Важно Тази статия съдържа информация, която ви показва как да намалите настройките за защита или как да изключите функциите за защита на даден компютър. Можете да направите тези промени, за да заобиколите конкретен проблем. Преди да направите тези промени, ви препоръчваме да оцените рисковете, свързани с прилагането на това заобиколно решение във вашата конкретна среда. Ако приложите това заобиколно решение, предприемете съответните допълнителни стъпки, за да защитите компютъра.
Резюме
Тази актуализация на защитата включва подобрения и корекции във функционалността на версия 1511 на Windows 10. Той също така коригира следните уязвимости в Windows:
- 3177356 MS16-095: Кумулативна актуализация на защитата за Internet Explorer: 9 август 2016 г.
- 3177358 MS16-096: Кумулативна актуализация на защитата за Microsoft Edge: 9 август 2016 г.
- 3177393 MS16-097: Актуализация на защитата за графичния компонент на Microsoft: 9 август 2016 г.
- 3178466 MS16-098: Актуализация на защитата за драйвери за режима на ядрото: 9 август 2016 г.
- 3178465 MS16-101: Актуализация на защитата за методи за удостоверяване на Windows: 9 август 2016 г.
- 3182248 MS16-102: Актуализация на защитата за PDF библиотека на Microsoft Windows: 9 август 2016 г.
- 3182332 MS16-103: Актуализация на защитата за ActiveSyncProvider: 9 август 2016 г.
Актуализациите на Windows 10 са кумулативни. Следователно този пакет съдържа всички предишни издадени корекции.
Ако сте инсталирали по-ранни актуализации, на компютъра ви ще бъдат изтеглени и инсталирани само новите корекции, включени в този пакет. Ако за първи път инсталирате пакет за актуализация на Windows 10, пакетът за версия x86 е 502 MB, а пакетът за версия x64 е 916 MB.
Повече информация
Известни проблеми в тази актуализация на защитата
Известен проблем 1
Актуализациите на защитата, които се предоставят в MS16-101 и по-нови актуализации, забраняват възможността на процеса на договаряне да се връща към NTLM, когато удостоверяването за Kerberos е неуспешно за операции по смяна на парола с код на грешка STATUS_NO_LOGON_SERVERS (0xc000005e). В тази ситуация може да получите един от следните кодове за грешка:
Шестнадесетична Decimal Символен Приятелски настроен 0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Системата откри възможен опит за компрометиране на защитата. Уверете се, че можете да се свържете със сървъра, който ви е удостоверил. 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Системата откри възможен опит за компрометиране на защитата. Уверете се, че можете да се свържете със сървъра, който ви е удостоверил. Заобиколно решение
Ако промените на паролата, които преди това са били успешни, са неуспешни след инсталирането на MS16-101, вероятно промените в паролите преди това са разчитали на резервен NTLM, тъй като Kerberos е бил неуспешен. За да промените успешно паролите с помощта на протоколите Kerberos, изпълнете следните стъпки:
Конфигуриране на отворена комуникация на TCP порт 464 между клиенти с инсталирана MS16-101 и нулирания на домейновия контролер, който обслужва паролата.
Домейновите контролери (RODC) само за четене могат да обслужват самостоятелно нулиране на пароли, ако потребителят е разрешен от правилата за репликация на пароли на RODC. Потребителите, които не са разрешени от правилата за парола RODC, трябва да имат мрежова връзка с домейнов контролер за четене/запис (RWDC) в домейна на потребителския акаунт.
Забележка За да проверите дали TCP порт 464 е отворен, изпълнете следните стъпки:
Създайте еквивалентен филтър на дисплея за анализатора на мрежовия монитор. Например:
ipv4.address== <IP адрес на клиента> && tcp.port==464
В резултатите потърсете рамката "TCP:[SynReTransmit".
Уверете се, че целевите имена на Kerberos са валидни. (IP адресите не са валидни за протокола Kerberos. Kerberos поддържа кратки имена и напълно квалифицирани имена на домейни.)
Уверете се, че основните имена на услугата (SPN) са регистрирани правилно.
За повече информация вж. Kerberos и Self-Service подновяване на паролата.
