MS16-101: Windows 認証メソッドのセキュリティ更新プログラム: 2016 年 8 月 9 日

適用先

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

重要この記事には、セキュリティ設定を下げる方法や、コンピューターのセキュリティ機能をオフにする方法を示す情報が含まれています。これらの変更によって特定の問題を回避できますが、変更を行う前に、特定の環境でこの回避策を実行した際に生じるリスクを評価することをお勧めします。この回避策を実行する場合は、コンピューターを保護するために、ここに記載された処理以外にも適切な処理を実行してください。

概要

このセキュリティ更新プログラムは、Microsoft Windows の複数の脆弱性を解決します。この脆弱性により、攻撃者がドメインに参加しているシステムで特別に細工されたアプリケーションを実行した場合、特権が昇格される可能性があります。

この脆弱性の詳細については、「 Microsoft セキュリティ情報 MS16-101」を参照してください。

追加情報

重要

Windows 8.1および Windows Server 2012 R2 の将来のすべてのセキュリティ更新プログラムとセキュリティ以外の更新プログラムには、更新プログラムの2919355をインストールする必要があります。今後の更新プログラムを受け取るように、Windows 8.1 ベースまたは Windows Server 2012 R2 ベースのコンピューターに更新プログラムの2919355をインストールすることをお勧めします。
この更新プログラムをインストールした後に言語パックをインストールした場合は、この更新プログラムを再インストールする必要があります。そのため、この更新プログラムをインストールする前に、必要な言語パックをすべてインストールすることをお勧めします。詳細については、「Add language packs to Windows」(英語情報) を参照してください。

このセキュリティ更新プログラムに含まれるセキュリティ関連以外の修正プログラム

このセキュリティ更新プログラムでは、次のセキュリティ関連以外の問題も修正されます。

ドメインレスクラスター上のドメイン参加Scale Outファイルサーバー (SoFS) で、Windows 8.1または Windows Server 2012 R2 を実行している SMB クライアントがダウンしているノードに接続すると、認証は失敗します。この問題が発生すると、次のようなエラーメッセージが表示されることがあります。

注

STATUS_NO_TGT_REPLY

このセキュリティ更新プログラムの関連情報

以下の資料では製品バージョン別に、このセキュリティ更新プログラムに関する追加情報が掲載されています。資料には、既知の問題に関する情報が掲載されている場合があります。

3177108 MS16-101: Windows 認証メソッドのセキュリティ更新プログラムの説明: 2016 年 8 月 9 日
3167679 MS16-101: Windows 認証メソッドのセキュリティ更新プログラムの説明: 2016 年 8 月 9 日
3192392 2016 年 10 月のセキュリティのみの品質更新プログラム (Windows 8.1および R2 Windows Server 2012)
3185331 2016 年 10 月のWindows 8.1および Windows Server 2012 R2 の毎月のセキュリティ品質ロールアップ
3192393 2016 年 10 月のセキュリティのみの品質更新プログラム (Windows Server 2012)
Windows Server 2012 3185332 2016 年 10 月のセキュリティ月次品質ロールアップ
3192391 2016 年 10 月の Windows 7 SP1 および Windows Server 2008 R2 SP1 のセキュリティのみの品質更新プログラム
3185330 2016 年 10 月の Windows 7 SP1 および Windows Server 2008 R2 SP1 のセキュリティ月間品質ロールアップ
3192440 Windows 10 の累積的な更新プログラム: 2016 年 10 月 11 日
3194798 Windows 10 バージョン 1607 および Windows Server 2016 の累積的な更新プログラム: 2016 年 10 月 11 日
Windows 10 バージョン 1511 の3192441累積的な更新プログラム: 2016 年 10 月 11 日

置き換えられるセキュリティ更新プログラム次のセキュリティ更新プログラムが置き換えられました。

3176492 Windows 10 の累積的な更新プログラム: 2016 年 8 月 9 日
Windows 10 バージョン 1511 の3176493累積的な更新プログラム: 2016 年 8 月 9 日
Windows 10 バージョン 1607 の3176495累積的な更新プログラム: 2016 年 8 月 9 日

