MS16-101: Aggiornamento della sicurezza per i metodi di autenticazione di Windows: 9 agosto 2016

Si applica a

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Importante: questo articolo contiene informazioni che illustrano come ridurre le impostazioni di sicurezza o disattivare le funzionalità di sicurezza in un computer. È possibile apportare queste modifiche per risolvere un problema specifico. Prima di apportare queste modifiche, è consigliabile valutare i rischi associati all'implementazione di questa soluzione alternativa in un particolare ambiente. Se implementi questa soluzione alternativa, esegui le operazioni aggiuntive appropriate per proteggere il computer.

Riepilogo

Questo aggiornamento della sicurezza risolve diverse vulnerabilità di Microsoft Windows. Le vulnerabilità potrebbero consentire l'elevazione dei privilegi se un utente malintenzionato esegue un'applicazione appositamente predisposta su un sistema aggiunto a un dominio.

Per ulteriori informazioni sulla vulnerabilità, vedere il Bollettino Microsoft sulla sicurezza MS16-101.

Altre informazioni

Importante

Tutti i futuri aggiornamenti di sicurezza e non di sicurezza per Windows 8.1 e Windows Server 2012 R2 richiedono l'installazione di 2919355 di aggiornamento. È consigliabile installare i 2919355 di aggiornamento nel computer basato su Windows 8.1 o Windows Server 2012 R2 in modo da ricevere gli aggiornamenti futuri.
Se installi un Language Pack dopo aver installato questo aggiornamento, devi reinstallarlo. Pertanto, Microsoft consiglia di installare i Language Pack necessari prima di installare questo aggiornamento. Per altre informazioni, vedere Aggiungere Language Pack a Windows.

Correzioni non correlate alla sicurezza incluse in questo aggiornamento della sicurezza

Questo aggiornamento della sicurezza consente inoltre di correggere i seguenti problemi non correlati alla sicurezza:

In un file server SoFS (Scale Out) Scale Out aggiunto a un dominio in un cluster senza dominio, quando un client SMB che esegue Windows 8.1 o Windows Server 2012 R2 si connette a un nodo inattivo, l'autenticazione non riesce. In tal caso, è possibile che venga visualizzato un messaggio di errore simile al seguente:

Nota

STATUS_NO_TGT_REPLY

Ulteriori informazioni su questo aggiornamento della sicurezza

Gli articoli seguenti contengono informazioni aggiuntive su questo aggiornamento della sicurezza in relazione alle singole versioni del prodotto. Gli articoli possono contenere informazioni su problemi noti.

3177108 MS16-101: Descrizione dell'aggiornamento della sicurezza per i metodi autenticazione di Windows: 9 agosto 2016
3167679 MS16-101: Descrizione dell'aggiornamento della sicurezza per i metodi autenticazione di Windows: 9 agosto 2016
3192392 aggiornamento qualitativo solo della sicurezza per Windows 8.1 e Windows Server 2012 R2 di ottobre 2016
3185331'aggiornamento cumulativo mensile sulla qualità della sicurezza di ottobre 2016 per Windows 8.1 e Windows Server 2012 R2
3192393 aggiornamento qualitativo della sicurezza solo per Windows Server 2012 di ottobre 2016
3185332'aggiornamento cumulativo mensile sulla qualità della sicurezza di ottobre 2016 per Windows Server 2012
3192391 aggiornamento qualitativo della sicurezza di ottobre 2016 per Windows 7 SP1 e Windows Server 2008 R2 SP1
3185330 aggiornamento cumulativo mensile della qualità della sicurezza di ottobre 2016 per Windows 7 SP1 e Windows Server 2008 R2 SP1
3192440 Aggiornamento cumulativo per Windows 10: 11 ottobre 2016
3194798 Aggiornamento cumulativo per Windows 10 versioni 1607 e Windows Server 2016: 11 ottobre 2016
3192441 Aggiornamento cumulativo per Windows 10 versione 1511: 11 ottobre 2016

Aggiornamenti della sicurezza sostituitiSono stati sostituiti gli aggiornamenti della sicurezza seguenti:

3176492 Aggiornamento cumulativo per Windows 10: 9 agosto 2016
3176493 Aggiornamento cumulativo per Windows 10 versione 1511: 9 agosto 2016
3176495 Aggiornamento cumulativo per Windows 10 versione 1607: 9 agosto 2016

Di seguito sono riportati i nuovi aggiornamenti della sicurezza che sostituiscono gli aggiornamenti della sicurezza menzionati in precedenza:

3192440 Aggiornamento cumulativo per Windows 10: 11 ottobre 2016
3194798 Aggiornamento cumulativo per Windows 10 versioni 1607 e Windows Server 2016: 11 ottobre 2016
3192441 Aggiornamento cumulativo per Windows 10 versione 1511: 11 ottobre 2016

Problemi noti in questo aggiornamento della sicurezza

Problema noto 1

Gli aggiornamenti per la protezione forniti nel bollettino MS16-101 e versioni più recenti disabilitano la capacità del processo Negotiate di eseguire il fallback a NTLM quando l'autenticazione Kerberos non riesce per le operazioni di modifica della password con il codice di errore STATUS_NO_LOGON_SERVERS (0xc000005e). In questo caso, potresti ricevere uno dei codici di errore seguenti.

