Microsoft a publié début novembre les patchs de sécurité pour ses environnements Windows Servers. Un dysfonctionnement majeur a été découvert sur ces patchs, dont voici les détails.

Impact

Le mécanisme de délégation Kerberos (S4u2self) ne fonctionne plus. Si une application front-end effectue une authentification Kerberos sur un backend en utilisant un compte de délégation, cette authentification échoue, rendant l’application inacessible. Ce mécanisme de Single Sign On Kerberos est très fréquemment utilisé par des reverse proxies (F5, Rohde &Schwarz …) ou passerelles applicatives (Vmware Workspace One, Citrix …).

Environnements concernés

• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2
• Windows Server 2012
• Windows Server 2008 R2 SP1
• Windows Server 2008 SP2

Identifiants des patchs

Afin de vous permettre d’identifier les patch à ne pas installer, ou à désinstaller si vous etes impactés, voici leurs identifiants :

• KB5007206 – Windows Server 2019
• KB5007192 – Windows Server 2016
• KB5007247 – Windows Server 2012 R2
• KB5007260 – Windows Server 2012
• KB5007236 – Windows Server 2008 R2 SP1
• KB5007263 – Windows Server 2008 SP2

Recommandations

Microsoft n’as pas encore publié de correctif pour ce problème.

Le problème vient de la signature incorrecte des tickets Kerberos en délégation S4u2self générés par des controleurs de domaine après l’application des derniers patchs.

Toutefois nous vous recommandons d’étudier l’impact sur votre environnement avant de patcher les controleurs de domaine.

Si vous utilisez l’authentification par délégation Kerberos sur des applications, nous vous invitons à reporter le patching des controleurs de domaine.

e-Xpert Solutions vous recommande vivement de patcher vos autres environnement Windows Server.

https://esas.e-xpertsolutions.com/public/share/lw_71iNDo_11vK6E0MHHEwXxgWgPPyoTRekez7__HrvIEkGBIO5Gsa–rp2saLXviWDbw8WJiHwrQOuSbBFceYEhAf7HrxST8w5od_hMMwQCv__qelN-S4IPkHRBlm1fzpjU-M9yVSayaOJmfJj7R8WqRAtlCrvCvLMVGC84Tkk=

Comme tous les ans, Apple va publier les nouvelles versions des différents systèmes d’exploitation pour toutes ses plateformes. Certaines fonctionnalités changent, notamment pour l’enrôlement « utilisateur » avec le mécanisme Declarative Device Enrollment. Cette approche, adaptée aux contextes « BYOD », nécessite de reconfigurer le process d’enrôlement. Si le sujet vous intéresse, n’hésitez pas à nous contacter.

Le point le plus important pour tous les clients On Premise est de s’assurer que la version de Workspace One UEM actuellement déployée dans votre infrastructure est dans la liste des versions supportées. Notez également qu’un patch sera nécessaire pour certaines versions. Voici un extrait d’article de VMWare :

Patch Version

Coming soon

Coming soon

20.11.0.32

21.2.0.16

All versions

All versions

Pour plus d’informations et détails sur les changements apportés par Apple sur les releases 2021, veuillez consulter l’article https://docs.vmware.com/en/VMware-Workspace-ONE-UEM/services/GettingReadyForAppleReleases/GUID-GettingReadyForAppleReleases.html

Pour toute assistance pour les mises à niveau, n’hésitez pas à nous solliciter.

Totemo annonce la fin de vie et l’arrêt du support pour le fonctionnalité PushedPDF de la solution de sécurisation des échanges mails totemomail. La date de fin de support annoncée est le 31 Aout 2022.

L’upgrade des installation totemomail utilisant ce module ne sont plus possibles, il faut absolument migrer vers la solution RegisteredEnvelope en remplacement de PushedPDF. Si vous utilisez ce module, n’hésitez pas à vous rapprocher de nous pour en savoir plus sur la migration.

Le 22 avril dernier, la version 5.3 de device Control est sortie. Quelques points a détailler :

• Quelques mises à niveau sont toujours possibles depuis 5.x, directement dans cette version
• Concernant Mac OS, la mise à jour est importante et apporte un management centralisé beaucoup plus simple et permet d’avoir une GUI sur le poste client.
• Le serveur SQL 2008 n’est plus supporté
• Visual C++ 2017 mandatory
• Attention, si vous venez d’une version inférieure à la 5.14, il y a une nouvelle classe audio games ( disable les micros par default)

Version 5.3 :
https://forums.ivanti.com/s/article/Ivanti-Device-Application-Control-5-3-Download

Release note :
https://help.ivanti.com/ht/help/en_US/IDAC/5.3/02_107_EndpointSecurity_ReleaseNotes.pdf

Procédure de mise à niveau:
https://help.ivanti.com/ht/help/en_US/IDAC/5.3/02_102_EndpointSecurity_SetupGuide.pdf