MS16-101: Aktualizace zabezpečení pro metody ověřování systému Windows: 9. srpna 2016

Platí pro

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Důležité: Tento článek obsahuje informace, které vám pomůžou snížit nastavení zabezpečení nebo vypnout funkce zabezpečení v počítači. Tyto změny můžete provést, abyste vyřešili konkrétní problém. Před provedením těchto změn doporučujeme vyhodnotit rizika spojená s implementací tohoto alternativního řešení v konkrétním prostředí. Pokud toto alternativní řešení implementujete, učiňte veškerá dodatečná opatření k ochraně počítače.

Shrnutí

Tato aktualizace zabezpečení řeší několik zranitelností v Microsoft Windows. Chyby zabezpečení by mohly umožnit zvýšení oprávnění, pokud útočník spustí speciálně vytvořenou aplikaci v systému připojeném k doméně.

Další informace o této chybě zabezpečení naleznete v bulletinu zabezpečení společnosti Microsoft MS16-101.

Další informace

Důležité

Všechny budoucí aktualizace zabezpečení i aktualizace nesouvisející se zabezpečením pro Windows 8.1 a Windows Server 2012 R2 vyžadují instalaci 2919355 aktualizací. Doporučujeme, abyste si do počítače s procesory Windows 8.1 nebo Windows Server 2012 R2 nainstalovali 2919355 aktualizací, abyste mohli přijímat budoucí aktualizace.
Pokud po instalaci této aktualizace nainstalujete jazykovou sadu, musíte tuto aktualizaci přeinstalovat. Proto před instalací této aktualizace doporučujeme nainstalovat všechny jazykové sady, které potřebujete. Další informace najdete v tématu Přidání jazykových sad do Windows.

Opravy nesouvisející se zabezpečením, které jsou součástí této aktualizace zabezpečení

Tato aktualizace zabezpečení také opravuje následující problémy, které nesouvisejí se zabezpečením:

Když se na souborovém serveru se škálováním na více systémů (SoFS) připojeném k doméně v clusteru bez domény připojí klient SMB se systémem Windows 8.1 nebo Windows Server 2012 R2 k uzlu, který je mimo provoz, ověření selže. Dojde-li k těmto potížím, může se zobrazit chybová zpráva podobná následující:

Poznámka

STATUS_NO_TGT_REPLY

Další informace o této aktualizaci zabezpečení

Následující články obsahují další informace o této aktualizaci zabezpečení, které se týkají jednotlivých verzí produktu. Tyto články mohou obsahovat informace o známých problémech.

3177108 MS16-101: Popis aktualizace zabezpečení pro metody ověřování systému Windows: 9. srpna 2016
3167679 MS16-101: Popis aktualizace zabezpečení pro metody ověřování systému Windows: 9. srpna 2016
3192392 říjen 2016 – aktualizace pro zvýšení kvality týkající se jen aktualizace zabezpečení pro Windows 8.1 a Windows Server 2012 R2
3185331 Měsíční kumulativní aktualizace zabezpečení pro zvýšení kvality pro Windows 8.1 z října 2016 a Windows Server 2012 R2
3192393 Aktualizace pro zvýšení kvality (jenom aktualizace zabezpečení) pro Windows Server 2012 z října 2016
3185332 Měsíční kumulativní aktualizace zabezpečení pro zvýšení kvality pro Windows Server 2012 z října 2016
3192391 Aktualizace pro zvýšení kvality týkající se jen aktualizace zabezpečení z října 2016 pro Windows 7 SP1 a Windows Server 2008 R2 SP1
3185330 z října 2016 – měsíční kumulativní aktualizace pro zvýšení kvality týkající se zabezpečení pro Windows 7 SP1 a Windows Server 2008 R2 SP1
3192440 Kumulativní aktualizace pro Windows 10: 11. října 2016
3194798 kumulativní aktualizace pro Windows 10 verze 1607 a Windows Server 2016: 11. října 2016
3192441 kumulativní aktualizace pro Windows 10 verze 1511: 11. října 2016

Aktualizace zabezpečení, které jsou nahrazenyNásledující aktualizace zabezpečení byly nahrazeny:

3176492 Kumulativní aktualizace pro Windows 10: 9. srpna 2016
3176493 Kumulativní aktualizace pro Windows 10 verze 1511: 9. srpna 2016
3176495 Kumulativní aktualizace pro Windows 10 verze 1607: 9. srpna 2016

Následující aktualizace zabezpečení nahrazují dříve zmíněné aktualizace zabezpečení:

3192440 Kumulativní aktualizace pro Windows 10: 11. října 2016
3194798 kumulativní aktualizace pro Windows 10 verze 1607 a Windows Server 2016: 11. října 2016
3192441 kumulativní aktualizace pro Windows 10 verze 1511: 11. října 2016

Známé problémy v této aktualizaci zabezpečení

Známý problém 1

Aktualizace zabezpečení poskytované v bulletinu MS16-101 a novějších aktualizacích zakazují možnost procesu vyjednávání vrátit se zpět do protokolu NTLM, pokud se nezdaří ověřování protokolem Kerberos pro operace změny hesla s kódem chyby STATUS_NO_LOGON_SERVERS (0xc000005e). V takové situaci se může zobrazit některý z následujících kódů chyb.

