Kumulatives Update für Windows 10: 9. August 2016

Gilt für
Windows 10

Wichtig Dieser Artikel enthält Informationen darüber, wie Sie die Sicherheitseinstellungen senken oder die Sicherheitsfeatures eines Computers deaktivieren können. Sie können diese Änderungen vornehmen, um ein bestimmtes Problem zu umgehen. Wir raten Ihnen jedoch, zunächst die Risiken dieser Problemumgehung für Ihre Umgebung abzuschätzen, bevor Sie die genannten Änderungen vornehmen. Falls Sie diese Problemumgehung einsetzen, sollten Sie entsprechende Maßnahmen treffen, um Ihren Computer zu schützen.

Zusammenfassung

Dieses Sicherheitsupdate enthält Verbesserungen und behebt die Funktionalität von Windows 10. Es behebt außerdem die folgenden Sicherheitsanfälligkeiten in Windows:

  • 3177356 MS16-095: Kumulatives Sicherheitsupdate für Internet Explorer: 9. August 2016
  • 3177358 MS16-096: Kumulatives Sicherheitsupdate für Microsoft Edge: 9. August 2016
  • 3177393 MS16-097: Sicherheitsupdate für Microsoft-Grafikkomponente: 9. August 2016
  • 3178466 MS16-098: Sicherheitsupdate für Kernelmodustreiber: 9. August 2016
  • 3178465 MS16-101: Sicherheitsupdate für Windows-Authentifizierung Methoden: 9. August 2016
  • 3182248 MS16-102: Sicherheitsupdate für die Microsoft Windows-PDF-Bibliothek: 9. August 2016
  • 3182332 MS16-103: Sicherheitsupdate für ActiveSyncProvider: 9. August 2016

Windows 10-Updates sind kumulativ. Daher enthält dieses Paket alle zuvor veröffentlichten Fixes.

Wenn Sie frühere Updates installiert haben, werden nur die neuen Korrekturen, die in diesem Paket enthalten sind, heruntergeladen und auf Ihrem Computer installiert. Wenn Sie ein Windows 10-Updatepaket zum ersten Mal installieren, ist das Paket für die x86-Version 366 MB und das Paket für die x64-Version 776 MB groß.

Weitere Informationen

Bekannte Probleme bei diesem Sicherheitsupdate

  • Bekanntes Problem 1

    Die Sicherheitsupdates, die in MS16-101 und neueren Updates bereitgestellt werden, deaktivieren die Möglichkeit des Aushandlungsprozesses, auf NTLM zurückzugreifen, wenn die Kerberos-Authentifizierung für Kennwortänderungsvorgänge mit dem Fehlercode STATUS_NO_LOGON_SERVERS (0xc000005e) fehlschlägt. In dieser Situation erhalten Sie möglicherweise einen der folgenden Fehlercodes.

    Hexadezimal Dezimal Symbolisch Freundlich
    0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat.
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat.

    Problemumgehung

    Wenn zuvor erfolgreiche Kennwortänderungen nach der Installation von MS16-101 fehlschlagen, ist es wahrscheinlich, dass Kennwortänderungen zuvor auf NTLM-Fallback angewiesen waren, da Kerberos fehlschlug. Gehen Sie folgendermaßen vor, um Kennwörter mithilfe von Kerberos-Protokollen erfolgreich zu ändern:

    1. Konfigurieren Sie die offene Kommunikation auf TCP-Port 464 zwischen Clients, auf denen MS16-101 installiert ist, und dem Domänencontroller, der die Kennwortzurücksetzungen durchführt.

      Schreibgeschützte Domänencontroller (Read-Only Domain Controllers, RODC) können Self-Service-Kennwortzurücksetzungen durchführen, wenn der Benutzer von der RODC-Kennwortreplikationsrichtlinie zugelassen wird. Benutzer, die von der RODC-Kennwortrichtlinie nicht zugelassen werden, benötigen Netzwerkkonnektivität zu einem Lese-/Schreibdomänencontroller (RWDC) in der Domäne des Benutzerkontos.

      Hinweis: Gehen Sie folgendermaßen vor, um zu überprüfen, ob TCP-Port 464 geöffnet ist:

      1. Erstellen Sie einen entsprechenden Anzeigefilter für den Netzwerkmonitorparser. Beispiel:

         

        IPv4.address== <IP-Adresse des Clients> && TCP.Port==464

      2. Suchen Sie in den Ergebnissen nach dem Frame "TCP:[SynReTransmit".

        Framezusammenfassung

    2. Stellen Sie sicher, dass die Kerberos-Zielnamen gültig sind. (IP-Adressen sind für das Kerberos-Protokoll nicht gültig. Kerberos unterstützt Kurznamen und vollqualifizierte Domänennamen.)

