Connection broker en DCOM security vraag

[erwin26]

Mijn vraag:

Ik krijg de volgende melding als ik een nieuwe server wil toevoegen in mijn connection broker:

The server-side authentication level policy does not allow the user DOMAIN\USERID SID (DOMAIN\USERID) from address to activate DCOM server. Please raise the activation authentication level at least to RPC_C_AUTHN_LEVEL_PKT_INTEGRITY in client application.


Relevante software en hardware die ik gebruik:
Server 2019 (broker en de RDP server)

Wat ik al gevonden of geprobeerd heb:

- Er is 1 patch die dit probleem veroorzaakt, patch verwijderen lost het probleem op. Alleen geeft MS aan dat deze patch juist critical is. Verwijderen vind ik dan ook geen optie voor lange termijnen. Ook niet om even kort toe te voegen, want deze melding krijg ik ook als ik verdere beheer wil doen

- Regkey aanpassen die de authenticatie level controle uitzet. Zelfde verhaal als de patch eigenlijk

- "Launch Component Services
Go to Component Services -> Computers -> My Computer and right click on My Computer and select Properties.
On the Default Properties tab, change the Default Authentication Level to “Packet Integrity” or “Packet Privacy” Whatever you choose must be the SAME on the client AND server computer. Generally users are setting this to Packet Integrity and that is our standard recommendation at this time. "

Ook uitgevoerd + herstart van de servers, geen effect. Vervolgens ALL users full control gegeven in die optie, geen effect.

Voor de rest vind ik weinig tot geen informatie over dit probleem voor RDP/broker servers. Wel voor PRTG/Veeam die de zelfde melding geven, maar dat is puur de applicatie.

- Ben domain admin
- Gaat om interne verbindingen
- Windows firewall staat uit in de test

Iemand enige idee hoe we dit kunnen oplossen zonder de security uit te zetten?

[SVMartin]

Launch Component Services
Go to Component Services -> Computers -> My Computer and right click on My Computer and select Properties.
On the Default Properties tab, change the Default Authentication Level to “Packet Integrity” or “Packet Privacy” Whatever you choose must be the SAME on the client AND server computer. Generally users are setting this to Packet Integrity and that is our standard recommendation at this time.

Bron: https://support.softwaret...42%29-technical-resources

Dit was overigens mijn tweede Google hit bij het zoeken naar de foutmelding, die zegt immers al wat je moet doen: Please raise the activation authentication level at least to RPC_C_AUTHN_LEVEL_PKT_INTEGRITY in client application.

[MAX3400]

Over welk KB-artikel gaat het? Dat praat vaak een heel stuk makkelijker dan "all users full control" geven

[erwin26]

SVMartin schreef op vrijdag 14 oktober 2022 @ 20:03:
Launch Component Services
Go to Component Services -> Computers -> My Computer and right click on My Computer and select Properties.
On the Default Properties tab, change the Default Authentication Level to “Packet Integrity” or “Packet Privacy” Whatever you choose must be the SAME on the client AND server computer. Generally users are setting this to Packet Integrity and that is our standard recommendation at this time.

Bron: https://support.softwaret...42%29-technical-resources

Dit was overigens mijn tweede Google hit bij het zoeken naar de foutmelding, die zegt immers al wat je moet doen: Please raise the activation authentication level at least to RPC_C_AUTHN_LEVEL_PKT_INTEGRITY in client application.

Zoals ik heb aangegeven in mijn topic heb ik dit geprobeerd en werkt dit helaas niet. Vandaar dat ik nog opzoek was naar een andere mogelijkheid

[erwin26]

MAX3400 schreef op vrijdag 14 oktober 2022 @ 20:09:
Over welk KB-artikel gaat het? Dat praat vaak een heel stuk makkelijker dan "all users full control" geven

KB5004442—Manage changes for Windows DCOM Server Security Feature Bypass (CVE...

KB500444

Microsoft zegt zelf niks over all users full control, maar ik dacht als test voeg ik dat toe om zeker te zijn dat ik niet op rechten word geblokkeerd. Hun noemen daar alleen reg key aanpassen/aanmaken. Maar als ik googlde kwam ik op https://support.softwaret...42%29-technical-resources uit en hier heb ik de rechten toegekend als test.

Hopelijk is het zo iets duidelijker