MS16-101: עדכון אבטחה עבור שיטות האימות של Windows: 9 באוגוסט, 2016

חל על

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

חשוב מאמר זה מכיל מידע שמתאר כיצד לסייע בהנמכת הגדרות האבטחה או כיצד להשבית תכונות אבטחה במחשב. באפשרותך לבצע שינויים אלה כדי לעקוף בעיה ספציפית. לפני שתבצע שינויים אלה, מומלץ להעריך את הסיכונים המשויכים ליישום פתרון זה בסביבה הספציפית שלך. אם אתה מיישם פתרון זה, נקוט אמצעים מתאימים נוספים כדי לסייע בהגנה על המחשב.

סיכום

עדכון אבטחה זה פותר פגיעויות מרובות ב- Microsoft Windows. הפגיעויות עלולות לאפשר העלאת הרשאות אם תוקף מפעיל אפליקציה בעלת מבנה מיוחד במערכת המצורפת לתחום.

לקבלת מידע נוסף על הפגיעות, עיין בעלון האבטחה של Microsoft MS16-101.

מידע נוסף

חשוב

כל עדכוני האבטחה והעדכונים שאינם עדכוני אבטחה עתידיים עבור Windows 8.1 ו- Windows Server 2012 R2 מחייבים התקנה של עדכון 2919355. מומלץ להתקין עדכון 2919355 במחשב מבוסס-Windows 8.1 או Windows Server 2012 R2 כדי לקבל עדכונים עתידיים.
אם תתקין ערכת שפה לאחר התקנת עדכון זה, עליך להתקין מחדש עדכון זה. לכן, מומלץ להתקין את ערכות השפה הדרושות לך לפני התקנת עדכון זה. לקבלת מידע נוסף, ראה הוספת ערכות שפה ל- Windows.

תיקונים שאינם קשורים לאבטחה הכלולים בעדכון אבטחה זה

עדכון אבטחה זה פותר גם את הבעיות הבאות שאינן קשורות לאבטחה:

בשרת קבצים Scale Out (SoFS) המצורף לתחום באשכול חסר תחום, כאשר לקוח SMB שפועל בו Windows 8.1 או Windows Server 2012 R2 מתחבר לצומת שאינו פעיל, האימות נכשל. כאשר בעיה זו מתרחשת, ייתכן שתקבל הודעת שגיאה הדומה להודעה הבאה:

הערה

STATUS_NO_TGT_REPLY

מידע נוסף אודות עדכון אבטחה זה

המאמרים הבאים מכילים מידע נוסף אודות עדכון אבטחה זה בהקשר של גירסאות מוצר בודדות. המאמרים עשויים להכיל מידע אודות בעיות ידועות.

3177108 MS16-101: תיאור של עדכון האבטחה עבור שיטות אימות של Windows: 9 באוגוסט 2016
3167679 MS16-101: תיאור של עדכון האבטחה עבור שיטות האימות של Windows: 9 באוגוסט, 2016
3192392 אוקטובר 2016, עדכון איכות בנושאי אבטחה בלבד עבור Windows 8.1 ו- Windows Server 2012 R2
3185331 אוסף עדכוני איכות האבטחה החודשי של אוקטובר 2016 עבור Windows 8.1 ו- Windows Server 2012 R2
3192393 אוקטובר 2016, עדכון איכות בנושאי אבטחה בלבד עבור Windows Server 2012
3185332 אוסף עדכוני איכות האבטחה החודשי של אוקטובר 2016 עבור Windows Server 2012
עדכון איכות בנושאי אבטחה בלבד 3192391 אוקטובר 2016 עבור Windows 7 SP1 ו- Windows Server 2008 R2 SP1
אוסף עדכוני איכות האבטחה החודשי 3185330 אוקטובר 2016 עבור Windows 7 SP1 ו- Windows Server 2008 R2 SP1
3192440 עדכון מצטבר עבור Windows 10: 11 באוקטובר 2016
3194798 עדכון מצטבר עבור גירסה 1607 ו- Windows Server 2016 של Windows 10: 11 באוקטובר, 2016
עדכון מצטבר 3192441 עבור גירסה 1511 Windows 10: 11 באוקטובר, 2016

עדכוני אבטחה שהוחלפועדכוני האבטחה הבאים הוחלפו:

