研究人員發現Windows伺服器存在PetitPotam漏洞，遠端攻擊者可利用遠端檔案系統加密(EFSRPC)協定強制AD伺服器向惡意伺服器執行NTLM身分驗證，並從中竊取資訊，進而控制整個AD網域。
影響版本：
- Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for x64-based Systems Service Pack 2
- Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2012
- Windows Server 2012 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2016
- Windows Server 2016 (Server Core installation)
- Windows Server 2019
- Windows Server 2019 (Server Core installation)
- Windows Server, version 2004 (Server Core installation)
- Windows Server, version 20H2 (Server Core Installation)
建議措施：
目前微軟官方尚未針對此漏洞釋出更新程式，請參考以下步驟採取緩解措施，並持續留意更新程式釋出情形：
- 針對AD伺服器啟用身分驗證延伸保護措施(Extended Protection for Authentication, EPA)，並禁用HTTP。
- 開啟Internet Information Services (IIS)管理員→站台→CertSrv→驗證→Windows驗證→將選項設定為「需要」。
- 開啟Internet Information Services (IIS)管理員→站台→<CA Name>-CES_Kerberos→驗證→Windows驗證→將選項設定為「需要」。
- 在UI中啟用EPA後，CES建立之Web.config文件位於<%windir%>\systemdata\CES\<CA Name>_CES_Kerberos\web.config，請於web.config檔中將<extendedProtectionPolicy>設為Always。
- 開啟Internet Information Services (IIS)管理員→站台→CertSrv→SSL設定→勾選「需要SSL」，以限制僅能使用HTTPS連線。
- 重新啟動IIS，以使上述設定生效。
本文轉載自NCCST。