Esadecimale	Decimale	Simbolico	Amichevole
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Il sistema ha rilevato un possibile tentativo di compromettere la sicurezza. Assicurarsi di poter contattare il server che ha eseguito l'autenticazione.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Il sistema ha rilevato un possibile tentativo di compromettere la sicurezza. Assicurarsi di poter contattare il server che ha eseguito l'autenticazione.

Soluzione alternativa

Se le modifiche alle password che in precedenza avevano esito positivo non riescono dopo l'installazione del bollettino MS16-101, è probabile che le modifiche alle password si basassero in precedenza sul fallback NTLM perché Kerberos non funzionava. Per modificare correttamente le password usando i protocolli Kerberos, segui questi passaggi:

Configurare la comunicazione aperta sulla porta TCP 464 tra i client con MS16-101 installato e il controller di dominio che si occupa della reimpostazione delle password.

I controller di dominio di sola lettura possono eseguire la reimpostazione delle password in modalità self-service se l'utente è autorizzato dai criteri di replica delle password dei controller di dominio di sola lettura. Gli utenti non autorizzati dai criteri password del controller di dominio di sola lettura richiedono la connettività di rete a un controller di dominio di lettura/scrittura (RWDC) nel dominio dell'account utente.

Nota: per verificare se la porta TCP 464 è aperta, attenersi alla seguente procedura:
1. Creare un filtro di visualizzazione equivalente per il parser di monitoraggio di rete. Ad esempio:
  ipv4.address== <Indirizzo IP del client> && tcp.port==464
2. Nei risultati cercare il frame "TCP:[SynReTransmit".
Assicurarsi che i nomi Kerberos di destinazione siano validi. Gli indirizzi IP non sono validi per il protocollo Kerberos. Kerberos supporta nomi brevi e nomi di dominio completi.
Verificare che i nomi delle entità servizio (SPN) siano registrati correttamente.

Per ulteriori informazioni, vedere Kerberos e Self-Service reimpostazione della password.

Problema noto 2

Siamo a conoscenza di un problema in cui le reimpostazioni programmatiche delle password degli account utente di dominio non riescono e restituiscono il codice di errore STATUS_DOWNGRADE_DETECTED (0x800704F1) se l'errore previsto è uno dei seguenti:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (restituito raramente)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

La tabella seguente mostra il mapping completo degli errori.

Esadecimale	Decimale	Simbolico	Amichevole
0x56	86	ERROR_INVALID_PASSWORD	La password di rete specificata non è corretta.
0x267	615	ERROR_PWD_TOO_SHORT	La password fornita è troppo breve per soddisfare i criteri dell'account utente. Specificare una password più lunga.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Quando si tenta di aggiornare una password, questo stato restituito indica che il valore fornito come password corrente non è corretto.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Quando si tenta di aggiornare una password, questo stato restituito indica che è stata violata una regola di aggiornamento della password. Ad esempio, la password potrebbe non soddisfare i criteri di lunghezza.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Il sistema non può contattare un controller di dominio per soddisfare la richiesta di autenticazione. Riprova più tardi.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Il sistema non può contattare un controller di dominio per soddisfare la richiesta di autenticazione. Riprova più tardi.

Risoluzione

MS16-101 è stato rilasciato nuovamente per risolvere questo problema. Installare la versione più recente degli aggiornamenti per questo bollettino per risolvere questo problema.

Problema noto 3

Sappiamo di un problema in cui le reimpostazioni programmatiche delle modifiche alle password degli account utente locali potrebbero non riuscire e restituire il codice di errore STATUS_DOWNGRADE_DETECTED (0x800704F1).

La tabella seguente mostra il mapping completo degli errori.

Esadecimale	Decimale	Simbolico	Amichevole
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Il sistema non può contattare un controller di dominio per soddisfare la richiesta di autenticazione. Riprova più tardi.

Risoluzione

MS16-101 è stato rilasciato nuovamente per risolvere questo problema. Installare la versione più recente degli aggiornamenti per questo bollettino per risolvere questo problema.

Problema noto 4

Le password per gli account utente disabilitati e bloccati non possono essere modificate utilizzando il pacchetto negotiate.

Le modifiche della password per gli account disabilitati e bloccati continueranno a funzionare quando si usano altri metodi, ad esempio quando si usa direttamente un'operazione di modifica LDAP. Ad esempio, il cmdlet di PowerShell Set-ADAccountPassword usa un'operazione "LDAP Modify" per modificare la password e rimane inalterato.

Soluzione alternativa

Questi account richiedono che un amministratore reimposti la password. Questo comportamento è previsto dopo l'installazione del bollettino MS16-101 e delle correzioni successive.
Problema noto 5

Le applicazioni che utilizzano l'API NetUserChangePassword e che passano un servername nel parametro domainname non funzioneranno più dopo l'installazione del bollettino MS16-101 e degli aggiornamenti successivi.

