8. November 2022—KB5020003 (reines Sicherheitsupdate)

Zusammenfassung

Hier erhalten Sie weitere Informationen zu diesem reinen Sicherheitsupdate, einschließlich Verbesserungen und bekannten Problemen, und zum Beziehen des Updates.

Verbesserungen

Dieses reine Sicherheitsupdate enthält wichtige Änderungen für Folgendes:

• Updates die Sommerzeit für Jordanien eingeführt, um zu verhindern, dass die Uhr am 28. Oktober 2022 um 1 Stunde zurückgestellt wird. Außerdem wird der Anzeigename der Jordanischen Standardzeit von "(UTC+02:00) Amman" in "(UTC+03:00) Amman" geändert.

• Behebt ein Problem, bei dem nach der Installation des Updates vom 11. Januar 2022 oder höher beim Erstellungsprozess der Gesamtstruktur-Vertrauensstellung die DNS-Namenssuffixe nicht in die Vertrauensinformationsattribute eingetragen werden.

• Behebt Sicherheitsrisiken in den Kerberos- und Netlogon-Protokollen, wie in CVE-2022-38023, CVE-2022-37966 und CVE-2022-37967 beschrieben. Hinweise zur Bereitstellung finden Sie in den folgenden Artikeln:

  • KB5020805: Verwalten der Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37967
  • KB5021130: So verwalten Sie die Netlogon-Protokolländerungen im Zusammenhang mit CVE-2022-38023
  • KB5021131: Verwalten der Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37966

  Weitere Informationen zu den behobenen Sicherheitsanfälligkeiten finden Sie in den Bereitstellungen | Leitfaden für Sicherheitsupdates und die SicherheitsUpdates vom November 2022.

Weitere Informationen zu den behobenen Sicherheitsanfälligkeiten finden Sie in den Bereitstellungen | Leitfaden für Sicherheitsupdates und die SicherheitsUpdates vom November 2022.

