Kumulativ opdatering til Windows 10: 9. august 2016

Gælder for
Windows 10

Vigtigt! Denne artikel indeholder oplysninger, der viser, hvordan du kan sænke sikkerhedsindstillingerne, eller hvordan du kan deaktivere sikkerhedsfunktioner på en computer. Du kan foretage disse ændringer for at omgå et bestemt problem. Før du foretager disse ændringer, anbefaler vi, at du evaluerer de risici, der er knyttet til implementering af denne midlertidige løsning i det pågældende miljø. Hvis du implementerer denne løsning, skal du træffe relevante yderligere forholdsregler for at beskytte computeren.

Resumé

Denne sikkerhedsopdatering indeholder forbedringer og rettelser i funktionaliteten af Windows 10. Det løser også følgende sårbarheder i Windows:

  • 3177356 MS16-095: Kumulativ sikkerhedsopdatering til Internet Explorer: 9. august 2016
  • 3177358 MS16-096: Samlet sikkerhedsopdatering til Microsoft Edge: 9. august 2016
  • 3177393 MS16-097: Sikkerhedsopdatering til Microsoft-grafikkomponent: 9. august 2016
  • 3178466 MS16-098: Sikkerhedsopdatering til kernetilstandsdrivere: 9. august 2016
  • 3178465 MS16-101: Sikkerhedsopdatering til Windows-godkendelsesmetoder: 9. august 2016
  • 3182248 MS16-102: Sikkerhedsopdatering til Microsoft Windows PDF-bibliotek: 9. august 2016
  • 3182332 MS16-103: Sikkerhedsopdatering til ActiveSyncProvider: 9. august 2016

Windows 10-opdateringer er kumulative. Derfor indeholder denne pakke alle tidligere udsendte rettelser.

Hvis du har installeret tidligere opdateringer, er det kun de nye rettelser i denne pakke, som downloades og installeres på din computer. Hvis du installerer en Windows 10-opdateringspakke for første gang, er pakken til x86-versionen 366 MB, og pakken til x64-versionen er 776 MB.

Flere oplysninger

Kendte problemer i denne sikkerhedsopdatering

  • Kendt problem 1

    De sikkerhedsopdateringer, der leveres i MS16-101 og nyere opdateringer, deaktiverer muligheden for, at forhandlingsprocessen kan gå tilbage til NTLM, når Kerberos-godkendelse mislykkes for handlinger til ændring af adgangskode med fejlkoden STATUS_NO_LOGON_SERVERS (0xc000005e). I denne situation modtager du muligvis en af følgende fejlkoder.

    Hexadecimal Decimal Symbolsk Venlig
    0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Systemet har registreret et muligt forsøg på at kompromittere sikkerheden. Sørg for, at du kan kontakte den server, der godkendte dig.
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Systemet har registreret et muligt forsøg på at kompromittere sikkerheden. Sørg for, at du kan kontakte den server, der godkendte dig.

    Løsning

    Hvis tidligere vellykkede ændringer af adgangskoder mislykkes efter installationen af MS16-101, er det sandsynligt, at ændringer af adgangskoden tidligere var afhængige af NTLM-fallback, fordi Kerberos mislykkedes. Følg disse trin for at ændre adgangskoder ved hjælp af Kerberos-protokoller:

    1. Konfigurer åben kommunikation på TCP-port 464 mellem klienter, der har MS16-101 installeret, og domænecontrolleren, der behandler nulstilling af adgangskoder.

      Skrivebeskyttede domænecontrollere (RODC'er) kan betjene nulstilling af adgangskoder via selvbetjening, hvis brugeren er tilladt i henhold til politikken for replikering af adgangskode for RODC'er. Brugere, der ikke er tilladt i henhold til RODC-adgangskodepolitikken, skal have netværksforbindelse til en læse-/skrive-domænecontroller (RWDC) på brugerkontoens domæne.

      Bemærk! Hvis du vil kontrollere, om TCP-port 464 er åben, skal du følge disse trin:

      1. Opret et tilsvarende skærmfilter til din netværksmonitorparser. Det kunne f.eks. være:

         

        IPv4.Address== <IP-adressen på klienten> && TCP.port==464

      2. I resultaterne skal du kigge efter rammen "TCP:[SynReTransmit".

        Rammeoversigt

    2. Sørg for, at Kerberos-målnavnene er gyldige. IP-adresser er ikke gyldige for Kerberos-protokollen. Kerberos understøtter korte navne og fuldt kvalificerede domænenavne).

    3. Sørg for, at tjenesteprincipalnavne (SPN'er) er registreret korrekt.

      Du kan finde flere oplysninger under Kerberos og Self-Service Nulstilling af adgangskode.

