การอัปเดตความปลอดภัยประจำเดือนของ Microsoft หรือที่เรียกกันว่า Patch Tuesday มักเป็นสิ่งที่ผู้ดูแลระบบและผู้ใช้งานรอคอย แต่ก็ไม่ได้หมายความว่าจะเป็นข่าวดีเสมอไป เพราะแพตช์ประจำเดือนนี้มักมาพร้อมปัญหาใหญ่ตามมาด้วยเช่นกัน
ปัญหาที่สะสมมาจากหลายอัปเดต
ก่อนหน้านี้ อัปเดต KB5124008 ถูกรายงานว่าเป็นสาเหตุของปัญหาไดรเวอร์บนการ์ดจอ AMD ขณะที่ปัญหาจากแพตช์รอบก่อนหน้าก็ยังคงส่งผลกระทบต่อผู้ใช้งานอยู่ เช่น เครื่อง HP ที่พบปัญหาการตั้งค่า BIOS เสียหาย และเครื่อง Lenovo ที่เจอปัญหาไฟดับกะทันหันแบบสุ่ม นอกจากนี้ยังไม่ใช่แค่ Windows เท่านั้นที่ได้รับผลกระทบ เพราะอัปเดตล่าสุดของ Excel ก็ทำให้ฟังก์ชันคัดลอก-วาง ซึ่งเป็นฟังก์ชันพื้นฐานที่สุดใช้งานไม่ได้เช่นกัน
แพตช์ฉุกเฉินออกมาแล้ว แต่ยังแก้ปัญหา Domain Trust ไม่ได้
Microsoft ได้ออกอัปเดตฉุกเฉินนอกรอบ (Out-of-Band) อย่าง KB5129195 และ KB5129242 เพื่อแก้ไขบั๊กที่เคยยอมรับไว้ก่อนหน้านี้ อย่างไรก็ตาม ผู้ดูแลระบบจำนวนมากยังคงไม่พอใจ เนื่องจากแพตช์ดังกล่าวไม่ได้แก้ปัญหา "Trust Relationship" ที่เสียหายสำหรับเครื่องที่เข้าร่วม Domain ผ่าน Secure Channel แต่อย่างใด และที่สำคัญคือ Microsoft ยังไม่ได้ออกมายอมรับว่าเป็นบั๊กจากทางบริษัทด้วยซ้ำ
รายละเอียดปัญหาจากผู้ใช้งานจริง
ผู้ใช้งานรายหนึ่งชื่อ Alex Turner ได้อธิบายปัญหานี้อย่างละเอียดในโพสต์บนฟอรัมชุมชน Microsoft Learn โดยระบุว่าเครื่องที่ได้รับผลกระทบใช้ Windows 11 เวอร์ชัน 25H2 ที่ติดตั้ง KB5124008 แล้ว ขณะที่ Domain Controller (DC) ใช้ Windows Server 2019 ปัญหานี้สามารถทำซ้ำได้จริงจากการทดสอบกับเครื่องทั้งหมด 6 เครื่อง
เมื่อลองถอนการติดตั้งอัปเดตและให้เครื่องเข้าร่วม Domain ใหม่ ระบบก็กลับมาทำงานปกติ แต่เมื่อติดตั้ง KB5124008 กลับเข้าไปอีกครั้ง ปัญหาก็กลับมาเช่นเดิม ซึ่งเป็นการยืนยันได้ค่อนข้างชัดเจนว่าต้นตอของปัญหามาจากแพตช์ตัวนี้โดยตรง
เครื่องที่ได้รับผลกระทบจะแสดงข้อความ error ว่า ERROR_NO_TRUST_LSA_SECRET เมื่อทำการตรวจสอบ Secure Channel ขณะที่ข้อมูล credential ที่แคชไว้ยังคงใช้งานได้ตามปกติเมื่อเครื่องอยู่ในสถานะออฟไลน์ ต่อมาผู้ดูแลระบบรายอื่นก็รายงานปัญหาลักษณะเดียวกันบน Domain Controller ที่ใช้ Windows Server 2022 ด้วย ซึ่งบ่งชี้ว่าปัญหานี้อาจไม่ได้จำกัดอยู่แค่ Server 2019 เท่านั้น
จุดต้องสงสัย: ฟีเจอร์ Machine Identity Isolation
จากการตรวจสอบเพิ่มเติมของกลุ่มผู้ดูแลระบบและผู้ใช้งาน พบความเชื่อมโยงที่เป็นไปได้กับฟีเจอร์ Machine Identity Isolation ของ Microsoft โดยมีผู้พบว่าการเปลี่ยนค่า Registry ของ MachineIdentityIsolation จาก 2 (เปิดใช้งานพร้อมบังคับใช้) เป็น 0 สามารถหยุดปัญหา Secure Channel ล้มเหลวได้ ขณะที่อีกองค์กรหนึ่งพบว่าค่าตั้งไว้ที่ 1 (โหมด Audit) และเมื่อปิดฟีเจอร์นี้พร้อมทำการซ่อม Secure Channel ก็สามารถทำให้ระบบ Login กลับมาใช้งานได้ตามปกติ ซึ่ง Turner ก็ได้ยืนยันในภายหลังว่าวิธีแก้ปัญหานี้ใช้ได้ผลกับระบบของเขาเช่นกัน
ผู้ดูแลระบบอีกรายที่ทดสอบวิธีแก้ปัญหานี้รายงานว่า ปัญหาดังกล่าวส่งผลกระทบต่อเครื่องราว 50 เครื่องในการ Deploy แบบนำร่อง โดยทุกเครื่องที่ติดตั้ง KB5124008 และรีสตาร์ทเครื่อง จะพบปัญหา Netlogon ล้มเหลวทันที และพบว่าค่า Machine Identity Isolation ถูกตั้งเป็น 2 (เปิดใช้งาน) หลังการอัปเดต ทั้งที่องค์กรยืนยันว่าไม่เคยตั้งค่านี้ไว้อย่างชัดเจนใน Group Policy มาก่อน
เหตุผลเบื้องหลังและวิธีแก้ไขเบื้องต้น
ฟีเจอร์ Machine Identity Isolation มีความเกี่ยวข้องกับ Credential Guard โดยจะเปลี่ยนวิธีการปกป้องข้อมูลประจำตัวของเครื่องระหว่างกระบวนการยืนยันตัวตนกับ Domain ด้วยการทำ Virtualization ซึ่งอาจเป็นสาเหตุที่แท้จริงของปัญหานี้
จากการตรวจสอบ ผู้ดูแลระบบพบว่าการตั้งค่าฟีเจอร์นี้เป็น Disabled ผ่าน Group Policy ช่วยให้สามารถซ่อมแซมเครื่องที่ได้รับผลกระทบได้ โดยไม่จำเป็นต้องถอนการติดตั้ง KB5124008 ออกแต่อย่างใด
สำหรับองค์กรที่ใช้งาน Windows 11 ร่วมกับระบบ Domain แนะนำให้ตรวจสอบการตั้งค่า Machine Identity Isolation ก่อนทำการอัปเดตแพตช์ล่าสุด เพื่อป้องกันปัญหาการ Login ที่อาจกระทบต่อการทำงานขององค์กรในวงกว้าง
ที่มา neowin