3176492 עדכון מצטבר עבור Windows 10: 9 באוגוסט 2016
3176493 עדכון מצטבר עבור גירסה Windows 10 1511: 9 באוגוסט 2016
עדכון מצטבר 3176495 עבור גירסה 1607 של Windows 10: 9 באוגוסט 2016

להלן עדכוני האבטחה החדשים המחליפים את עדכוני האבטחה שהוזכרו לפני כן:

3192440 עדכון מצטבר עבור Windows 10: 11 באוקטובר 2016
3194798 עדכון מצטבר עבור גירסה 1607 ו- Windows Server 2016 של Windows 10: 11 באוקטובר, 2016
עדכון מצטבר 3192441 עבור גירסה 1511 Windows 10: 11 באוקטובר, 2016

בעיות ידועות בעדכון אבטחה זה

בעיה ידועה 1

עדכוני האבטחה שסופקו ב-MS16-101 ובעדכונים חדשים יותר מבטלים את היכולת של תהליך המשא ומתן לחזור ל- NTLM כאשר אימות Kerberos נכשל עבור פעולות שינוי סיסמה עם קוד השגיאה STATUS_NO_LOGON_SERVERS (0xc000005e). במצב זה, ייתכן שתקבל אחד מקודי השגיאה הבאים.

הקסדצימאלי	Decimal	סמלי	ידידותי
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	המערכת זיהתה ניסיון אפשרי לפגוע באבטחה. ודא שבאפשרותך ליצור קשר עם השרת שאימת אותך.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	המערכת זיהתה ניסיון אפשרי לפגוע באבטחה. ודא שבאפשרותך ליצור קשר עם השרת שאימת אותך.

פתרון

אם שינויי סיסמה שהצליחו בעבר נכשלים לאחר ההתקנה של MS16-101, סביר להניח ששינויי סיסמה הסתמכו בעבר על נסיגה של NTLM מאחר ש- Kerberos נכשל. כדי לשנות סיסמאות בהצלחה באמצעות פרוטוקולי Kerberos, בצע את הפעולות הבאות:

קבע את התצורה של תקשורת פתוחה ביציאה TCP 464 בין לקוחות ש- MS16-101 מותקן אצלם לבין בקר התחום המשרת את הסיסמה.

בקרי תחום לקריאה בלבד (RODCs) יכולים לשרת איפוסי סיסמה בשירות עצמי אם מדיניות שכפול הסיסמאות של RODCs מתירה למשתמש. משתמשים שמדיניות הסיסמה של RODC אינה מורשית להם דורשים קישוריות רשת לבקר תחום קריאה/כתיבה (RWDC) בתחום חשבון המשתמש.

הערה כדי לבדוק אם יציאת TCP 464 פתוחה, בצע את השלבים הבאים:
1. צור מסנן תצוגה שווה ערך עבור מנתח צג הרשת שלך. לדוגמה:
  IPv4.Address== <כתובת IP של לקוח> && tcp.port==464
2. בתוצאות, חפש את המסגרת "TCP:[SynReTransmit".
ודא ששמות ה- Kerberos של היעד חוקיים. (כתובות IP אינן חוקיות עבור פרוטוקול Kerberos. Kerberos תומך בשמות קצרים ובשמות תחומים מלאים.)
ודא ששמות ראשי שירות (SPN) רשומים כראוי.

לקבלת מידע נוסף, ראה Kerberos ו- Self-Service איפוס סיסמה.

בעיה ידועה 2

ידוע לנו על בעיה שבה איפוס סיסמה תוכניתית של חשבונות משתמשים בתחום נכשל ומחזיר את קוד השגיאה STATUS_DOWNGRADE_DETECTED (0x800704F1) אם הכשל הצפוי הוא אחד מהבאים:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (מוחזר לעתים רחוקות)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

הטבלה הבאה מציגה את מיפוי השגיאות המלא.

