KB5077796

Behebung von Anmeldeabstürzen bei RDP-Sitzungen (KB5073724): Der Patch behebt einen Konflikt zwischen dem aktualisierten Windows-Anmeldeinformationsanbieter (credssp.dll) und den neuen TLS-Verschlüsselungsrichtlinien in Build 19045.6809. Der Absturz trat während der CredSSP-Vorauthentifizierung auf, als der Server das Feld tsrequest falsch interpretierte. Der Patch stellt die Kompatibilität der RDP-Protokollversion durch die korrekte Nonce-Validierungssequenz für den Handshake wieder her.

Fehler bei Anmeldeinformationsanfragen für Verbindungen zu Windows 365 und AVD: Ursache war eine Nichtübereinstimmung der Token-Signaturalgorithmen zwischen dem Azure-Verbindungsbroker und dem lokalen OAuth-Cache des Windows App-Clients. Beim Versuch, ein Aktualisierungstoken zu erhalten, lehnte der Dienst die Anfrage aufgrund eines falschen Unix-Zeitstempels in der JWT-Nutzlast ab. Die Korrektur synchronisiert die Parameter not_before und exp zwischen Client und Authentifizierungsserver.

Klassischer RDP-Client (mstsc.exe) als Problemumgehung: Der klassische Client verwendet die ältere RDP-Grafikprotokollversion 8.1 statt 10.8, die geänderte Felder im PDU-Block Client Info ignoriert. Im Gegensatz zur Windows App sendet mstsc.exe nicht das erweiterte Attribut cbMobilePlatform, wodurch der Server die problematische Zertifikatskettenprüfung nicht aktiviert. Diese Umgehung reduziert den Patch-Management-Aufwand.

Webversion der Windows App als Problemumgehung: Der Webclient arbeitet über WebSocket über HTTPS (wss://) mit einem RD-Gateway und HTTP/2-Headern. Diese Methode umgeht den systemeigenen RDP-Stack (TermDD.sys) und verlässt sich vollständig auf die TLS-Engine des Browsers. Da die Authentifizierung auf Webanwendungsebene über die fetch-API erfolgt, wird das anfällige CredSSP-Modul nicht aufgerufen – eine vorübergehende Lösung.

Anmeldefehler für verschiedene RDP-Anwendungen in Windows: Die Ursache ist eine Überschreibung der IProvideClassInfo-Schnittstelle für das COM-Objekt MsRdpClientShell. Nach dem Update griffen mehrere Anwendungen gleichzeitig auf denselben Speicherbereich während der RDPSRAPI-Kanalinitialisierung zu. Der Patch fügt einen Mutex Global\RDPAuthMutex zur Serialisierung der Aufrufe hinzu und verhindert so eine Race Condition bei der NTLM- oder Kerberos-Anmeldeeingabe.