Известен проблем 2
Знаем за проблем, при който програмно нулиране на пароли на потребителски акаунти с домейн е неуспешно и връщат код на грешка STATUS_DOWNGRADE_DETECTED (0x800704F1), ако очакваната грешка е една от следните:
- ERROR_INVALID_PASSWORD
- ERROR_PWD_TOO_SHORT (рядко връщани)
- STATUS_WRONG_PASSWORD
- STATUS_PASSWORD_RESTRICTION
Следващата таблица показва пълното съпоставяне на грешките.
Шестнадесетична Decimal Символен Приятелски настроен 0x56 86 ERROR_INVALID_PASSWORD Указаната парола за мрежата не е правилна. 0x267 615 ERROR_PWD_TOO_SHORT Паролата, която е предоставена, е твърде къса, за да отговаря на правилата за вашия потребителски акаунт. Предоставете по-дълга парола. 0xc000006a -1073741718 STATUS_WRONG_PASSWORD Когато се опитате да актуализирате парола, това състояние на връщане показва, че стойността, предоставена като текуща парола, е неправилна. 0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Когато се опитате да актуализирате парола, това състояние на връщане показва, че е нарушено някое правило за актуализиране на парола. Например паролата може да не отговаря на критериите за дължина. 0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Системата не може да се свърже с домейнов контролер, за да обслужва искането за удостоверяване. Опитайте отново по-късно. 0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Системата не може да се свърже с домейнов контролер, за да обслужва искането за удостоверяване. Опитайте отново по-късно. Решение
MS16-101 е издадена повторно с цел разрешаване на този проблем. Инсталирайте най-новата версия на актуализациите за този бюлетин, за да отстраните този проблем.
Известен проблем 3
Знаем за проблем, при който програмно нулиране на промените на паролата на локален потребителски акаунт може да е неуспешно и да върнат код на грешка STATUS_DOWNGRADE_DETECTED (0x800704F1).
Следващата таблица показва пълното съпоставяне на грешките.
Шестнадесетична Decimal Символен Приятелски настроен 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Системата не може да се свърже с домейнов контролер, за да обслужва искането за удостоверяване. Опитайте отново по-късно. Решение
MS16-101 е издадена повторно с цел разрешаване на този проблем. Инсталирайте най-новата версия на актуализациите за този бюлетин, за да отстраните този проблем.
Известен проблем 4
Паролите за дезактивирани и блокирани потребителски акаунти не могат да се променят с помощта на пакета за договаряне.
Промените на паролите за дезактивирани и заключени акаунти ще продължат да работят при използване на други методи, като например при директно използване на LDAP операция за промяна. Например кратката команда на PowerShell Set-ADAccountPassword използва операция "LDAP Modify" за промяна на паролата и остава незасегната.
Заобиколно решение
Тези акаунти изискват администратор да извърши нулиране на паролата. Това поведение е проектирано след инсталирането на MS16-101 и по-нови корекции.
Известен проблем 5
Приложения, които използват API за NetUserChangePassword и които предават име на сървър в параметъра domainname , няма да работят след инсталирането на MS16-101 и по-нови актуализации.
Документацията на Microsoft посочва, че предоставянето на име на отдалечен сървър в параметъра domainname на функцията NetUserChangePassword е поддържано. Например, функцията NetUserChangePassword в MSDN темата гласи следното:
име на домейн [in]
Указател към низ, който указва името DNS или NetBIOS на отдалечен сървър или домейн, на който да се изпълнява функцията. Ако този параметър е NULL, използва се домейнът за влизане на извикващия. Това ръководство обаче е заменено от MS16-101, освен ако нулирането на паролата не е за локален акаунт на локалния компютър. След MS16-101, за да работят промените в паролите на потребители на домейни, трябва да подадете валидно DNS име на домейн към API NetUserChangePassword.
Известен проблем 6
След като приложите тази актуализация на защитата и отпечатате няколко документа последователно, първите два документа може да се отпечатат успешно. Третият и следващите документи обаче може да не се отпечатат.
За да коригирате този проблем, изтеглете актуализация 3186988 от уеб сайта на каталога на Microsoft Update .
Този проблем е разрешен и в бюлетина на Microsoft за сигурността MS16-106.
