Links sind hier zu finden:
The complete list of out-of-band updates released by Microsoft over the weekend includes:
- Windows Server 2019: KB5008602 — DOWNLOAD
- Windows Server 2016: KB5008601 — DOWNLOAD
- Windows Server 2012 R2: KB5008603 — DOWNLOAD
- Windows Server 2012: KB5008604 — DOWNLOAD
- Windows Server 2008 R2 SP1: KB5008605 — DOWNLOAD
- Windows Server 2008 SP2: KB5008606 — DOWNLOAD