MS16-101: التحديث الأمني لأساليب مصادقه Windows: 9 أغسطس 2016

الملخص

يقوم تحديث الأمان هذا بحل مشاكل عدم حصانه متعددة في Microsoft Windows. قد تسمح الثغرات الامنيه برفع الامتياز إذا قام مهاجم بتشغيل تطبيق مكون خصيصا علي نظام متصل بالمجال.

للحصول علي مزيد من المعلومات حول مشكله عدم الحصانة ، راجع نشره الأمن MS16-101.

مزيد من المعلومات

ضرورة

• يحتاج كل التحديثات المتعلقة بالأمان وغير المتعلقة بالأمان لنظام التشغيل Windows 8.1 و Windows Server 2012 R2 إلى تثبيت التحديث 2919355 . نوصي بتثبيت التحديث 2919355 علي الكمبيوتر الذي يعمل بنظام التشغيل windows 8.1 أو windows Server 2012 R2 بحيث تتلقي تحديثات مستقبليه.

• إذا قمت بتثبيت حزمه لغة بعد تثبيت هذا التحديث ، فيجب أعاده تثبيت هذا التحديث. لذلك ، نوصي بتثبيت اي حزم لغات تحتاج اليها قبل تثبيت هذا التحديث. لمزيد من المعلومات ، راجع أضافه حزم اللغات إلى Windows.

معلومات اضافيه حول هذا التحديث الأمني

تحتوي المقالات التالية علي معلومات اضافيه حول تحديث الأمان هذا كما يتعلق بإصدارات المنتجات الفردية. قد تحتوي المقالات علي معلومات مشاكل معروفه.

• 3177108 MS16-101: وصف التحديث الأمني لأساليب مصادقه Windows: 9 أغسطس 2016

• 3167679 MS16-101: وصف التحديث الأمني لأساليب مصادقه Windows: 9 أغسطس 2016

• 3192392 تحديث جوده الأمان في شهر أكتوبر 2016 لنظام التشغيل Windows 8.1 و Windows Server 2012 R2

• 3185331 تحديث الجودة الشهرية ل أكتوبر 2016 لنظام التشغيل Windows 8.1 و Windows Server 2012 R2

• 3192393 تحديث جوده الأمان في شهر أكتوبر 2016 لنظام التشغيل Windows Server 2012

• 3185332 شهر أكتوبر 2016 الخاص بالجودة الشهرية لنظام التشغيل Windows Server 2012

• 3192391 تحديث جوده الأمان لشهر أكتوبر 2016 فقط لنظام التشغيل Windows 7 SP1 و Windows Server 2008 R2 SP1

• 3185330 شهر أكتوبر 2016 الخاص بالجودة الشهرية لنظام التشغيل Windows 7 SP1 و Windows Server 2008 R2 SP1

• 3192440 تحديث تراكمي ل Windows 10:11 أكتوبر 2016

• 3194798 تحديث تراكمي ل Windows 10 الإصدار 1607 و Windows Server 2016:11 أكتوبر 2016

• 3192441 تحديث تراكمي ل Windows 10 الإصدار 1511:11 أكتوبر 2016

تم استبدال تحديثات الأمان التي تم ريبلاسيدثيها بمتابعه تحديثات الأمان التالية:

• 3176492 تحديث تراكمي ل Windows 10:9 أغسطس 2016

• 3176493 تحديث تراكمي ل Windows 10 الإصدار 1511:9 أغسطس 2016

• 3176495 تحديث تراكمي ل Windows 10 الإصدار 1607:9 أغسطس 2016

فيما يلي تحديثات الأمان الجديدة التي تحل محل تحديثات الأمان المذكورة سابقا:

• 3192440 تحديث تراكمي ل Windows 10:11 أكتوبر 2016

• 3194798 تحديث تراكمي ل Windows 10 الإصدار 1607 و Windows Server 2016:11 أكتوبر 2016

• 3192441 تحديث تراكمي ل Windows 10 الإصدار 1511:11 أكتوبر 2016

المشاكل المعروفة في هذا التحديث الأمني

• المشكلة المعروفة 1 تقوم
  
  تحديثات الأمان التي يتم توفيرها في MS16-101 والتحديثات الأحدث بتعطيل قدره عمليه التفاوض علي العودة إلى NTLM عند فشل مصادقه Kerberos لعمليات تغيير كلمه المرور باستخدام رمز الخطا STATUS_NO_LOGON_SERVERS (0xc000005e). في هذه الحالة ، قد تتلقي أحد رموز الأخطاء التالية.
  