Известен проблем 7
След като инсталирате актуализациите на защитата, които са описани в MS16-101, отдалечени, програмни промени на паролата на локалния потребителски акаунт и промените на паролата в ненадеждна гора са неуспешни.
Тази операция е неуспешна, тъй като разчита на резервен NTLM, който вече не се поддържа за нелокални акаунти след инсталиране на MS16-101.
Предоставя се запис в системния регистър, който можете да използвате, за да забраните тази промяна.
Предупреждение: Това заобиколно решение може да направи компютъра или мрежата по-уязвими за атаки от злонамерени потребители или опасен софтуер, като например вируси. Ние не препоръчваме това заобиколно решение, но предоставяме тази информация, за да можете да го използвате по своя преценка. Използвате това заобиколно решение на свой собствен риск.
ВажноТози раздел, метод или задача съдържа стъпки, които ще ви обяснят как да промените системния регистър. Ако обаче промените системния регистър по неправилен начин, е възможно да възникнат сериозни проблеми. Затова се погрижете да следвате тези стъпките внимателно. За допълнителна защита, архивирайте системния регистър, преди да го променяте. След това можете да възстановите системния регистър, ако възникне проблем. За повече информация относно начините за архивиране и възстановяване на системния регистър щракнете върху следния номер на статия в базата знания на Microsoft, за да я видите:
322756 Създаване на резервно копие и възстановяване на системния регистър в WindowsЗа да забраните тази промяна, задайте записа NegoAllowNtlmPwdChangeFallback DWORD да използва стойност 1 (едно).
Важно: Задаването на записа в системния регистър NegoAllowNtlmPwdChangeFallback на стойност 1 ще забрани тази корекция на защитата:
Стойност на системния регистър Описание 0 Стойност по подразбиране. Резервното действие е предотвратено. 1 Резервното действие винаги е разрешено. Корекцията на защитата е изключена. Клиентите, които имат проблеми с отдалечени локални акаунти или сценарии с ненадеждна гора, могат да зададат тази стойност в системния регистър. За да добавите тези стойности на системния регистър, изпълнете следните стъпки:
Щракнете върху Старт, щракнете върху Изпълнение, въведете regedit в полето Отвори и след това щракнете върху OK.
Намерете и след това щракнете върху следния подключ в системния регистър:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
В менюто Edit (Редактиране) посочете New (Създай) и след това щракнете върху DWORD Value (DWORD стойност).
Въведете NegoAllowNtlmPwdChangeFallback за името на дв. думата и след това натиснете ENTER.
Щракнете с десния бутон върху NegoAllowNtlmPwdChangeFallback и след това щракнете върху Modify.
В полето Value data (Данни за стойност) въведете 1, за да забраните тази промяна, и след това щракнете върху OK.
Забележка: За да възстановите стойността по подразбиране, въведете 0 (нула) и след това щракнете върху OK.
Състояние
Основната причина за този проблем е разбираема. Тази статия ще се актуализира с допълнителни подробности, когато станат налични.
Как да изтеглите тази актуализация
Важно: Ако инсталирате езиков пакет след тази актуализация, актуализацията трябва да бъде преинсталирана. Затова ви препоръчваме да инсталирате всички езикови пакети, от които се нуждаете, преди да инсталирате тази актуализация. За повече информация вижте " Добавяне на езикови пакети към Windows".
Метод 1: Чрез Windows Update
Тази актуализация ще се изтегли и инсталира автоматично.
Метод 2: Каталог на Microsoft Update
За да изтеглите самостоятелния пакет с актуализацията, отворете уеб сайта Каталог на Microsoft Update.
Предварителни изисквания
Няма задължителни компоненти за инсталиране на актуализацията.
Информация за рестартиране
Трябва да рестартирате компютъра, след като приложите тази актуализация.
Информация за заместване на актуализация
Тази актуализация замества последно издадения 3172985 за актуализация.
Информация за файлове
За списък на представените с тази кумулативна актуализация файлове изтеглете информацията за файловете за кумулативна актуализация 3176493.
Справки
Научете повече относно терминологията, която Microsoft използва за описване на актуализациите на софтуера.