MS16-101: Pembaruan keamanan untuk metode autentikasi Windows: 9 Agustus 2016

Berlaku Untuk

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Penting Artikel ini berisi informasi yang memperlihatkan cara membantu menurunkan pengaturan keamanan atau cara menonaktifkan fitur keamanan di komputer. Anda dapat membuat perubahan ini untuk mengatasi masalah tertentu. Sebelum membuat perubahan ini, kami menyarankan Agar Anda mengevaluasi risiko yang terkait dengan penerapan solusi ini di lingkungan Anda yang tertentu. Jika Anda menerapkan solusi ini, lakukan langkah tambahan yang sesuai untuk membantu melindungi komputer.

Ringkasan

Pembaruan keamanan ini mengatasi beberapa kerentanan di Microsoft Windows. Kerentanan dapat memungkinkan peningkatan hak istimewa jika penyerang menjalankan aplikasi yang dibuat khusus pada sistem yang bergabung dengan domain.

Untuk mempelajari selengkapnya tentang kerentanan, lihat Buletin Keamanan Microsoft MS16-101.

Informasi Selengkapnya

Penting

Semua pembaruan keamanan dan non-keamanan di masa mendatang untuk Windows 8.1 dan Windows Server 2012 R2 memerlukan 2919355 pembaruan untuk diinstal. Kami menyarankan Anda menginstal 2919355 pembaruan di komputer berbasis Windows 8.1 atau komputer Windows Server 2012 R2 agar Anda dapat menerima pembaruan di masa mendatang.
Jika Anda menginstal paket bahasa setelah menginstal pembaruan ini, Anda harus menginstal ulang pembaruan ini. Oleh karena itu, sebaiknya instal paket bahasa yang Anda perlukan sebelum menginstal pembaruan ini. Untuk informasi selengkapnya, lihat Menambahkan paket bahasa ke Windows.

Perbaikan terkait non-keamanan yang disertakan dalam pembaruan keamanan ini

Pembaruan keamanan ini juga memperbaiki masalah non-terkait keamanan berikut:

Dalam Server File Scale Out (SoFS) yang tergabung dengan domain pada kluster tanpa domain, ketika klien SMB yang menjalankan Windows 8.1 atau Windows Server 2012 R2 tersambung ke simpul yang tidak berfungsi, autentikasi gagal. Jika masalah ini terjadi, Anda mungkin menerima pesan kesalahan yang menyerupai pesan berikut:

Catatan

STATUS_NO_TGT_REPLY

Informasi tambahan tentang pembaruan keamanan ini

Artikel berikut berisi informasi tambahan tentang pembaruan keamanan ini yang berkaitan dengan masing-masing versi produk. Artikel mungkin berisi informasi masalah yang diketahui.

3177108 MS16-101: Deskripsi pembaruan keamanan untuk metode autentikasi Windows: 9 Agustus 2016
3167679 MS16-101: Deskripsi pembaruan keamanan untuk metode autentikasi Windows: 9 Agustus 2016
3192392 pembaruan kualitas keamanan saja Oktober 2016 untuk Windows 8.1, dan Windows Server 2012 R2
3185331 Rollup kualitas bulanan keamanan Oktober 2016 untuk Windows 8.1, dan Windows Server 2012 R2
3192393 Oktober 2016 Pembaruan kualitas keamanan saja untuk Windows Server 2012
3185332 Oktober 2016 Rollup kualitas bulanan keamanan untuk Windows Server 2012
3192391 Oktober 2016 pembaruan kualitas keamanan saja untuk Windows 7 SP1 dan Windows Server 2008 R2 SP1
3185330 Oktober 2016 Rollup kualitas bulanan keamanan untuk Windows 7 SP1 dan Windows Server 2008 R2 SP1
3192440 Pembaruan kumulatif untuk Windows 10: 11 Oktober 2016
3194798 Pembaruan kumulatif untuk Windows 10 Versi 1607 dan Server Windows 2016: 11 Oktober 2016
3192441 Pembaruan kumulatif untuk Windows 10 Versi 1511: 11 Oktober 2016