  

  Hexadecimal	فواصل	Symbolic	يحمل
  0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	اكتشف النظام محاولة محتمله لتسويه الأمان. يرجى التاكد من انه يمكنك الاتصال بالخادم الذي قام بالمصادقة عليك.
  0x4f1	1265	ERROR_DOWNGRADE_DETECTED	اكتشف النظام محاولة محتمله لتسويه الأمان. يرجى التاكد من انه يمكنك الاتصال بالخادم الذي قام بالمصادقة عليك.

  
  
  حل بديل
  
  إذا كانت التغييرات التي تمت بنجاح لكلمه المرور قد تفشل بعد تثبيت MS16-101 ، فمن المحتمل ان تكون تغييرات كلمه المرور معتمده مسبقا علي النسخة الاحتياطية في NTLM لأنه فشل في Kerberos. لتغيير كلمات المرور بنجاح باستخدام بروتوكولات Kerberos ، اتبع الخطوات التالية:
  
  
  

  1. قم بتكوين الاتصالات المفتوحة علي منفذ TCP 464 بين العملاء الذين تم تثبيت MS16 ووحده التحكم بالمجال التي تتم أعاده تعيين كلمه المرور.
     
     يمكن لوحدات التحكم بالمجال للقراءة فقط (رودكس) أعاده تعيين كلمه المرور الخاصة بالخدمة الذاتية للخدمة إذا تم السماح للمستخدم بواسطة نهج النسخ المتماثل لكلمه المرور في رودكس يحتاج المستخدمون غير المسموح بهم من قبل نهج كلمه المرور في ردك إلى الاتصال بالشبكة إلى وحده تحكم مجال للقراءة/الكتابة (رودك) في مجال حساب المستخدم.
     
     ملاحظه للتحقق مما إذا كان منفذ TCP 464 مفتوحا ام لا ، اتبع الخطوات التالية:
     
     
     

     1. أنشئ عامل تصفيه عرض مكافئ لمحلل مراقب الشبكة. على سبيل المثال:
        

        ipv4. العنوان = <= عنوان ip الخاص بالعميل> && tcp. المنفذ = = 464

     2. في النتائج ، ابحث عن اطار "TCP: [سينريترانسميت".
        
        

  2. تاكد من ان أسماء Kerberos الهدف صالحه. (عناوين IP غير صالحه لبروتوكول Kerberos. يعتمد Kerberos الأسماء القصيرة وأسماء المجالات المؤهلة بالبالكامل.)

  3. تاكد من انه تم تسجيل أسماء الخدمة الاساسيه (Spn) بشكل صحيح.
     
     لمزيد من المعلومات ، راجع أعاده تعيين كلمه المرور الخاصة ب Kerberos و Self-Service.

• 
  
  المشكلة المعروفة 2 نحن نعرف حول مشكله أعاده تعيين كلمه المرور البرمجية لحسابات مستخدمي المجالات فشل وإرجاع رمز الخطا STATUS_DOWNGRADE_DETECTED (0x800704F1) إذا كان الفشل المتوقع هو أحد الخيارات التالية:
  
  

  • ERROR_INVALID_PASSWORD

  • ERROR_PWD_TOO_SHORT (نادرا ما يتم إرجاعه)

  • STATUS_WRONG_PASSWORD

  • STATUS_PASSWORD_RESTRICTION

  
  يعرض الجدول التالي تعيين الخطا بالبالكامل.
  