Bekannte Probleme bei diesem Update

Problembeschreibung	Nächster Schritt
Nach der Installation dieses Updates oder eines späteren Windows-Updates sind Domänenbeitrittsvorgänge möglicherweise nicht erfolgreich, und es tritt der Fehler "0xaac (2732): NERR_AccountReuseBlockedByPolicy" auf. Außerdem wird der Text "In Active Directory ist ein Konto mit demselben Namen vorhanden. Die Wiederverwendung des Kontos wurde durch Sicherheitsrichtlinien blockiert" angezeigt. Zu den betroffenen Szenarien gehören Vorgänge beim Domänenbeitritt oder bei der Neuabbildvorgänge, bei denen ein Computerkonto mit einer anderen Identität als der Identität erstellt oder vorab bereitgestellt wurde, die für den Beitritt oder den erneuten Beitritt des Computers zur Domäne verwendet wurde. Weitere Informationen zu diesem Problem finden Sie unter KB5020276–Netjoin: Änderungen bei der Härtung des Domänenbeitritts. Hinweis Bei Desktopeditionen von Windows für Privatanwender ist es unwahrscheinlich, dass dieses Problem auftritt.	Informationen zu diesem Problem finden Sie KB5020276 .
Nach der Installation von Windows-Updates, die am oder nach dem 8. November 2022 auf Windows-Servern veröffentlicht wurden, die die Domänencontrollerrolle verwenden, treten möglicherweise Probleme mit der Kerberos-Authentifizierung auf. Dieses Problem kann sich auf jede Kerberos-Authentifizierung in Ihrer Umgebung auswirken. Einige Szenarien, die möglicherweise betroffen sind: Die Anmeldung als Domänenbenutzer kann fehlschlagen. Dies kann sich auch auf die Authentifizierung der Active Directory-Verbunddienste (AD FS) (AD FS) auswirken. Gruppenverwaltete Dienstkonten (Group Managed Service Accounts, gMSA), die für Dienste wie Internetinformationsdienste (IIS-Webserver) verwendet werden, können möglicherweise nicht authentifiziert werden. Remotedesktopverbindungen, die Domänenbenutzer verwenden, könnten fehlschlagen. U. U. können Sie nicht auf freigegebene Ordner auf Arbeitsstationen und Dateifreigaben auf Servern zugreifen. Beim Drucken, bei dem die Domänenbenutzerauthentifizierung erforderlich ist, kann ein Fehler auftreten. Wenn dieses Problem auftritt, erhalten Sie möglicherweise ein Microsoft-Windows-Kerberos-Key-Distribution-Center-Ereignis-ID 4-Fehlerereignis im Abschnitt System des Ereignisprotokolls auf Ihrem Domänencontroller mit dem folgenden Text. Hinweis Betroffene Ereignisse enthalten die Zeichenfolge " Der fehlende Schlüssel hat die ID 1": Bei der Verarbeitung einer AS-Anforderung für den Zieldienstdienst <>verfügte der <Kontokontoname> nicht über einen geeigneten Schlüssel zum Generieren eines Kerberos-Tickets (der fehlende Schlüssel hat die ID 1). Die angeforderten Typen : 18 3. Verfügbare Konten Typen : 23 18 17. Wenn Sie das Kennwort des <Kontonamens> ändern oder zurücksetzen, wird ein geeigneter Schlüssel generiert. Hinweis Dieses Problem ist kein erwarteter Teil der Sicherheitshärtung für Netlogon und Kerberos ab dem Sicherheitsupdate vom November 2022. Sie müssen die Anleitungen in diesen Artikeln auch dann befolgen, wenn dieses Problem behoben wurde. Windows-Geräte, die von Consumern oder Geräten verwendet werden, die nicht Teil einer lokalen Domäne sind, sind von diesem Problem nicht betroffen. Azure Active Directory-Umgebungen, die nicht hybrid sind und keine lokales Active Directory Server aufweisen, sind nicht betroffen.	Dieses Problem wird in Update KB5021652 behoben.
Nach der Installation dieses Updates oder eines späteren Updates auf einem Domänencontroller (DC) kann es beim Subsystemdienst für die lokale Sicherheitsautorität (LSASS,exe) zu einem Speicherverlust kommen. Abhängig von der Workload Ihres DC und der Zeitspanne seit dem letzten Neustart des Servers kann LSASS die Arbeitsspeicherauslastung mit der Betriebszeit des Servers kontinuierlich erhöhen, sodass der Server u. U. nicht mehr reagiert oder automatisch neu gestartet wird. Hinweis Die Out-of-Band-Updates für DCs, die am 17. November 2022 und am 18. November 2022 veröffentlicht wurden, sind möglicherweise von diesem Problem betroffen.	Um dieses Problem zu beheben, öffnen Sie eine Eingabeaufforderung als Administrator, und setzen Sie den Registrierungsschlüssel KrbtgtFullPacSignature mit dem folgenden Befehl auf 0: reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORDHinweis Nachdem dieses bekannte Problem behoben wurde, sollten Sie KrbtgtFullPacSignature auf eine höhere Einstellung festlegen, je nachdem, was Ihre Umgebung zulässt. Es wird empfohlen, den Erzwingungsmodus zu aktivieren, sobald Ihre Umgebung bereit ist. Weitere Informationen zu diesem Registrierungsschlüssel finden Sie unter KB5020805: Verwalten von Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37967. Wir arbeiten an einer Lösung und werden in einer kommenden Version ein Update bereitstellen.
Nach der Installation dieses Updates können Apps, die ODBC-Verbindungen über Microsoft ODBC SQL Server Driver (sqlsrv32.dll) für den Zugriff auf Datenbanken verwenden, möglicherweise keine Verbindung herstellen. Darüber hinaus erhalten Sie u. U. eine Fehlermeldung in der App oder vom SQL-Server. Zu den Fehlermeldungen, die Sie möglicherweise erhalten, gehören die folgenden: Beim EMS-System ist ein Problem aufgetreten. Meldung: [Microsoft][ODBC SQL Server Driver] Protokollfehler im TDS-Stream. Beim EMS-System ist ein Problem aufgetreten. Meldung: [Microsoft][ODBC SQL Server Driver] Unbekanntes Token vom SQL-Server erhalten. Hinweis für Entwickler: Apps, die von diesem Problem betroffen sind, können möglicherweise keine Daten abrufen, z. B. bei Verwendung der SQLFetch-Funktion. Dieses Problem kann auftreten, wenn die SQLBindCol-Funktion vor SQLFetch oder die SQLGetData-Funktion nach SQLFetch aufgerufen wird und wenn der Wert 0 (null) für das BufferLength-Argument für feste Datentypen angegeben wird, die größer als 4 Bytes sind (z. B. SQL_C_FLOAT). Um festzustellen, ob Sie eine betroffene App verwenden, öffnen Sie die App, die eine Verbindung zu einer Datenbank herstellt. Öffnen Sie ein Eingabeaufforderungsfenster, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE: Aufgabenliste /m sqlsrv32.dll Wenn der Befehl eine Aufgabe zurückgibt, könnte die App betroffen sein.	Um dieses Problem zu beheben, können Sie eine der folgenden Aktionen ausführen: Wenn Ihre App bereits den Datenquellennamen (Data Source Name, DSN) zum Auswählen von ODBC-Verbindungen verwendet oder verwenden kann, installieren Sie Microsoft ODBC-Treiber 17 für SQL Server, und wählen Sie ihn für die Verwendung mit Ihrer App mithilfe von DSN aus. Hinweis: Wir empfehlen die neueste Version des Microsoft ODBC-Treibers 17 für SQL Server, da er mit Apps kompatibel ist, die derzeit den Legacy-Microsoft ODBC SQL Server-Treiber (sqlsrv32.dll) verwenden als Microsoft ODBC-Treiber 18 für SQL Server. Wenn Ihre App DSN nicht verwenden kann, muss die App geändert werden, um DSN zuzulassen oder einen neueren ODBC-Treiber als Microsoft ODBC SQL Server Driver (sqlsrv32.dll) zu verwenden. Dieses Problem wurde in KB5022343 behoben. Wenn Sie die oben genannte Problemumgehung implementiert haben, wird empfohlen, die Konfiguration in der Problemumgehung weiterhin zu verwenden.