הקסדצימאלי	Decimal	סמלי	ידידותי
0x56	86	ERROR_INVALID_PASSWORD	סיסמת הרשת שצוינה אינה נכונה.
0x267	615	ERROR_PWD_TOO_SHORT	הסיסמה שסופקה קצרה מכדי לעמוד במדיניות של חשבון המשתמש שלך. ספק סיסמה ארוכה יותר.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	כאשר אתה מנסה לעדכן סיסמה, מצב החזרה זה מציין שהערך שסופק כסיסמה הנוכחית שגוי.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	כאשר אתה מנסה לעדכן סיסמה, מצב החזרה זה מצביע על הפרה של כלל עדכון סיסמה כלשהו. לדוגמה, ייתכן שהסיסמה אינה עומדת בקריטריוני האורך.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	למערכת אין אפשרות ליצור קשר עם בקר תחום כדי לשרת את בקשת האימות. נסה שוב מאוחר יותר.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	למערכת אין אפשרות ליצור קשר עם בקר תחום כדי לשרת את בקשת האימות. נסה שוב מאוחר יותר.

פתרון

MS16-101 פורסם מחדש כדי לטפל בבעיה זו. התקן את הגירסה העדכנית ביותר של העדכונים עבור עלון זה כדי לפתור בעיה זו.

בעיה ידועה 3

ידוע לנו על בעיה שבה איפוסים תוכניתיים של שינויי סיסמה מקומיים של חשבון משתמש עלולים להיכשל ולהחזיר את קוד השגיאה STATUS_DOWNGRADE_DETECTED (0x800704F1).

הטבלה הבאה מציגה את מיפוי השגיאות המלא.

הקסדצימאלי	Decimal	סמלי	ידידותי
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	למערכת אין אפשרות ליצור קשר עם בקר תחום כדי לשרת את בקשת האימות. נסה שוב מאוחר יותר.

פתרון

MS16-101 פורסם מחדש כדי לטפל בבעיה זו. התקן את הגירסה העדכנית ביותר של העדכונים עבור עלון זה כדי לפתור בעיה זו.

בעיה ידועה 4

לא ניתן לשנות סיסמאות עבור חשבונות משתמשים לא זמינים או נעולים באמצעות חבילת Negotiate.

שינויי סיסמה עבור חשבונות לא זמינים או חשבונות נעולים ימשיכו לפעול בעת שימוש בשיטות אחרות, כגון בעת שימוש ישיר בפעולת שינוי LDAP. לדוגמה, Set-ADAccountPassword ה- cmdlet של PowerShell משתמש בפעולה "LDAP Modify" כדי לשנות את הסיסמה ולא מושפע.

פתרון

חשבונות אלה דורשים ממנהל מערכת לבצע איפוס סיסמה. אופן פעולה זה מתבצע כחלק מתכנון המוצר לאחר התקנת MS16-101 ותיקונים מאוחרים יותר.
בעיה ידועה 5

אפליקציות שמשתמשות בממשק API של NetUserChangePassword ומעבירות שם שרת בפרמטר שם התחום , לא יפעלו עוד לאחר התקנת MS16-101 ועדכונים מאוחרים יותר.

התיעוד של Microsoft מציין שמתן שם שרת מרוחק בפרמטר שם התחום של הפונקציה NetUserChangePassword נתמך. לדוגמה, הפונקציה NetUserChangePassword נושא MSDN מציין את הדברים הבאים:

שם תחום [ב]

מצביע למחרוזת קבועה שמציינת את שם ה- DNS או ה- NetBIOS של שרת מרוחק או תחום שבו יש לבצע את הפונקציה. אם פרמטר זה הוא NULL, נעשה שימוש בתחום הכניסה של המתקשר. מצב

הנחיה זו הוחלפה על-ידי MS16-101, אלא אם איפוס הסיסמה הוא עבור חשבון מקומי במחשב המקומי.

Post MS16-101, על מנת ששינויי סיסמת משתמש תחום בתחום יפעלו, עליך להעביר שם תחום DNS חוקי לממשק ה- API של NetUserChangePassword.

בעיה ידועה 6

לאחר התקנת עדכוני האבטחה המתוארים ב-MS16-101, שינויים תוכניתיים מרוחקים של סיסמת חשבון משתמש מקומי ושינויי סיסמה ברחבי יער לא מהימן ייכשלו.

פעולה זו נכשלת משום שהפעולה מסתמכת על נסיגה חוזרת של NTLM, שאינה נתמכת עוד עבור חשבונות לא מקומיים לאחר התקנת MS16-101.