前に説明したセキュリティ更新プログラムを置き換える新しいセキュリティ更新プログラムを次に示します。

3192440 Windows 10 の累積的な更新プログラム: 2016 年 10 月 11 日
3194798 Windows 10 バージョン 1607 および Windows Server 2016 の累積的な更新プログラム: 2016 年 10 月 11 日
Windows 10 バージョン 1511 の3192441累積的な更新プログラム: 2016 年 10 月 11 日

このセキュリティ更新プログラムの既知の問題

既知の問題 1

MS16-101 以降の更新プログラムで提供されるセキュリティ更新プログラムでは、STATUS_NO_LOGON_SERVERS (0xc000005e) エラーコードを使用したパスワード変更操作で Kerberos 認証が失敗した場合に、ネゴシエートプロセスが NTLM にフォールバックできなくなります。このような場合は、次のいずれかのエラーコードが表示される場合があります。

16 進数	10 進数	シンボリック	フレンドリー
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	システムは、セキュリティを侵害する可能性のある試行を検出しました。認証されたサーバーに接続できることを確認してください。
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	システムは、セキュリティを侵害する可能性のある試行を検出しました。認証されたサーバーに接続できることを確認してください。

回避策

以前に成功したパスワードの変更が MS16-101 のインストール後に失敗した場合、Kerberos が失敗したため、パスワードの変更が NTLM フォールバックに以前に依存していた可能性があります。 Kerberos プロトコルを使用してパスワードを正常に変更するには、次の手順に従います。

MS16-101 がインストールされているクライアントと、パスワードリセットを処理しているドメインコントローラーとの間で、TCP ポート 464 でオープン通信を構成します。

ユーザーが RODC パスワードレプリケーションポリシーによって許可されている場合、読み取り専用ドメインコントローラー (RODC) はセルフサービスパスワードリセットを処理できます。 RODC パスワードポリシーで許可されていないユーザーには、ユーザーアカウントドメインの読み取り/書き込みドメインコントローラー (RWDC) へのネットワーク接続が必要です。

注 TCP ポート 464 が開いているかどうかをチェックするには、次の手順に従います。
1. ネットワークモニターパーサーの同等の表示フィルターを作成します。次に例を示します。
  ipv4.address== クライアントの <ip アドレス> && tcp.port==464
2. 結果で、"TCP:[SynReTransmit" フレームを探します。
ターゲット Kerberos 名が有効であることを確認します。 (IP アドレスは Kerberos プロトコルに対して無効です。Kerberos では、短い名前と完全修飾ドメイン名がサポートされています)。
サービスプリンシパル名 (SPN) が正しく登録されていることを確認します。

詳細については、「 Kerberos とパスワードリセットの Self-Service」を参照してください。

既知の問題 2

ドメインユーザーアカウントのプログラムによるパスワードリセットが失敗し、予想されるエラーが次のいずれかである場合にSTATUS_DOWNGRADE_DETECTED (0x800704F1) エラーコードが返される問題について理解しています。

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (ほとんど返されません)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

次の表は、完全なエラーマッピングを示しています。

16 進数	10 進数	シンボリック	フレンドリー
0x56	86	ERROR_INVALID_PASSWORD	指定されたネットワークパスワードが正しくない。
0x267	615	ERROR_PWD_TOO_SHORT	指定されたパスワードが短すぎて、ユーザーアカウントのポリシーを満たしていないこと。長いパスワードを入力してください。
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	パスワードを更新しようとすると、この戻り状態は、現在のパスワードとして指定された値が正しくないことです。
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	パスワードを更新しようとすると、この戻り値の状態は、一部のパスワード更新規則に違反したことを示します。たとえば、パスワードが長さの条件を満たしていない場合があります。
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	システムがドメインコントローラーに接続して認証要求をサービスすることはできません。後でもう一度試してください。
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	システムがドメインコントローラーに接続して認証要求をサービスすることはできません。後でもう一度試してください。

