8 Νοεμβρίου 2022 — KB5020003 (Ενημέρωση μόνο για την ασφάλεια)

Περίληψη

Μάθετε περισσότερα σχετικά με αυτήν την ενημέρωση αποκλειστικά για την ασφάλεια, όπως βελτιώσεις, γνωστά ζητήματα, καθώς και πώς μπορείτε να αποκτήσετε την ενημέρωση.

Βελτιώσεις

Αυτή η ενημέρωση αποκλειστικά για την ασφάλεια περιλαμβάνει βασικές αλλαγές για τα εξής:

• Ενημερώσεις τη θερινή ώρα (DST) για την Ιορδανία, για να αποτρέψετε τη μετακίνηση του ρολογιού 1 ώρα πίσω στις 28 Οκτωβρίου 2022. Επιπλέον, αλλάζει το εμφανιζόμενο όνομα της χειμερινής ώρας Ιορδανίας από "(UTC + 02:00) Αμμάν" σε "(UTC + 03:00) Αμμάν".

• Επιλύθηκε ένα πρόβλημα όπου, μετά την εγκατάσταση της ενημέρωσης της 11ης Ιανουαρίου 2022 ή μεταγενέστερης, η διαδικασία δημιουργίας αξιοπιστίας δάσους αποτυγχάνει να συμπληρώσει τα επιθήματα ονομάτων DNS στα χαρακτηριστικά πληροφοριών αξιοπιστίας.

• Αντιμετωπίζει ευπάθειες ασφαλείας στα πρωτόκολλα Kerberos και Netlogon, όπως περιγράφονται στα CVE-2022-38023, CVE-2022-37966 και CVE-2022-37967. Για οδηγίες ανάπτυξης, ανατρέξτε στα ακόλουθα άρθρα:

  • KB5020805: Τρόπος διαχείρισης των αλλαγών του πρωτοκόλλου Kerberos που σχετίζονται με το CVE-2022-37967
  • KB5021130: Τρόπος διαχείρισης των αλλαγών πρωτοκόλλου Netlogon που σχετίζονται με το CVE-2022-38023
  • KB5021131: Τρόπος διαχείρισης των αλλαγών του πρωτοκόλλου Kerberos που σχετίζονται με το CVE-2022-37966

  Για περισσότερες πληροφορίες σχετικά με τις ευπάθειες ασφαλείας που επιλύθηκαν, ανατρέξτε στο Αναπτύξεις | Οδηγός ενημέρωσης ασφαλείας και Ενημερώσεις ασφαλείας Νοεμβρίου 2022.

Για περισσότερες πληροφορίες σχετικά με τις ευπάθειες ασφαλείας που επιλύθηκαν, ανατρέξτε στο Αναπτύξεις | Οδηγός ενημέρωσης ασφαλείας και Ενημερώσεις ασφαλείας Νοεμβρίου 2022.