So erhalten Sie dieses Update

Bevor Sie dieses Update installieren

Microsoft empfiehlt dringend, das neueste SSU (Servicing Stack Update) für Ihr Betriebssystem vor dem neuesten Rollup zu installieren. SSUs verbessern die Zuverlässigkeit des Updatevorgangs. Dadurch wird das Risiko potenzieller Probleme beim Installieren des Rollups und beim Anwenden von Microsoft-Sicherheitsfixes reduziert. Allgemeine Informationen zu SSUs finden Sie unter Servicing Stack Updates und Servicing Stack Updates (SSU): Häufig gestellte Fragen.

Wenn Sie Windows Update verwenden, wird Ihnen automatisch das neueste SSU (KB5016263) angeboten. Das eigenständige Paket für das neueste SSU finden Sie auf der Microsoft Update-Katalog-Website.

Sprachpakete

Wenn Sie nach der Installation dieses Updates ein Language Pack installieren, müssen Sie dieses Update erneut installieren. Daher wird empfohlen, alle benötigen Language Packs vor diesem Update zu installieren. Weitere Informationen finden Sie unter Hinzufügen von Language Packs zu Windows.

Dieses Update installieren

Veröffentlichungskanal	Verfügbar	Nächster Schritt
Windows Update und Microsoft Update	Nein	Siehe die sonstigen Optionen weiter unten.
Microsoft Update-Katalog	Ja	Das eigenständige Paket für dieses Update finden Sie auf der Microsoft Update-Katalog-Website.
Windows Server Update Services (WSUS)	Ja	Dieses Update wird automatisch mit WSUS synchronisiert, wenn Sie Produkte und Klassifizierungen wie folgt konfigurieren: Produkt: Windows Server 2012, Windows Embedded 8 Standard Klassifizierung: Sicherheitsupdate

Dateiinformationen

Eine Liste der Dateien, die in diesem Update bereitgestellt werden, finden Sie im Dokument mit Dateiinformationen für Update KB5020003.

Informationsquellen

Lesen Sie den Artikel zur Standardterminologie, die zum Beschreiben von Microsoft-Softwareupdates verwendet wird.