La documentazione Microsoft indica che è supportata la fornitura di un nome di server remoto nel parametro nomedominio della funzione NetUserChangePassword. Ad esempio, l'argomento MSDN della funzione NetUserChangePassword riporta quanto segue:

nomedominio [in]

Puntatore a una stringa costante che specifica il nome DNS o NetBIOS di un server o dominio remoto in cui la funzione deve essere eseguita. Se questo parametro è NULL, viene usato il dominio di accesso del chiamante. Stato

Questa guida è stata sostituita dal bollettino MS16-101, a meno che la reimpostazione della password non sia per un account locale sul computer locale.

Dopo MS16-101, affinché le modifiche alle password degli utenti di dominio funzionino, è necessario passare un nome di dominio DNS valido all'API NetUserChangePassword.

Problema noto 6

Dopo aver installato gli aggiornamenti della protezione descritti nel bollettino MS16-101, le modifiche remote, programmatiche della password di un account utente locale e le modifiche delle password in una foresta non attendibile non hanno esito negativo.

Questa operazione non riesce perché si basa sul fallback NTLM, che non è più supportato per gli account non locali dopo l'installazione del bollettino MS16-101.

Viene fornita una voce del Registro di sistema che può essere utilizzata per disabilitare questa modifica.

Avviso Questa soluzione alternativa può rendere un computer o una rete più vulnerabile agli attacchi da parte di utenti malintenzionati o di malware, ad esempio virus. Microsoft non consiglia di usare questa soluzione alternativa, ma fornisce queste informazioni per consentire all'utente di implementarla a propria discrezione. Usare questa soluzione alternativa a proprio rischio.

ImportanteQuesta sezione, metodo o attività contiene le procedure dettagliate che spiegano come modificare il Registro di sistema. Tuttavia, la modifica non corretta del Registro di sistema può causare problemi gravi. Assicurarsi, quindi, di seguire attentamente tutti i passaggi. Per una maggiore sicurezza, eseguire un backup del Registro di sistema prima di modificarlo, in modo che sia possibile ripristinarlo in caso di problemi. Per ulteriori informazioni su come eseguire il backup e il ripristino del Registro di sistema, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
322756 Come eseguire il backup e il ripristino del Registro di sistema in Windows

Per disabilitare questa modifica, impostare la voce DWORD NegoAllowNtlmPwdChangeFallback in modo che utilizzi un valore pari a 1 (uno).

Importante: l'impostazione della voce del Registro di sistema NegoAllowNtlmPwdChangeFallback su un valore pari a 1 disabiliterà questa correzione per la sicurezza:

Valore del Registro di sistema	Descrizione
0	Valore predefinito. Il fallback non viene impedito.
1	Il fallback è sempre consentito. La correzione per la sicurezza è disattivata. I clienti che hanno problemi con account locali remoti o scenari di foresta non attendibili possono impostare il Registro di sistema su questo valore.

Per aggiungere questi valori del Registro di sistema, procedere come segue:

Fare clic sul pulsante Start, scegliere Esegui, quindi digitare regedit nella casella Apri, quindi fare clic su OK.
Individuare e fare clic sulla sottochiave del Registro di sistema seguente:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Nel menu Modifica selezionare Nuovo, quindi fare clic su Valore DWORD.
Digitare NegoAllowNtlmPwdChangeFallback come nome del valore DWORD e quindi premere INVIO.
Fare clic con il pulsante destro del mouse su NegoAllowNtlmPwdChangeFallback e quindi scegliere Modifica.
Nella casella Dati valore digitare 1 per disabilitare questa modifica, quindi fare clic su OK.

Nota: per ripristinare il valore predefinito, digitare 0 (zero), quindi fare clic su OK.

Stato

La causa principale di questo problema è chiara. Questo articolo verrà aggiornato con altri dettagli non appena saranno disponibili.

Come ottenere e installare l'aggiornamento

Metodo 1: Windows Update

Questo aggiornamento è disponibile tramite Windows Update. Quando si attiva l'aggiornamento automatico, questo aggiornamento verrà scaricato e installato automaticamente. Per ulteriori informazioni su come attivare l'aggiornamento automatico, vedere
Ottenere automaticamente gli aggiornamenti della sicurezza.

Metodo 2: Microsoft Update Catalog

Per scaricare il pacchetto autonomo per questo aggiornamento, accedi al sito Web Microsoft Update Catalog.

Metodo 3: Area download Microsoft

È possibile ottenere il pacchetto di aggiornamento autonomo tramite l'Area download Microsoft. Segui le istruzioni di installazione nella pagina di download per installare l'aggiornamento.

Fare clic sul collegamento per il download nel Bollettino Microsoft sulla sicurezza MS16-101 che corrisponde alla versione di Windows in uso.

Altre informazioni

Informazioni sulla distribuzione degli aggiornamenti della sicurezza

Windows Vista (tutte le edizioni)Tabella di riferimento