8. November 2022 – KB5020003 (Sicherheitsupdate)

Problembeschreibung

Nächster Schritt

Nachdem dieses Update oder ein späteres Windows-Update installiert wurde, sind Domänenbeitrittsvorgänge möglicherweise nicht erfolgreich, und der Fehler "0xaac (2732): NERR_AccountReuseBlockedByPolicy" tritt auf. Darüber hinaus ist der Text "Ein Konto mit demselben Namen ist in Active Directory vorhanden. Die erneute Verwendung des Kontos wurde durch die Sicherheitsrichtlinie blockiert" wird möglicherweise angezeigt.

Zu den betroffenen Szenarien gehören einige Domänenbeitritts- oder Neuerstellungsvorgänge, bei denen ein Computerkonto von einer anderen Identität als der Identität erstellt oder vorab bereitgestellt wurde, die für den Beitritt oder den erneuten Beitritt des Computers zur Domäne verwendet wird.

Weitere Informationen zu diesem Problem finden Sie unter KB5020276 – Netjoin: Änderungen an der Domänenbeitrittshärtung.

Hinweis Es ist unwahrscheinlich, dass dieses Problem bei Consumerdesktopeditionen von Windows aufgetreten ist.

Anleitungen zu diesem Problem finden Sie unter KB5020276 .

Nach der Installation von Windows-Updates, die am oder nach dem 8. November 2022 auf Windows-Servern veröffentlicht wurden, die die Domänencontrollerrolle verwenden, treten möglicherweise Probleme mit der Kerberos-Authentifizierung auf. Dieses Problem kann sich auf jede Kerberos-Authentifizierung in Ihrer Umgebung auswirken. Einige Szenarien, die möglicherweise betroffen sind:

• Bei der Domänenbenutzeranmeldung kann ein Fehler auftreten. Dies kann sich auch auf die Authentifizierung Active Directory-Verbunddienste (AD FS) (AD FS) auswirken.

• Gruppenverwaltete Dienstkonten (Group Managed Service Accounts, gMSA), die für Dienste wie Internetinformationsdienste (IIS-Webserver) verwendet werden, können möglicherweise nicht authentifiziert werden.

• Remotedesktopverbindungen, die Domänenbenutzer verwenden, können möglicherweise keine Verbindung herstellen.

• Möglicherweise können Sie nicht auf freigegebene Ordner auf Arbeitsstationen und Dateifreigaben auf Servern zugreifen.

• Beim Drucken, bei dem die Domänenbenutzerauthentifizierung erforderlich ist, kann ein Fehler auftreten.

Wenn dieses Problem auftritt, erhalten Sie möglicherweise ein Microsoft-Windows-Kerberos-Key-Distribution-Center-Ereignis-ID 4-Fehlerereignis im Abschnitt System des Ereignisprotokolls auf Ihrem Domänencontroller mit dem folgenden Text.

Hinweis Betroffene Ereignisse enthalten die Zeichenfolge "Der fehlende Schlüssel hat die ID 1":

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Hinweis Dieses Problem ist kein erwarteter Teil der Sicherheitshärtung für Netlogon und Kerberos ab Dem Sicherheitsupdate vom November 2022. Sie müssen die Anleitungen in diesen Artikeln auch dann befolgen, wenn dieses Problem behoben wurde.

Windows-Geräte, die von Consumern oder Geräten verwendet werden, die nicht Teil einer lokalen Domäne sind, sind von diesem Problem nicht betroffen. Azure Active Directory-Umgebungen, die nicht hybrid sind und keine lokales Active Directory Server aufweisen, sind nicht betroffen.

Dieses Problem wurde in Update KB5021652 behoben.

Nach der Installation dieses Updates oder eines späteren Updates auf einem Domänencontroller (DC) kann es beim Lokalen Sicherheitsautoritätssubsystemdienst (LSASS,exe) zu einem Speicherverlust kommen. Abhängig von der Workload Ihres Domänencontrollers und der Zeitspanne seit dem letzten Neustart des Servers kann LSASS die Arbeitsspeicherauslastung mit der Betriebszeit des Servers kontinuierlich erhöhen, und der Server reagiert möglicherweise nicht mehr oder startet automatisch neu.

Hinweis Die Out-of-Band-Updates für DCs, die am 17. November 2022 und am 18. November 2022 veröffentlicht wurden, sind möglicherweise von diesem Problem betroffen.