Pembaruan keamanan yang digantiPembaruan keamanan berikut telah diganti:

3176492 Pembaruan kumulatif untuk Windows 10: 9 Agustus 2016
3176493 Pembaruan kumulatif untuk Windows 10 Versi 1511: 9 Agustus 2016
3176495 Pembaruan kumulatif untuk Windows 10 Versi 1607: 9 Agustus 2016

Berikut pembaruan keamanan baru yang menggantikan pembaruan keamanan yang disebutkan sebelumnya:

3192440 Pembaruan kumulatif untuk Windows 10: 11 Oktober 2016
3194798 Pembaruan kumulatif untuk Windows 10 Versi 1607 dan Server Windows 2016: 11 Oktober 2016
3192441 Pembaruan kumulatif untuk Windows 10 Versi 1511: 11 Oktober 2016

Masalah umum dalam pembaruan keamanan ini

Masalah umum 1

Pembaruan keamanan yang disediakan di MS16-101 dan pembaruan yang lebih baru menonaktifkan kemampuan proses Negosiasi untuk kembali ke NTLM ketika autentikasi Kerberos gagal untuk operasi perubahan kata sandi dengan kode kesalahan STATUS_NO_LOGON_SERVERS (0xc000005e). Dalam situasi ini, Anda mungkin menerima salah satu kode kesalahan berikut.

Heksadesimal	Desimal	Simbolis	Ramah
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Sistem mendeteksi kemungkinan upaya untuk membahayakan keamanan. Pastikan bahwa Anda dapat menghubungi server yang mengautentikasi Anda.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem mendeteksi kemungkinan upaya untuk membahayakan keamanan. Pastikan bahwa Anda dapat menghubungi server yang mengautentikasi Anda.

Solusi

Jika perubahan kata sandi yang sebelumnya berhasil gagal setelah penginstalan MS16-101, kemungkinan perubahan kata sandi sebelumnya mengandalkan fallback NTLM karena Kerberos gagal. Agar dapat mengubah kata sandi dengan sukses menggunakan protokol Kerberos, ikuti langkah-langkah berikut:

Mengonfigurasi komunikasi terbuka pada port TCP 464 antara klien yang menginstal MS16-101 dan pengontrol domain yang melayani pengaturan ulang kata sandi.

Pengontrol domain baca-saja (RODC) dapat mengatur ulang kata sandi layanan mandiri jika pengguna diizinkan oleh kebijakan replikasi kata sandi RODC. Pengguna yang tidak diizinkan oleh kebijakan kata sandi RODC memerlukan konektivitas jaringan ke pengontrol domain baca/tulis (RWDC) di domain akun pengguna.

Catatan Untuk memeriksa apakah port TCP 464 terbuka, ikuti langkah-langkah berikut:
1. Buat filter tampilan yang setara untuk pemilah monitor jaringan Anda. Misalnya:
  IPv4.address= <= Alamat IP klien> && tcp.port==464
2. Dalam hasilnya, cari bingkai "TCP:[SynReTransmit".
Pastikan nama Kerberos target valid. (Alamat IP tidak valid untuk protokol Kerberos. Kerberos mendukung nama pendek dan nama domain yang memenuhi syarat.)
Pastikan nama perwakilan layanan (SPN) telah terdaftar dengan benar.

Untuk informasi selengkapnya, lihat Kerberos dan Self-Service Pengaturan Ulang Kata Sandi.

Masalah umum 2

Kami mengetahui tentang masalah pengaturan ulang kata sandi terprogram akun pengguna domain yang gagal dan mengembalikan kode kesalahan STATUS_DOWNGRADE_DETECTED (0x800704F1) jika kegagalan yang diharapkan adalah salah satu dari berikut ini:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (jarang dikembalikan)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

Tabel berikut ini memperlihatkan pemetaan kesalahan lengkap.