    3. Stellen Sie sicher, dass Dienstprinzipalnamen (Service Principal Names, SPNs) ordnungsgemäß registriert sind.

      Weitere Informationen finden Sie unter Kerberos und Self-Service Kennwortzurücksetzung.

  • Bekanntes Problem 2

    Uns ist ein Problem bekannt, bei dem die programmgesteuerte Kennwortzurücksetzung von Domänenbenutzerkonten fehlschlägt und den Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgibt, wenn der erwartete Fehler einer der folgenden ist:

    • ERROR_INVALID_PASSWORD
    • ERROR_PWD_TOO_SHORT (selten zurückgegeben)
    • STATUS_WRONG_PASSWORD
    • STATUS_PASSWORD_RESTRICTION

    Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.

    Hexadezimal Dezimal Symbolisch Freundlich
    0x56 86 ERROR_INVALID_PASSWORD Das angegebene Netzwerkkennwort ist nicht korrekt.
    0x267 615 ERROR_PWD_TOO_SHORT Das angegebene Kennwort ist zu kurz, um den Richtlinien Ihres Benutzerkontos zu entsprechen. Geben Sie ein längeres Kennwort an.
    0xc000006a -1073741718 STATUS_WRONG_PASSWORD Wenn Sie versuchen, ein Kennwort zu aktualisieren, zeigt dieser Status an, dass der Wert, der als aktuelles Kennwort angegeben wurde, falsch ist.
    0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Wenn Sie versuchen, ein Kennwort zu aktualisieren, weist dieser Status darauf hin, dass eine Kennwortaktualisierungsregel verletzt wurde. Beispielsweise erfüllt das Kennwort möglicherweise nicht die Längenkriterien.
    0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.
    0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.

     Lösung

    MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.

  • Bekanntes Problem 3

    Uns ist ein Problem bekannt, bei dem programmgesteuerte Zurücksetzungen von Kennwortänderungen für lokale Benutzerkonten fehlschlagen und der Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgegeben wird.

    Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.

    Hexadezimal Dezimal Symbolisch Freundlich
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.

     Lösung

    MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.

  • Bekanntes Problem 4

    Kennwörter für deaktivierte und gesperrte Benutzerkonten können mithilfe des Verhandlungspakets nicht geändert werden.

    Kennwortänderungen für deaktivierte und gesperrte Konten funktionieren weiterhin, wenn andere Methoden verwendet werden, z. B. wenn Sie einen LDAP-Änderungsvorgang direkt verwenden. Beispielsweise verwendet das PowerShell-Cmdlet Set-ADAccountPassword den Vorgang "LDAP Modify", um das Kennwort zu ändern, und bleibt davon unberührt.

    Problemumgehung

    Für diese Konten muss ein Administrator das Kennwort zurücksetzen. Dieses Verhalten ist beabsichtigt, nachdem Sie MS16-101 und höhere Fixes installiert haben.

  • Bekanntes Problem 5

    Anwendungen, die die NetUserChangePassword-API verwenden und einen Servernamen im domainname-Parameter übergeben, funktionieren nach der Installation von MS16-101 und neueren Updates nicht mehr.

    In der Microsoft-Dokumentation heißt es, dass die Angabe eines Remoteservernamens im domainname-Parameter der NetUserChangePassword-Funktion unterstützt wird. Das MSDN-Thema zur NetUserChangePassword-Funktion besagt beispielsweise Folgendes:

    domainname [at]
    Ein Zeiger auf eine konstante Zeichenfolge, die den DNS- oder NetBIOS-Namen eines Remoteservers oder einer Domäne angibt, auf dem die Funktion ausgeführt werden soll. Wenn dieser Parameter NULL ist, wird die Anmeldedomäne des Aufrufers verwendet. Dieser Leitfaden wurde jedoch durch MS16-101 ersetzt, es sei denn, die Kennwortzurücksetzung betrifft ein lokales Konto auf dem lokalen Computer. Damit nach MS16-101 Domänenbenutzerkennwortänderungen wirksam werden, müssen Sie einen gültigen DNS-Domänennamen an die NetUserChangePassword-API übergeben.

  • Bekanntes Problem 6

    Nachdem Sie dieses Sicherheitsupdate angewendet haben und mehrere Dokumente nacheinander drucken, werden möglicherweise die ersten beiden Dokumente erfolgreich gedruckt, das dritte und nachfolgende Dokumente werden jedoch möglicherweise nicht gedruckt.