Um dieses Problem zu beheben, öffnen Sie eine Eingabeaufforderung als Administrator, und verwenden Sie den folgenden Befehl, um den Registrierungsschlüssel KrbtgtFullPacSignature auf 0 festzulegen:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Hinweis Nachdem dieses bekannte Problem behoben wurde, sollten Sie KrbtgtFullPacSignature auf eine höhere Einstellung festlegen, je nachdem, was Ihre Umgebung zulässt. Es wird empfohlen, den Erzwingungsmodus zu aktivieren, sobald Ihre Umgebung bereit ist.

Weitere Informationen zu diesem Registrierungsschlüssel finden Sie unter KB5020805: Verwalten von Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37967.

Wir arbeiten an einer Lösung und werden in einer zukünftigen Veröffentlichung ein Update bereitstellen.

Nach der Installation dieses Updates stellen Apps, die ODBC-Verbindungen über Microsoft ODBC SQL Server Driver (sqlsrv32.dll) verwenden, möglicherweise keine Verbindung mehr her. Darüber hinaus erhalten Sie möglicherweise einen Fehler in der App, oder Sie erhalten einen Fehler vom SQL Server. Zu den Fehlern, die Sie möglicherweise erhalten, gehören die folgenden Meldungen:

• Beim EMS-System ist ein Problem aufgetreten.
  Meldung: [Microsoft][ODBC SQL Server Driver] Protokollfehler im TDS-Stream.

• Beim EMS-System ist ein Problem aufgetreten.
  Meldung: [Microsoft][ODBC SQL Server Driver] Unbekanntes Token, das von SQL Server empfangen wurde.

Hinweis für Entwickler: Apps, die von diesem Problem betroffen sind, können möglicherweise keine Daten abrufen, z. B. bei Verwendung der SQLFetch-Funktion. Dieses Problem kann auftreten, wenn die SQLBindCol-Funktion vor SQLFetch oder die SQLGetData-Funktion nach SQLFetch aufgerufen wird und wenn für das BufferLength-Argument ein Wert von 0 (null) für feste Datentypen angegeben wird, die größer als 4 Byte sind (z. B. SQL_C_FLOAT).

Um zu entscheiden, ob Sie eine betroffene App verwenden, öffnen Sie die App, die eine Verbindung mit einer Datenbank herstellt. Öffnen Sie ein Eingabeaufforderungsfenster, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE:

tasklist /m sqlsrv32.dll

Wenn der Befehl eine Aufgabe zurückgibt, kann die App betroffen sein.

Um dieses Problem zu beheben, können Sie eine der folgenden Aktionen ausführen:

• Wenn Ihre App bereits den Datenquellennamen (Data Source Name, DSN) zum Auswählen von ODBC-Verbindungen verwendet oder verwenden kann, installieren Sie Microsoft ODBC Driver 17 for SQL Server, und wählen Sie ihn für die Verwendung mit Ihrer App mithilfe von DSN aus.
  
  Hinweis: Wir empfehlen die neueste Version von Microsoft ODBC Driver 17 für SQL Server, da er mit Apps kompatibel ist, die derzeit den älteren Microsoft ODBC SQL Server Driver (sqlsrv32.dll) verwenden, als Microsoft ODBC Driver 18 for SQL Server.

• Wenn Ihre App DSN nicht verwenden kann, muss die App geändert werden, um dsN zuzulassen oder einen neueren ODBC-Treiber als Microsoft ODBC SQL Server Driver (sqlsrv32.dll) zu verwenden.

Dieses Problem wurde in KB5022343 behoben. Wenn Sie die oben genannte Problemumgehung implementiert haben, wird empfohlen, die Konfiguration weiterhin in der Problemumgehung zu verwenden.

Veröffentlichungskanal

Verfügbar

Nächster Schritt

Windows Update und Microsoft Update

Nein

Siehe die sonstigen Optionen weiter unten.

Microsoft Update-Katalog

Ja

Um das eigenständige Paket für dieses Update zu erhalten, wechseln Sie zur Website des Microsoft Update-Katalogs.

Windows Server Update Services (WSUS)

Ja

Dieses Update wird automatisch mit WSUS synchronisiert, wenn Sie Produkte und Klassifizierungen wie folgt konfigurieren:

Produkt: Windows Server 2012, Windows Embedded 8 Standard

Klassifizierung: Sicherheitsupdate