Heksadesimal	Desimal	Simbolis	Ramah
0x56	86	ERROR_INVALID_PASSWORD	Kata sandi jaringan yang ditentukan tidak benar.
0x267	615	ERROR_PWD_TOO_SHORT	Kata sandi yang diberikan terlalu pendek untuk memenuhi kebijakan akun pengguna Anda. Berikan kata sandi yang lebih panjang.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Saat Anda mencoba memperbarui kata sandi, status pengembalian ini menunjukkan bahwa nilai yang diberikan sebagai kata sandi saat ini salah.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Saat Anda mencoba memperbarui kata sandi, status pengembalian ini menunjukkan bahwa beberapa aturan pembaruan kata sandi telah dilanggar. Misalnya, kata sandi mungkin tidak memenuhi kriteria panjang.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Sistem tidak dapat menghubungi pengontrol domain untuk melayani permintaan autentikasi. Silakan coba lagi nanti.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Sistem tidak dapat menghubungi pengontrol domain untuk melayani permintaan autentikasi. Silakan coba lagi nanti.

Resolusi

MS16-101 telah dirilis ulang untuk mengatasi masalah ini. Instal versi terbaru pembaruan untuk buletin ini guna mengatasi masalah ini.

Masalah umum 3

Kami mengetahui tentang masalah di mana pengaturan ulang terprogram perubahan kata sandi akun pengguna lokal mungkin gagal dan mengembalikan kode kesalahan STATUS_DOWNGRADE_DETECTED (0x800704F1).

Tabel berikut ini memperlihatkan pemetaan kesalahan lengkap.

Heksadesimal Desimal Simbolis Ramah

0x4f1 1265 ERROR_DOWNGRADE_DETECTED Sistem tidak dapat menghubungi pengontrol domain untuk melayani permintaan autentikasi. Silakan coba lagi nanti.

Resolusi

MS16-101 telah dirilis ulang untuk mengatasi masalah ini. Instal versi terbaru pembaruan untuk buletin ini guna mengatasi masalah ini.
Masalah umum 4

Kata sandi untuk akun pengguna yang dinonaktifkan dan terkunci tidak dapat diubah menggunakan paket negosiasi.

Perubahan kata sandi untuk akun yang dinonaktifkan dan terkunci akan tetap berfungsi saat menggunakan metode lain, seperti saat menggunakan operasi modifikasi LDAP secara langsung. Misalnya, Set-ADAccountPassword cmdlet PowerShell menggunakan operasi "LDAP Modify" untuk mengubah kata sandi dan tetap tidak terpengaruh.

Solusi

Akun ini memerlukan administrator untuk mengatur ulang kata sandi. Perilaku ini memang dirancang setelah Anda menginstal MS16-101 dan perbaikan yang lebih baru.
Masalah umum 5

Aplikasi yang menggunakan API NetUserChangePassword dan meneruskan nama server dalam parameter nama domain tidak akan berfungsi lagi setelah MS16-101 dan pembaruan yang lebih baru diinstal.

Dokumentasi Microsoft menyatakan bahwa penyediaan nama server jarak jauh dalam parameter nama domain fungsi NetUserChangePassword didukung. Sebagai contoh, topik MSDN fungsi NetUserChangePassword menyatakan hal berikut:

Nama domain [IN]

Penunjuk ke string konstanta yang menentukan nama DNS atau NetBIOS dari server atau domain jarak jauh tempat fungsi akan dijalankan. Jika parameter ini NULL, domain masuk pemanggil akan digunakan. Status

Panduan ini telah digantikan oleh MS16-101, kecuali pengaturan ulang kata sandi adalah untuk akun lokal di komputer lokal.

Setelah MS16-101, agar perubahan kata sandi pengguna domain berfungsi, Anda harus meneruskan Nama Domain DNS yang valid ke NetUserChangePassword API.

Heksadesimal	Desimal	Simbolis	Ramah
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem tidak dapat menghubungi pengontrol domain untuk melayani permintaan autentikasi. Silakan coba lagi nanti.

Masalah umum 6

Setelah menginstal pembaruan keamanan yang dijelaskan dalam MS16-101, perubahan terprogram jarak jauh dari kata sandi akun pengguna lokal, dan perubahan kata sandi di seluruh hutan yang tidak tepercaya gagal.