מסופק ערך רישום שבו תוכל להשתמש כדי להפוך שינוי זה ללא זמין.

אזהרה: פתרון זה עלול להפוך את המחשב או את הרשת לפגיעים יותר להתקפות של משתמשים בעלי כוונת זדון או להתקפות של תוכנות זדוניות, כגון וירוסים. פתרון זה אינו מומלץ, אך אנו מספקים מידע זה כדי שתוכל ליישם פתרון זה לפי שיקול דעתך. השימוש בפתרון זה הוא באחריותך המלאה.

חשובהסעיף, השיטה או המשימה האלה מכילים שלבים שמסבירים לך כיצד לשנות את הרישום. עם זאת, עלולות להתרחש בעיות חמורות אם תשנה את הרישום בצורה שגויה. לפיכך, עליך להקפיד לעקוב אחר השלבים בצורה מדויקת. לקבלת הגנה נוספת, גבה את הרישום לפני שתשנה אותו. לאחר מכן, תוכל לשחזר את הרישום במקרה של בעיה. לקבלת מידע נוסף על אופן הגיבוי והשחזור של הרישום, לחץ על מספר המאמר שלהלן כדי להציגו מתוך מאגר הידע Microsoft Knowledge Base:
322756 כיצד לגבות ולשחזר את הרישום ב- Windows

כדי להפוך שינוי זה ללא זמין, הגדר את ערך ה- DWORD NegoAllowNtlmPwdChangeFallback כך שישתמש בערך של 1 (אחד).

חשוב הגדרת ערך הרישום NegoAllowNtlmPwdChangeFallback לערך 1 תהפוך תיקון אבטחה זה ללא זמין:

ערך רישום	תיאור
0	ערך ברירת מחדל. נמנעת נסיגה.
1	נסיגה תמיד מותרת. תיקון האבטחה כבוי. לקוחות שנתקלים בבעיות עם חשבונות מקומיים מרוחקים או תרחישי יער לא מהימנים יכולים להגדיר את הרישום לערך זה.

כדי להוסיף ערכי רישום אלה, בצע את הפעולות הבאות:

לחץ על התחל, לחץ על הפעלה, הקלד regedit בתיבה פתח את ולאחר מכן לחץ על אישור.
אתר את מפתח המשנה הבא של הרישום ולחץ עליו:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
בתפריט עריכה, הצבע על חדש ולאחר מכן לחץ על ערך DWORD.
הקלד NegoAllowNtlmPwdChangeFallback עבור השם של ערך DWORD ולאחר מכן הקש ENTER.
לחץ באמצעות לחצן העכבר הימני על NegoAllowNtlmPwdChangeFallback ולאחר מכן לחץ על שנה.
בתיבה נתוני ערך , הקלד 1 כדי לבטל שינוי זה ולאחר מכן לחץ על אישור.

הערה כדי לשחזר את ערך ברירת המחדל, הקלד 0 (אפס) ולאחר מכן לחץ על אישור.

מצב

הסיבה השורשית לבעיה זו מובנת. מאמר זה יתעדכן בפרטים נוספים כאשר הם יהיו זמינים.

כיצד להשיג ולהתקין את העדכון

שיטה 1: Windows Update

עדכון זה זמין באמצעות Windows Update. כאשר תפעיל עדכון אוטומטי, עדכון זה יורד ויותקן באופן אוטומטי. לקבלת מידע נוסף אודות האופן שבו תוכל להפעיל עדכונים אוטומטיים, ראה
קבל עדכוני אבטחה באופן אוטומטי.

שיטה 2: Microsoft Update Catalog

כדי לקבל את החבילה העצמאית עבור העדכון, עבור אל אתר האינטרנט Microsoft Update Catalog.

שיטה 3: מרכז ההורדות של Microsoft

באפשרותך להשיג את חבילת העדכון העצמאית דרך מרכז ההורדות של Microsoft. בצע את הוראות ההתקנה בדף ההורדה כדי להתקין את העדכון.

לחץ על קישור ההורדה בעלון האבטחה של Microsoft MS16-101 המתאים לגירסת Windows שאתה מפעיל.

מידע נוסף

מידע אודות פריסת עדכוני אבטחה

Windows Vista (כל המהדורות)טבלת הפניות