Šestnáctkové	Desítkové číslo	Symbolické	Přátelský
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Systém zjistil možný pokus o narušení zabezpečení. Ujistěte se, že můžete kontaktovat server, který vás ověřil.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Systém zjistil možný pokus o narušení zabezpečení. Ujistěte se, že můžete kontaktovat server, který vás ověřil.

Alternativní řešení

Pokud změny hesel, které byly dříve úspěšné, selžou po instalaci MS16-101, je pravděpodobné, že změny hesel dříve spoléhaly na záložní protokol NTLM, protože selhával protokol Kerberos. Chcete-li úspěšně měnit hesla pomocí protokolů Kerberos, postupujte takto:

Nakonfigurujte otevřenou komunikaci na portu TCP 464 mezi klienty, kteří mají nainstalovanou aktualizaci MS16-101, a řadičem domény, který obsluhuje resetování hesel.

Řadiče domény jen pro čtení můžou provádět samoobslužné resetování hesel, pokud to povolují zásady replikace hesel řadiče domény jen pro čtení. Uživatelé, kteří nejsou povoleni zásadami hesel řadiče domény jen pro čtení, potřebují síťové připojení k řadiči domény pro čtení i zápis v doméně uživatelského účtu.

Poznámka: Chcete-li zkontrolovat, zda je port TCP 464 otevřený, postupujte takto:
1. Vytvořte si ekvivalentní filtr zobrazení pro analyzátor monitoru sítě. Příklady:
  ipv4.address== <IP adresa klienta> && tcp.port==464
2. Ve výsledcích vyhledejte rámec TCP:[SynReTransmit".
Zkontrolujte, zda jsou cílové názvy protokolu Kerberos platné. (IP adresy nejsou platné pro protokol Kerberos. Protokol Kerberos podporuje krátké názvy a plně kvalifikované názvy domén.)
Zkontrolujte, že jsou hlavní názvy služeb (SPN) správně zaregistrované.

Další informace najdete v tématech Kerberos a Self-Service Resetování hesla.

Známý problém 2

Víme o problému, při kterém programové resetování hesel uživatelských účtů domény selže a vrátí kód chyby STATUS_DOWNGRADE_DETECTED (0x800704F1), pokud je očekávaná chyba jedna z následujících příčin:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (vrací se zřídka)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

Následující tabulka zobrazuje úplné mapování chyb.

Šestnáctkové	Desítkové číslo	Symbolické	Přátelský
0x56	86	ERROR_INVALID_PASSWORD	Zadané síťové heslo není správné.
0x267	615	ERROR_PWD_TOO_SHORT	Zadané heslo je příliš krátké na to, aby splňovalo zásady vašeho uživatelského účtu. Zadejte prosím delší heslo.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Když se pokusíte aktualizovat heslo, tento stav vrácení označuje, že hodnota, která byla zadaná jako aktuální heslo, je nesprávná.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Když se pokusíte aktualizovat heslo, tento stav vrácení indikuje, že došlo k porušení některého pravidla aktualizace hesla. Heslo například nemusí splňovat kritéria délky.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Systém nemůže kontaktovat řadič domény, aby mohl zpracovat požadavek na ověření. Zkuste to prosím znovu později.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Systém nemůže kontaktovat řadič domény, aby mohl zpracovat požadavek na ověření. Zkuste to prosím znovu později.

Řešení

Aktualizace MS16-101 byla znovu vydána, aby tento problém vyřešila. Pokud chcete tento problém vyřešit, nainstalujte nejnovější verzi aktualizací pro tento bulletin.

Známý problém 3

Víme o problému, při kterém programové resetování změn hesla místního uživatelského účtu může selhat a vrátit kód chyby STATUS_DOWNGRADE_DETECTED (0x800704F1).

Následující tabulka zobrazuje úplné mapování chyb.

Šestnáctkové	Desítkové číslo	Symbolické	Přátelský
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Systém nemůže kontaktovat řadič domény, aby mohl zpracovat požadavek na ověření. Zkuste to prosím znovu později.

Řešení

Aktualizace MS16-101 byla znovu vydána, aby tento problém vyřešila. Pokud chcete tento problém vyřešit, nainstalujte nejnovější verzi aktualizací pro tento bulletin.

Známý problém 4

Hesla pro zakázané a uzamčené uživatelské účty nelze změnit pomocí balíčku vyjednávání.

Změny hesla pro zakázané a uzamčené účty budou fungovat i při použití jiných metod, například při přímém použití operace úprav LDAP. Například rutina PowerShellu Set-ADAccountPassword použije ke změně hesla operaci LDAP Modify, která zůstane nedotčená.

Alternativní řešení

Tyto účty vyžadují resetování hesel od správce. Toto chování je záměrné po instalaci aktualizace MS16-101 a novějších oprav.
Známý problém 5

Aplikace, které používají rozhraní API NetUserChangePassword a které předají název serveru v parametru domainname, již nebudou po instalaci aktualizace MS16-101 a novějších aktualizací fungovat.