    Führen Sie eine der folgenden Aktionen aus, um dieses Problem zu beheben:

    • Update-3187022 installieren. Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
      3187022 Die Druckfunktion ist nach der Installation eines der MS16-098-Sicherheitsupdates unterbrochen
    • Installieren Sie Update 3186987 von der Microsoft Update-Katalog-Website .

    Dieses Problem wurde auch im Microsoft-Sicherheitsbulletin MS16-106 behoben.

  • Bekanntes Problem 7

    Nach der Installation der Sicherheitsupdates, die in MS16-101 beschrieben werden, schlagen remote, programmgesteuerte Änderungen eines Kennworts eines lokalen Benutzerkontos und Kennwortänderungen in einer nicht vertrauenswürdigen Gesamtstruktur fehl.

    Dieser Vorgang schlägt fehl, da der Vorgang auf NTLM-Fallback angewiesen ist, das für nicht lokale Konten nach der Installation von MS16-101 nicht mehr unterstützt wird.

    Es wird ein Registrierungseintrag bereitgestellt, mit dem Sie diese Änderung deaktivieren können.

    Warnung Durch diese Problemumgehung wird ein Computer oder Netzwerk möglicherweise anfälliger für Angriffe böswilliger Benutzer oder gefährlicher Software, wie etwa Viren. Diese Problemumgehung wird nicht von Microsoft empfohlen, wird jedoch hier aufgeführt, damit Sie diese Option nach eigenem Ermessen anwenden können. Sie verwenden diese Problemumgehung auf eigene Gefahr.

    Wichtig: Dieser Abschnitt, diese Methode oder Aufgabe enthält Schritte, die Ihnen sagen, wie Sie die Registrierung ändern. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:
    322756 Sichern und Wiederherstellen der Registrierung in Windows

    Um diese Änderung zu deaktivieren, legen Sie den DWORD-Eintrag NegoAllowNtlmPwdChangeFallback auf den Wert 1 (Eins) fest.

    Wichtig: Wenn Sie den Registrierungseintrag "NegoAllowNtlmPwdChangeFallback" auf den Wert "1" festlegen, wird dieser Sicherheitsfix deaktiviert:

    Registrierungswert Beschreibung
    0 Standardwert. Ein Fallback wird verhindert.
    1 Fallback ist immer zulässig. Der Sicherheitsfix ist deaktiviert. Kunden, die Probleme mit lokalen Remotekonten oder Szenarien mit nicht vertrauenswürdigen Gesamtstrukturen haben, können die Registrierung auf diesen Wert festlegen.

    Gehen Sie folgendermaßen vor, um diese Registrierungswerte hinzuzufügen:

    1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.

    2. Suchen Sie den folgenden Registrierungsunterschlüssel in der Registrierung, und klicken Sie dann darauf:
      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

    3. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf DWORD-Wert.

    4. Geben Sie NegoAllowNtlmPwdChangeFallback als Namen für DWORD ein, und drücken Sie dann die EINGABETASTE.

    5. Klicken Sie mit der rechten Maustaste auf NegoAllowNtlmPwdChangeFallback, und klicken Sie dann auf Ändern.

    6. Geben Sie im Feld "Wertdaten" den Wert "1" ein, um diese Änderung zu deaktivieren, und klicken Sie dann auf "OK".

      Hinweis: Um den Standardwert wiederherzustellen, geben Sie 0 (null) ein, und klicken Sie dann auf OK.

    Status

    Die Ursache dieses Problems ist bekannt. Dieser Artikel wird mit zusätzlichen Details aktualisiert, sobald diese verfügbar sind.

So erhalten Sie dieses Update

Wichtig Wenn Sie nach der Installation dieses Updates ein Language Pack installieren, müssen Sie dieses Update erneut installieren. Daher wird empfohlen, alle benötigen Language Packs vor diesem Update zu installieren. Weitere Informationen finden Sie unter Hinzufügen von Language Packs zu Windows.

Methode 1: Windows Update

Dieses Update wird automatisch heruntergeladen und installiert.

Methode 2: Microsoft Update-Katalog

Das eigenständige Paket für dieses Update finden Sie auf der Microsoft Update-Katalog-Website.

Voraussetzungen

Es müssen keine speziellen Voraussetzungen für die Installation dieses Updates erfüllt werden.

Informationen zum Neustart

Sie müssen den Computer nach der Installation des Updates neu starten.

Informationen zur Ersetzung von Updates

Dieses Update ersetzt das zuvor veröffentlichte Update 3163912.
 

Dateiinformationen

Eine Liste der Dateien, die in diesem kumulativen Update bereitgestellt werden, finden Sie in den Dateiinformationen für das kumulative Update 3176492.

Referenzmaterial

Informieren Sie sich über die Terminologie, die Microsoft zum Beschreiben von Softwareupdates verwendet.