  

  Hexadecimal	فواصل	Symbolic	يحمل
  0x56	86	ERROR_INVALID_PASSWORD	كلمه مرور الشبكة المحددة غير صحيحه.
  0x267	615	ERROR_PWD_TOO_SHORT	كلمه المرور التي تم توفيرها قصيرة جدا بحيث لا تفي بنهج حساب المستخدم الخاص بك. يرجى إدخال كلمه مرور أطول.
  0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	عند محاولة تحديث كلمه مرور ، تشير حاله الإرجاع هذه إلى ان القيمة التي تم إدخالها ككلمه المرور الحالية غير صحيحه.
  0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	عند محاولة تحديث كلمه مرور ، تشير حاله العودة هذه إلى انه تم خرق بعض قواعد تحديث كلمه المرور. علي سبيل المثال ، قد لا تفي كلمه المرور بمعايير الطول.
  0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	يتعذر علي النظام الاتصال بوحدة تحكم المجال لخدمه طلب المصادقة. يرجى إعادة المحاولة لاحقًا.
  0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	يتعذر علي النظام الاتصال بوحدة تحكم المجال لخدمه طلب المصادقة. يرجى إعادة المحاولة لاحقًا.

  
  
  تم
  
  أعاده إصدارMS16 الحل-101 لمعالجه هذه المشكلة. قم بتثبيت الإصدار الأخير من تحديثات هذه النشرة لحل هذه المشكلة.
  
  

• 
  
  المشكلة المعروفة 3 ستتعرف علي المشكلة التي قد تفشل فيها أعاده التعيين البرمجي لتغييرات كلمه مرور حساب المستخدم المحلي وترجع رمز الخطا STATUS_DOWNGRADE_DETECTED (0x800704F1).
  
  يعرض الجدول التالي تعيين الخطا بالبالكامل.
  
  

  Hexadecimal	فواصل	Symbolic	يحمل
  0x4f1	1265	ERROR_DOWNGRADE_DETECTED	يتعذر علي النظام الاتصال بوحدة تحكم المجال لخدمه طلب المصادقة. يرجى إعادة المحاولة لاحقًا.

  
  
  تم
  
  أعاده إصدارMS16 الحل-101 لمعالجه هذه المشكلة. قم بتثبيت الإصدار الأخير من تحديثات هذه النشرة لحل هذه المشكلة.
  
  

• 
  
  المشكلة المعروفة 4 لا يمكن تغيير كلمات المرور الخاصة بحسابات المستخدمين المعطلة والمغلقة باستخدام حزمه التفاوض.
  
  
  ستظل تغييرات كلمه المرور الخاصة بالحسابات المعطلة والمغلقة في وضع العمل عند استخدام أساليب أخرى مثل استخدام عمليه تعديل LDAP مباشره. علي سبيل المثال ، يستخدم الأمر PowerShell cmdlet Set-ADAccountPassword عمليه "تعديل LDAP" لتغيير كلمه المرور والبقاء لا تتاثر.
  
  حل بديل
  
  تتطلب هذه الحسابات مسؤولا لتمكين أعاده تعيين كلمه المرور. هذا السلوك هو التصميم بعد تثبيت MS16-101 والإصلاحات الأحدث.
  
  

• لن تعمل تطبيقات الإصدار المعروف 5
  
  التي تستخدم واجهه برمجه تطبيقات نيتوسيرتشانجيباسوورد والتي تقوم بتمرير اسم الخادم في المعلمة domainname بعد الآن بعد تثبيت MS16-101 والتحديثات اللاحقة.
  
  ان حالات وثائق Microsoft التي توفر اسم خادم بعيد في معلمه domainname للدالة نيتوسيرتشانجيباسوورد معتمده. علي سبيل المثال ، موضوع MSDN للدالة نيتوسيرتشانجيباسوورد ينص علي ما يلي:
  
  domainname [in]
  

  مؤشر إلى سلسله ثابته تحدد اسم DNS أو NetBIOS لخادم أو مجال بعيد يمكن تنفيذ الدالة فيه. إذا كانت هذه المعلمة قيمه خاليه ، سيتم استخدام مجال تسجيل الدخول الخاص بالمتصل.
  
  الحالة تم استبدال هذه الإرشادات ب MS16-101 ، ما لم تكن أعاده تعيين كلمه المرور لحساب محلي علي الكمبيوتر المحلي.
  
  MS16 النشر-101 ، لكي تتغير كلمه مرور المستخدم للمجال ، يجب تمرير اسم مجال DNS صالح إلى واجهه برمجه تطبيقات نيتوسيرتشانجيباسوورد.

• 
  
  المشكلة المعروفة 6 بعد تثبيت تحديثات الأمان التي تم وصفها في MS16-101، remote ، التغييرات البرمجية لكلمه مرور حساب المستخدم المحلي ، والتغييرات التي تحدث في التجمعات الغير موثوق بها.
  