Γνωστά προβλήματα σε αυτήν την ενημέρωση

Σύμπτωμα	Επόμενο βήμα
Μετά την εγκατάσταση αυτής της ενημέρωσης ή μεταγενέστερης ενημέρωσης των Windows, οι λειτουργίες συμμετοχής σε τομέα ενδέχεται να μην είναι επιτυχείς και παρουσιάζεται το σφάλμα "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Επιπλέον, το κείμενο που αναφέρει: "Υπάρχει ένας λογαριασμός με το ίδιο όνομα στην υπηρεσία καταλόγου υπηρεσία καταλόγου Active Directory. Η επαναχρησιμοποίηση του λογαριασμού αποκλείστηκε από την πολιτική ασφαλείας". Τα σενάρια που επηρεάζονται περιλαμβάνουν ορισμένες λειτουργίες σύνδεσης σε τομέα ή επανάληψης απεικόνισης όπου ένας λογαριασμός υπολογιστή δημιουργήθηκε ή προ-προετοιμάστηκε από μια διαφορετική ταυτότητα από την ταυτότητα που χρησιμοποιήθηκε για τη σύνδεση ή την εκ νέου σύνδεση του υπολογιστή στον τομέα. Για περισσότερες πληροφορίες σχετικά με αυτό το πρόβλημα, ανατρέξτε στο θέμα KB5020276—Netjoin: Αλλαγές θωράκισης σύνδεσης τομέα. Σημείωση Οι εκδόσεις υπολογιστή για καταναλωτές των Windows είναι απίθανο να αντιμετωπίσουν αυτό το ζήτημα.	Ανατρέξτε KB5020276 για οδηγίες σχετικά με αυτό το πρόβλημα.
Μετά την εγκατάσταση ενημερώσεων των Windows που κυκλοφόρησαν στις ή μετά τις 8 Νοεμβρίου 2022 σε διακομιστές Windows που χρησιμοποιούν το ρόλο "Ελεγκτής τομέα", ενδέχεται να αντιμετωπίσετε προβλήματα με τον έλεγχο ταυτότητας Kerberos. Αυτό το πρόβλημα μπορεί να επηρεάσει οποιονδήποτε έλεγχο ταυτότητας Kerberos στο περιβάλλον σας. Μερικά σενάρια που ενδέχεται να επηρεαστούν: Η είσοδος χρήστη τομέα ενδέχεται να αποτύχει. Αυτό μπορεί επίσης να επηρεάσει τον έλεγχο ταυτότητας Υπηρεσίες Υπηρεσίες Active Directory Federation Services (AD FS). Οι λογαριασμοί υπηρεσίας διαχείρισης ομάδας (gMSA) που χρησιμοποιούνται για υπηρεσίες όπως οι υπηρεσίες Internet Information Services (IIS Web Server) ενδέχεται να αποτύχουν τον έλεγχο ταυτότητας. Οι συνδέσεις απομακρυσμένης επιφάνειας εργασίας που χρησιμοποιούν χρήστες τομέα ενδέχεται να αποτύχουν να συνδεθούν. Ενδέχεται να μην μπορείτε να αποκτήσετε πρόσβαση σε κοινόχρηστους φακέλους σε σταθμούς εργασίας και κοινόχρηστα αρχεία σε διακομιστές. Η εκτύπωση που απαιτεί έλεγχο ταυτότητας χρήστη τομέα ενδέχεται να αποτύχει. Όταν αντιμετωπίσετε αυτό το πρόβλημα, ενδέχεται να λάβετε ένα συμβάν σφάλματος αναγνωριστικού συμβάντος 4 Microsoft-Windows-Kerberos-Key-Distribution-Center στην ενότητα "Σύστημα" του αρχείου καταγραφής συμβάντων στον ελεγκτή τομέα σας με το παρακάτω κείμενο. Σημείωση Τα συμβάντα που επηρεάζονται θα περιέχουν " το κλειδί που λείπει έχει αναγνωριστικό 1" συμβολοσειρά: Κατά την επεξεργασία μιας αίτησης AS για την υπηρεσία> προορισμού<, το <όνομα> λογαριασμού λογαριασμού δεν είχε κατάλληλο αριθμό-κλειδί για τη δημιουργία ενός δελτίου Kerberos (το κλειδί που λείπει έχει αναγνωριστικό 1). Τα ζητούμενα etypes : 18 3. Οι διαθέσιμοι λογαριασμοί etypes : 23 18 17. Η αλλαγή ή η επαναφορά του κωδικού πρόσβασης του <ονόματος> λογαριασμού θα δημιουργήσει ένα σωστό κλειδί. Σημείωση Αυτό το πρόβλημα δεν είναι αναμενόμενο μέρος της θωρακισμού ασφαλείας για το Netlogon και το Kerberos από την ενημέρωση ασφαλείας του Νοεμβρίου 2022. Θα πρέπει να ακολουθήσετε τις οδηγίες σε αυτά τα άρθρα ακόμα και μετά την επίλυση αυτού του προβλήματος. Οι συσκευές Windows που χρησιμοποιούνται στο σπίτι από καταναλωτές ή συσκευές που δεν αποτελούν μέρος ενός τομέα εσωτερικής εγκατάστασης δεν επηρεάζονται από αυτό το πρόβλημα. Azure Τα περιβάλλοντα υπηρεσίας καταλόγου Active Directory που δεν είναι υβριδικά και δεν έχουν διακομιστές Active Directory εσωτερικής εγκατάστασης δεν επηρεάζονται.	Αυτό το πρόβλημα αντιμετωπίζεται στην ενημέρωση KB5021652.