Operasi ini gagal karena operasi bergantung pada fall-back NTLM, yang tidak lagi didukung untuk akun nonlokal setelah MS16-101 diinstal.

Entri registri disediakan yang dapat Anda gunakan untuk menonaktifkan perubahan ini.

Peringatan Solusi ini dapat membuat komputer atau jaringan lebih rentan terhadap serangan pengguna yang mencurigakan atau perangkat lunak berbahaya seperti virus. Kami tidak menyarankan solusi tersebut, tetapi kami menyediakan informasi ini sehingga Anda dapat menerapkannya dengan bijak. Gunakan solusi ini dengan risiko yang Anda tanggung sendiri.

PentingBagian, metode, atau tugas ini berisi langkah-langkah yang memberi tahu Anda cara mengubah registri. Namun, masalah serius mungkin terjadi jika Anda salah mengubah registri. Oleh karena itu, pastikan Anda mengikuti langkah-langkah ini dengan hati-hati. Untuk perlindungan tambahan, cadangkan registri sebelum Anda mengubahnya. Kemudian, registri dapat dipulihkan jika terjadi masalah. Untuk informasi selengkapnya tentang cara mencadangkan dan memulihkan registri, klik nomor artikel berikut untuk melihat artikel di Pangkalan Pengetahuan Microsoft:
322756 Cara mencadangkan dan memulihkan registri di Windows

Untuk menonaktifkan perubahan ini, atur entri DWORD NegoAllowNtlmPwdChangeFallback untuk menggunakan nilai 1 (satu).

Penting: Mengatur entri registri NegoAllowNtlmPwdChangeFallback ke nilai 1 akan menonaktifkan perbaikan keamanan ini:

Nilai registri	Deskripsi
0	Nilai default. Fallback dicegah.
1	Penggantian selalu diperbolehkan. Perbaikan keamanan dinonaktifkan. Pelanggan yang mengalami masalah dengan akun lokal jarak jauh atau skenario hutan yang tidak tepercaya dapat mengatur registri ke nilai ini.

Untuk menambahkan nilai registri ini, ikuti langkah-langkah berikut:

Klik Mulai, klik Jalankan, ketik regedit dalam kotak Buka, kemudian klik OK.
Temukan dan klik subkey berikut dalam registri:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Pada menu Edit, arahkan ke Baru, lalu klik Nilai DWORD.
Ketik NegoAllowNtlmPwdChangeFallback untuk nama DWORD, lalu tekan ENTER.
Klik kanan NegoAllowNtlmPwdChangeFallback, lalu klik Ubah.
Dalam kotak Data nilai, ketik 1 untuk menonaktifkan perubahan ini, lalu klik OK.

Catatan Untuk mengembalikan nilai default, ketik 0 (nol), lalu klik OK.

Status

Akar penyebab masalah ini dipahami. Artikel ini akan diperbarui dengan detail tambahan saat tersedia.

Cara mendapatkan dan menginstal pembaruan

Metode 1: Windows Update

Pembaruan ini tersedia melalui Windows Update. Ketika Anda mengaktifkan pembaruan otomatis, pembaruan ini akan diunduh dan diinstal secara otomatis. Untuk informasi selengkapnya tentang cara mengaktifkan pembaruan otomatis, lihat
Dapatkan pembaruan keamanan secara otomatis.

Metode 2: Katalog Microsoft Update

Untuk mendapatkan paket mandiri untuk pembaruan ini, buka situs web Katalog Microsoft Update .

Metode 3: Pusat Unduh Microsoft

Anda dapat memperoleh paket pembaruan mandiri melalui Pusat Unduh Microsoft. Ikuti petunjuk penginstalan di halaman unduhan untuk menginstal pembaruan.

Klik tautan unduhan di Buletin Keamanan Microsoft MS16-101 yang sesuai dengan versi Windows yang Anda jalankan.

Informasi Selengkapnya

Informasi penyebaran pembaruan keamanan

Windows Vista (semua edisi)Tabel referensi