  • Kendt problem 2

    Vi kender til et problem, hvor programmeringsmæssig nulstilling af adgangskoder for domænebrugerkonti mislykkes og returnerer fejlkoden STATUS_DOWNGRADE_DETECTED (0x800704F1), hvis den forventede fejl er et af følgende:

    • ERROR_INVALID_PASSWORD
    • ERROR_PWD_TOO_SHORT (returneres sjældent)
    • STATUS_WRONG_PASSWORD
    • STATUS_PASSWORD_RESTRICTION

    I følgende tabel vises den komplette fejltilknytning.

    Hexadecimal Decimal Symbolsk Venlig
    0x56 86 ERROR_INVALID_PASSWORD Den angivne adgangskode til netværket er ikke korrekt.
    0x267 615 ERROR_PWD_TOO_SHORT Den adgangskode, der blev angivet, er for kort til at opfylde politikken for din brugerkonto. Angiv en længere adgangskode.
    0xc000006a -1073741718 STATUS_WRONG_PASSWORD Når du prøver at opdatere en adgangskode, angiver denne returstatus, at den værdi, der blev angivet som den aktuelle adgangskode, er forkert.
    0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Når du forsøger at opdatere en adgangskode, angiver denne returstatus, at en regel for opdatering af en adgangskode er blevet overtrådt. Adgangskoden opfylder f.eks. muligvis ikke længdekriteriet.
    0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Systemet kan ikke kontakte en domænecontroller, så det kan behandle godkendelsesanmodningen. Prøv igen senere.
    0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Systemet kan ikke kontakte en domænecontroller, så det kan behandle godkendelsesanmodningen. Prøv igen senere.

     Løsning

    MS16-101 er blevet udgivet igen for at løse dette problem. Installér den seneste version af opdateringerne til denne bulletin for at løse dette problem.

  • Kendt problem 3

    Vi kender til et problem, hvor programmatiske nulstillinger af ændringer af adgangskoder til lokale brugerkonti kan mislykkes og returnere fejlkoden STATUS_DOWNGRADE_DETECTED (0x800704F1).

    I følgende tabel vises den komplette fejltilknytning.

    Hexadecimal Decimal Symbolsk Venlig
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Systemet kan ikke kontakte en domænecontroller, så det kan behandle godkendelsesanmodningen. Prøv igen senere.

     Løsning

    MS16-101 er blevet udgivet igen for at løse dette problem. Installér den seneste version af opdateringerne til denne bulletin for at løse dette problem.

  • Kendt problem 4

    Adgangskoder til deaktiverede og låste brugerkonti kan ikke ændres ved hjælp af forhandlingspakken.

    Ændringer af adgangskoder for deaktiverede og låste konti fungerer stadig, når du bruger andre metoder, f.eks. når du bruger en LDAP-ændringshandling direkte. PowerShell-cmdlet'en Set-ADAccountPassword bruger f.eks. handlingen "LDAP Modify" til at ændre adgangskoden og forbliver uændret.

    Løsning

    Disse konti kræver, at en administrator foretager nulstilling af adgangskoder. Denne funktionsmåde er tilsigtet, når du har installeret MS16-101 og nyere rettelser.

  • Kendt problem 5

    Programmer, der bruger NetUserChangePassword API'en, og som overfører et servernavn i parameteren domænenavn , fungerer ikke længere, når MS16-101 og nyere opdateringer er installeret.

    I Microsoft-dokumentationen angives det, at angivelse af et fjernservernavn i domænenavnsparameteren for funktionen NetUserChangePassword understøttes. I MSDN-emnet for funktionen NetUserChangePassword står der f.eks. følgende:

    domainname [in]
    En pointer til en konstant streng, der angiver DNS- eller NetBIOS-navnet på en fjernserver eller et fjerndomæne, hvor funktionen skal køres. Hvis denne parameter er NULL, bruges logondomænet for afsenderen af kaldet. Denne vejledning er dog blevet erstattet af MS16-101, medmindre nulstillingen af adgangskoden er til en lokal konto på den lokale computer. Efter MS16-101 skal du overføre et gyldigt DNS-domænenavn til NetUserChangePassword API'en, for at ændringerne af brugeradgangskoden til domænet skal fungere.

  • Kendt problem 6

    Når du har installeret denne sikkerhedsopdatering og derefter udskriver flere dokumenter i træk, udskrives de to første dokumenter muligvis korrekt, men det tredje og efterfølgende dokumenter udskrives muligvis ikke.

    Gør et af følgende for at løse dette problem:

    • Installér opdatering 3187022. Du kan finde flere oplysninger ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:
      3187022 Udskrivningsfunktionalitet virker ikke, når nogen af MS16-098-sikkerhedsopdateringerne er installeret
    • Installer opdateringen 3186987 fra webstedet Microsoft Update-katalog .