  
  فشلت هذه العملية لان العملية تعتمد علي العودة إلى NTLM التي لم تعد معتمده للحسابات غير المحلية بعد تثبيت MS16.
  
  
  يتم توفير إدخال سجل يمكنك استخدامه لتعطيل هذا التغيير.
  
  تحذير قد يؤدي هذا الحل البديل إلى جعل الكمبيوتر أو الشبكة أكثر عرضه للهجوم بواسطة المستخدمين المؤذيين أو البرامج الضارة مثل الفيروسات. لا نوصي بهذا الحل البديل ولكنه يوفر هذه المعلومات بحيث يمكنك تطبيق هذا الحل البديل بنفسك. استخدم هذا الحل البديل علي مسؤوليتك الشخصية.
  
  يحتوي المقطع أو الأسلوب أو المهمة الإيمبورتانتثيسه علي خطوات تخبرك بكيفية تعديل السجل. ومع ذلك، فقد تحدث مشاكل خطيرة في حالة تعديل السجل بطريقة غير صحيحة. ولذلك، يجب التأكد من اتباع الخطوات التالية بعناية. للحماية الإضافية، قم بعمل نسخة احتياطية من السجل قبل تعديله. يمكنك بعد ذلك استعادة السجل في حالة حدوث أية مشكلة. لمزيد من المعلومات حول كيفية عمل نسخة احتياطية من السجل واستعادته، انقر فوق رقم المقالة التالية لعرضها في "قاعدة المعارف لـ Microsoft":

  322756كيفيه اجراء النسخ الاحتياطي واستعاده السجل في Windows
  
  لتعطيل هذا التغيير ، قم بتعيين إدخال نيجوالوونتلمبودتشانجيفالباك DWORD لاستخدام قيمه 1 (واحده).
  
  
  الاعداد الهام سيقوم إدخال التسجيل نيجوالوونتلمبودتشانجيفالباك إلى قيمه 1 بتعطيل تصحيح الأمان هذا:
  

  قيمه السجل	الوصف
  %	القيمة الافتراضية. تم منع الرجوع.
  1	مسموح بالرجوع دائما. تم إيقاف تشغيل تصحيح الأمان. يمكن للعملاء الذين لديهم مشاكل في الحسابات المحلية البعيدة أو سيناريوهات الغابة غير الموثوق بها تعيين السجل إلى هذه القيمة.

  لأضافه قيم السجل هذه ، اتبع الخطوات التالية:
  

  1. انقر فوق أبدا، وفوق تشغيل، واكتب Regedit في المربع فتح ، ثم انقر فوق موافق.

  2. حدد موقع المفتاح الفرعي التالي في السجل ثم انقر فوقه:
     

     HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
     

  3. في القائمة تحرير ، أشر إلى جديد، ثم انقر فوق قيمه DWORD.

  4. اكتب نيجوالوونتلمبودتشانجيفالباك لاسم DWORD ، ثم اضغط علي مفتاح الإدخال ENTER.

  5. انقر بزر الماوس الأيمن فوق نيجوالوونتلمبودتشانجيفالباك، ثم انقر فوق تعديل.

  6. في المربع بيانات القيمة ، اكتب 1 لتعطيل هذا التغيير ، ثم انقر فوق موافق.
     
     
     ملاحظه لاستعاده القيمة الافتراضية ، اكتب 0 (صفر) ، ثم انقر فوق موافق.

  الحالة
  
  يتم فهم السبب الأساسي لهذه المشكلة. سيتم تحديث هذه المقالة بالتفاصيل الاضافيه التي توفرها.

كيفيه الحصول علي التحديث وتثبيته

الطريقة 1: Windows Update

يتوفر هذا التحديث من خلال Windows Update. عند تشغيل التحديث التلقائي ، سيتم تنزيل هذا التحديث وتثبيته تلقائيا. للحصول علي مزيد من المعلومات حول كيفيه تشغيل التحديث التلقائي ، راجع
الحصول علي تحديثات الأمان تلقائيا.

الطريقة 2: كتالوج Microsoft Update

للحصول علي الحزمة المستقلة لهذا التحديث ، انتقل إلى موقع Microsoft Update Catalog علي ويب.

مزيد من المعلومات