Dokumentace společnosti Microsoft uvádí, že zadání názvu vzdáleného serveru v parametru domainname funkce NetUserChangePassword je podporováno. Například v tématu NetUserChangePassword na webu MSDN je uvedeno následující:

název_domény [in]

Ukazatel na konstantní řetězec, který určuje název DNS nebo NetBIOS vzdáleného serveru nebo domény, na kterém se má funkce spustit. Pokud má tento parametr hodnotu NULL, použije se přihlašovací doména volajícího. Stav

Tyto pokyny byly nahrazeny aktualizací MS16-101, pokud se resetování hesla netýká místního účtu v místním počítači.

Aby změny uživatelského hesla domény fungovaly po MS16-101, musíte rozhraní API NetUserChangePassword předat platný název domény DNS.

Známý problém 6

Po instalaci aktualizací zabezpečení popsaných v bulletinu MS16-101 dojde k selhání vzdálených, programových změn hesla místního uživatelského účtu a změn hesel v nedůvěryhodné doménové struktuře.

Tato operace selže, protože závisí na záložním protokolu NTLM, který již není po instalaci aktualizace MS16-101 podporován pro jiné než místní účty.

K dispozici je položka registru, pomocí které můžete tuto změnu zakázat.

Upozornění: Toto alternativní řešení může oslabit zabezpečení počítače nebo sítě vůči útoku uživatelů se zlými úmysly nebo škodlivému softwaru, například virům. Toto alternativní řešení nedoporučujeme, ale poskytujeme tyto informace proto, abyste ho mohli implementovat podle vlastního uvážení. Toto alternativní řešení používáte na vlastní nebezpečí.

DůležitéTento oddíl, metoda nebo úkol obsahuje kroky, které popisují úpravu registru. Pokud byste ale registr upravili nesprávně, mohlo by dojít k vážným problémům. Provádějte proto tento postup pečlivě. Před úpravami registru vytvořte pro zvýšení ochrany zálohu registru. V případě problému pak můžete registr obnovit. Další informace o zálohování a obnovení registru naleznete v následujícím článku znalostní báze znalostní báze Microsoft Knowledge Base:
322756 Postup zálohování a obnovení registru v systému Windows

Pokud chcete tuto změnu zakázat, nastavte položku DWORD NegoAllowNtlmPwdChangeFallback na hodnotu 1 (jedna).

Důležité: Nastavení položky registru NegoAllowNtlmPwdChangeFallback na hodnotu 1 tuto opravu zabezpečení zakáže:

Hodnota registru	Popis
0	Výchozí hodnota. Je zabráněno nouzovému řešení.
1	Nouzové řešení je vždy povolené. Oprava zabezpečení je vypnutá. Zákazníci, kteří mají problémy se vzdálenými místními účty nebo scénáři nedůvěryhodných doménových struktur, můžou registr nastavit na tuto hodnotu.

Chcete-li přidat tyto hodnoty registru, postupujte následujícím způsobem:

Klikněte na Start, klikněte na Spustit, do pole Otevřít zadejte regedit a klikněte na OK.
Najděte v registru následující podklíč a klikněte na něj:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
V nabídce Upravit přejděte na Nový a klikněte na Hodnota DWORD.
Jako název pro DWORD zadejte NegoAllowNtlmPwdChangeFallback a stiskněte klávesu ENTER.
Klikněte pravým tlačítkem myši na položku NegoAllowNtlmPwdChangeFallback a potom klikněte na příkaz Upravit.
Do pole Údaj hodnoty zadejte 1, aby se tato změna zakázala, a klikněte na tlačítko OK.

Poznámka: Chcete-li obnovit výchozí hodnotu, zadejte 0 (nula) a klepněte na tlačítko OK.

Stav

Hlavní příčina tohoto problému je známá. Tento článek bude aktualizován o další podrobnosti, jakmile budou k dispozici.

Jak získat a nainstalovat aktualizaci

Metoda 1: Prostřednictvím služby služba Windows Update

Tato aktualizace je k dispozici prostřednictvím služby služba Windows Update. Když zapnete automatické aktualizace, tato aktualizace se stáhne a nainstaluje automaticky. Další informace o zapnutí automatických aktualizací najdete v článku
Získávat aktualizace zabezpečení automaticky.

Metoda 2: Prostřednictvím Katalogu služby Microsoft Update

Pokud chcete získat samostatný balíček s touto aktualizací, přejděte na web Katalog služby Microsoft Update.

Metoda 3: Stažení softwaru společnosti Microsoft

Samostatný balíček aktualizace můžete získat prostřednictvím služby Stažení softwaru. Nainstalujte aktualizaci podle pokynů k instalaci na stránce pro stahování.

Klikněte na odkaz ke stažení v bulletinu zabezpečení společnosti Microsoft MS16-101 , který odpovídá verzi systému Windows, kterou používáte.

Další informace

Informace o nasazení aktualizací zabezpečení

Windows Vista (všechny edice)Referenční tabulka