    Dette problem er også løst i Microsoft-sikkerhedsbulletin MS16-106.

  • Kendt problem 7

    Når du har installeret de sikkerhedsopdateringer, der er beskrevet i MS16-101, mislykkes fjernændringer, programmæssige ændringer af en lokal brugerkontoadgangskode og adgangskodeændringer på tværs af upålidelige skove.

    Denne handling mislykkes, fordi handlingen er afhængig af NTLM-fallback, som ikke længere understøttes for ikke-lokale konti, når MS16-101 er installeret.

    Der findes en post i registreringsdatabasen, som du kan bruge til at deaktivere denne ændring.

    Denne løsning kan gøre en computer eller et netværk mere sårbar over for angreb fra ondsindede brugere eller skadelig software, som f.eks vira. Vi anbefaler ikke denne midlertidige løsning, men stiller disse oplysninger til rådighed, så du kan implementere løsningen efter eget skøn. Brug denne løsning på eget ansvar.

    VigtigtDette afsnit, denne metode eller opgave indeholder trin, der beskriver, hvordan du redigerer registreringsdatabasen. Der kan dog opstå alvorlige problemer, hvis du redigerer registreringsdatabasen forkert. Derfor skal du nøje følge nedenstående fremgangsmåde. For at sikre dig mod problemer skal du sikkerhedskopiere registreringsdatabasen, før du redigerer den. Du kan derefter gendanne registreringsdatabasen, hvis der opstår et problem. Du finder yderligere oplysninger om, hvordan du sikkerhedskopierer og gendanner registreringsdatabasen, ved at klikke på nedenstående artikelnummer for at få vist artiklen i Microsoft Knowledge Base:
    322756 Sådan sikkerhedskopieres og gendannes registreringsdatabasen i Windows

    Hvis du vil deaktivere denne ændring, skal du indstille DWORD-posten NegoAllowNtlmPwdChangeFallback til at bruge en værdi på 1 (en).

    Vigtigt! Hvis du angiver registreringsdatabaseposten NegoAllowNtlmPwdChangeFallback til værdien 1, deaktiveres denne sikkerhedsrettelse:

    Værdi i registreringsdatabasen Beskrivelse
    0 Standardværdi. Fallback er forhindret.
    1 Fallback er altid tilladt. Sikkerhedsrettelsen er slået fra. Kunder, der har problemer med eksterne lokale konti eller scenarier med upålidelige skove, kan angive registreringsdatabasen til denne værdi.

    Følg disse trin for at tilføje disse registreringsdatabaseværdier:

    1. Klik på Start, og klik derefter på Kør, skriv regedit i feltet Åbn, og klik derefter på OK.

    2. Find og klik derefter på følgende undernøgle i registreringsdatabasen:
      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

    3. I menuen Rediger skal du pege på Ny og derefter klikke på DWORD-værdi.

    4. Omdøb det relevante DWORD til NegoAllowNtlmPwdChangeFallback, og tryk derefter på ENTER.

    5. Højreklik på NegoAllowNtlmPwdChangeFallback, og klik derefter på Rediger.

    6. I feltet Værdidata skal du skrive 1 for at deaktivere denne ændring og derefter klikke på OK.

      Bemærk! Hvis du vil gendanne standardværdien, skal du skrive 0 (nul) og derefter klikke på OK.

    Status

    Den grundlæggende årsag til dette problem er forstået. Denne artikel opdateres med yderligere oplysninger, efterhånden som de bliver tilgængelige.

Sådan henter du denne opdatering

Vigtigt! Hvis du installerer en sprogpakke, når du har installeret denne opdatering, skal du geninstallere denne opdatering. Vi anbefaler derfor, at du installerer de sprogpakker, du har brug for, før du installerer denne opdatering. Du kan få mere at vide under Føj sprogpakker til Windows.

Metode 1: Windows Update

Denne opdatering vil blive downloadet og installeret automatisk.

Metode 2: Microsoft Update-katalog

Du kan få den separate pakke til denne opdatering ved at gå til webstedet Microsoft Update-katalog.

Forudsætninger

Der er ingen forudsætninger for at installere denne opdatering.

Oplysninger om genstart

Du skal genstarte computeren, når du har installeret denne opdatering.

Oplysninger om ny opdatering

Denne opdatering erstatter den tidligere udsendte opdatering 3163912.
 

Filoplysninger

Du kan få en liste over de filer, som denne samlede opdatering indeholder, ved at downloade filoplysninger for den samlede opdatering 3176492.

Referencer

Få mere at vide om den terminologi, som Microsoft bruger til at beskrive softwareopdateringer.