Μετά την εγκατάσταση αυτής της ενημέρωσης ή μιας νεότερης ενημέρωσης σε έναν ελεγκτή τομέα (DC), ενδέχεται να αντιμετωπίσετε διαρροή μνήμης με την υπηρεσία υποσυστήματος τοπικής αρχής ασφαλείας (LSASS,exe). Ανάλογα με τον φόρτο εργασίας του ελεγκτή τομέα τομέα και το χρονικό διάστημα από την τελευταία επανεκκίνηση του διακομιστή, η υπηρεσία LSASS ενδέχεται να αυξάνει συνεχώς τη χρήση μνήμης σύμφωνα με τον χρόνο λειτουργίας του διακομιστή και ο διακομιστής μπορεί να σταματήσει να ανταποκρίνεται ή να επανεκκινηθεί αυτόματα. Σημείωση Οι ενημερώσεις εκτός ζώνης για DC που κυκλοφόρησαν στις 17 Νοεμβρίου 2022 και στις 18 Νοεμβρίου 2022 ενδέχεται να επηρεαστούν από αυτό το πρόβλημα.	Για να μετριάσετε αυτό το πρόβλημα, ανοίξτε μια γραμμή εντολών ως διαχειριστής και χρησιμοποιήστε την ακόλουθη εντολή για να ορίσετε το κλειδί μητρώου KrbtgtFullPacSignature σε 0: reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORDΣημείωση Αφού επιλυθεί αυτό το γνωστό ζήτημα, θα πρέπει να ορίσετε το KrbtgtFullPacSignature σε υψηλότερη ρύθμιση, ανάλογα με το τι θα επιτρέψει το περιβάλλον σας. Σας συνιστούμε να ενεργοποιήσετε τη λειτουργία επιβολής μόλις το περιβάλλον σας είναι έτοιμο. Για περισσότερες πληροφορίες σχετικά με αυτό το κλειδί μητρώου, ανατρέξτε KB5020805: Τρόπος διαχείρισης αλλαγών πρωτοκόλλου Kerberos που σχετίζονται με το CVE-2022-37967. Εργαζόμαστε για την εξεύρεση μιας λύσης και θα παράσχουμε μια ενημέρωση σε μια προσεχή έκδοση.
Μετά την εγκατάσταση αυτής της ενημέρωσης, ενδέχεται να μην συνδέονται σε βάσεις δεδομένων οι εφαρμογές που χρησιμοποιούν συνδέσεις ODBC μέσω του προγράμματος οδήγησης SQL Server (sqlsrv32.dll) Microsoft ODBC για πρόσβαση. Επιπλέον, ενδέχεται να λάβετε ένα σφάλμα στην εφαρμογή ή μπορεί να λάβετε ένα σφάλμα από τον SQL Server. Τα σφάλματα που ενδέχεται να λάβετε περιλαμβάνουν τα ακόλουθα μηνύματα: Το σύστημα EMS αντιμετώπισε πρόβλημα. Μήνυμα: [Microsoft][Πρόγραμμα οδήγησης ODBC SQL Server] Σφάλμα πρωτοκόλλου στη Ροή TDS. Το σύστημα EMS αντιμετώπισε πρόβλημα. Μήνυμα: [Microsoft][Πρόγραμμα οδήγησης ODBC SQL Server] Λήφθηκε άγνωστο διακριτικό από τον SQL Server. Σημείωση για προγραμματιστές: Οι εφαρμογές που επηρεάζονται από αυτό το πρόβλημα ενδέχεται να αποτύχουν να ανακτήσουν δεδομένα, για παράδειγμα κατά τη χρήση της συνάρτησης SQLFetch. Αυτό το πρόβλημα μπορεί να παρουσιαστεί κατά την κλήση της συνάρτησης SQLBindCol πριν από το SQLFetch ή κατά την κλήση της συνάρτησης SQLGetData μετά το SQLFetch και όταν δίνεται μια τιμή 0 (μηδέν) για το όρισμα "BufferLength" για σταθερούς τύπους δεδομένων μεγαλύτερους από 4 byte (όπως SQL_C_FLOAT). Για να αποφασίσετε αν χρησιμοποιείτε μια εφαρμογή που επηρεάζεται, ανοίξτε την εφαρμογή που συνδέεται σε μια βάση δεδομένων. Ανοίξτε ένα Παράθυρο γραμμής εντολών, πληκτρολογήστε την ακόλουθη εντολή και, στη συνέχεια, πατήστε το πλήκτρο ENTER: λίστα εργασιών /m sqlsrv32.dll Εάν η εντολή επιστρέψει μια εργασία, τότε η εφαρμογή ενδέχεται να έχει επηρεαστεί.	Για να μετριάσετε αυτό το πρόβλημα, μπορείτε να κάνετε ένα από τα εξής: Εάν η εφαρμογή σας χρησιμοποιεί ήδη ή μπορεί να χρησιμοποιήσει το Όνομα προέλευσης δεδομένων (DSN) για να επιλέξει συνδέσεις ODBC, εγκαταστήστε το Πρόγραμμα οδήγησης ODBC 17 για SQL Server της Microsoft και επιλέξτε το για χρήση με την εφαρμογή σας χρησιμοποιώντας DSN. Σημείωση: Συνιστούμε την πιο πρόσφατη έκδοση του Προγράμματος οδήγησης ODBC 17 της Microsoft για SQL Server, καθώς είναι πιο συμβατό με εφαρμογές που χρησιμοποιούν το παλαιού τύπου πρόγραμμα οδήγησης SQL Server ODBC της Microsoft (sqlsrv32.dll) από το Πρόγραμμα οδήγησης ODBC 18 της Microsoft για SQL Server. Εάν η εφαρμογή σας δεν μπορεί να χρησιμοποιήσει το DSN, η εφαρμογή θα πρέπει να τροποποιηθεί ώστε να επιτρέπει DSN ή να χρησιμοποιεί ένα νεότερο πρόγραμμα οδήγησης ODBC από το "Πρόγραμμα οδήγησης SQL Server Microsoft ODBC" (sqlsrv32.dll). Αυτό το πρόβλημα επιλύθηκε το KB5022343. Εάν έχετε υλοποιήσει την παραπάνω λύση, συνιστάται να συνεχίσετε να χρησιμοποιείτε τη ρύθμιση παραμέτρων στη λύση.

Τρόπος λήψης αυτής της ενημέρωσης

Πριν από την εγκατάσταση αυτής της ενημέρωσης

Συνιστούμε ανεπιφύλακτα να εγκαταστήσετε την τελευταία ενημέρωση SSU (Servicing Stack Update) για το λειτουργικό σας σύστημα πριν από την εγκατάσταση της τελευταίας συνάθροισης. Οι ενημερώσεις SSU βελτιώνουν την αξιοπιστία της διαδικασίας ενημέρωσης, μετριάζοντας πιθανά προβλήματα κατά την εγκατάσταση της συνάθροισης και την εφαρμογή επιδιορθώσεων ασφαλείας της Microsoft. Για γενικές πληροφορίες σχετικά με τις ενημερώσεις SSU, ανατρέξτε στο θέμα Ενημερώσεις στοίβας συντήρησης (Servicing Stack Updates – SSU) και Ενημερώσεις στοίβας συντήρησης (Servicing Stack Updates – SSU): Συνήθεις ερωτήσεις.

Αν χρησιμοποιείτε Windows Update, το πιο πρόσφατο SSU (KB5016263) θα σας προσφερθεί αυτόματα. Για να λάβετε το μεμονωμένο πακέτο για την τελευταία ενημέρωση SSU, αναζητήστε το στον Κατάλογο του Microsoft Update.

Πακέτα γλωσσών

Αν εγκαταστήσετε ένα πακέτο γλωσσών μετά την εγκατάσταση αυτής της ενημέρωσης, πρέπει να εγκαταστήσετε ξανά αυτήν την ενημέρωση. Επομένως, συνιστούμε να εγκαταστήσετε τα πακέτα γλωσσών που χρειάζεστε πριν από την εγκατάσταση αυτής της ενημέρωσης. Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα Προσθήκη πακέτων γλωσσών στα Windows.

Εγκατάσταση αυτής της ενημέρωσης

Κανάλι κυκλοφορίας	Διατίθεται	Επόμενο βήμα
Windows Update και Microsoft Update	Όχι	Δείτε τις άλλες επιλογές παρακάτω.
Κατάλογος του Microsoft Update	Ναι	Για να λάβετε το μεμονωμένο πακέτο για αυτήν την ενημέρωση, μεταβείτε στην τοποθεσία web Κατάλογος του Microsoft Update.
Υπηρεσίες Windows Server Update Services (WSUS)	Ναι	Αυτή η ενημέρωση θα συγχρονίζεται αυτόματα με τις υπηρεσίες WSUS, αν ρυθμίσετε τις παραμέτρους των Προϊόντων και ταξινομήσεων ως εξής: Προϊόν: Windows Server 2012, Windows Embedded 8 Standard Ταξινόμηση: Ενημέρωση ασφαλείας

Πληροφορίες αρχείων

Για μια λίστα με τα αρχεία που παρέχονται σε αυτήν την ενημέρωση, πραγματοποιήστε λήψη των πληροφοριών αρχείων για την ενημέρωση KB5020003.

Παραπομπές

Μάθετε περισσότερα σχετικά με τη βασική ορολογία που χρησιμοποιείται για την περιγραφή ενημερωμένων εκδόσεων λογισμικού της Microsoft.