解決策

MS16-101 は、この問題に対処するために再リリースされました。この問題を解決するには、このセキュリティ情報の最新バージョンの更新プログラムをインストールします。

既知の問題 3

ローカルユーザーアカウントのパスワード変更のプログラムによるリセットが失敗し、STATUS_DOWNGRADE_DETECTED (0x800704F1) エラーコードが返される可能性がある問題について理解しています。

次の表は、完全なエラーマッピングを示しています。

16 進数	10 進数	シンボリック	フレンドリー
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	システムがドメインコントローラーに接続して認証要求をサービスすることはできません。後でもう一度試してください。

解決策

既知の問題 4

ネゴシエートパッケージを使用して、無効になっているユーザーアカウントとロックアウトされたユーザーアカウントのパスワードを変更することはできません。

無効なアカウントとロックアウトされたアカウントのパスワード変更は、LDAP 変更操作を直接使用する場合など、他の方法を使用する場合でも引き続き機能します。たとえば、PowerShell コマンドレット Set-ADAccountPassword では、"LDAP Modify" 操作を使用してパスワードを変更し、影響を受けません。

回避策

これらのアカウントでは、管理者がパスワードリセットを行う必要があります。この動作は、MS16-101 以降の修正プログラムをインストールした後に設計されています。
既知の問題 5

NetUserChangePassword API を使用し、 domainname パラメーターにサーバー名を渡すアプリケーションは、MS16-101 以降の更新プログラムがインストールされた後で機能しなくなります。

Microsoft のドキュメントでは、NetUserChangePassword 関数の domainname パラメーターにリモートサーバー名を指定することがサポートされていることを示しています。たとえば、 NetUserChangePassword 関数 MSDN トピックでは、次の内容が示されています。

domainname [in]

関数を実行するリモートサーバーまたはドメインの DNS または NetBIOS 名を指定する定数文字列へのポインター。このパラメーターが NULL の場合、呼び出し元のログオンドメインが使用されます。状態

このガイダンスは、パスワードリセットがローカルコンピューター上のローカルアカウント用でない限り、MS16-101 に置き換えられます。

MS16-101 の後、ドメインユーザーのパスワードの変更を機能させるには、有効な DNS ドメイン名を NetUserChangePassword API に渡す必要があります。

既知の問題 6

MS16-101 で説明されているセキュリティ更新プログラムをインストールすると、リモート、プログラムによるローカルユーザーアカウントパスワードの変更、信頼されていないフォレスト全体でのパスワードの変更が失敗します。

この操作は失敗します。これは、MS16-101 のインストール後に非ローカルアカウントでサポートされなくなった NTLM フォールバックに依存するためです。

この変更を無効にするために使用できるレジストリエントリが用意されています。

警告: この回避策によって、コンピューターやネットワークが、悪意のあるユーザーやウイルスなどの悪質なソフトウェアからの攻撃を受けやすくなる場合があります。この資料の情報は、記載されている回避策をユーザーが自己の判断で使用することを前提に提供されているものであり、この回避策をお勧めするものではありません。この回避策は、自己の責任においてご使用ください。

重要: このセクション、方法、またはタスクには、レジストリに変更を加える方法を示す手順が含まれています。ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。そのため、この手順は必ず慎重に行ってください。さらなる保護のため、レジストリは変更する前にバックアップしてください。こうしておけば、問題が発生した場合にレジストリを復元できます。レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法

この変更を無効にするには、値 1 (1) を使用するように NegoAllowNtlmPwdChangeFallback DWORD エントリを設定します。

重要 NegoAllowNtlmPwdChangeFallback レジストリエントリを値 1 に設定すると、このセキュリティ修正が無効になります。

レジストリの値	説明
0	既定値。フォールバックは禁止されています。
1	フォールバックは常に許可されます。セキュリティ修正プログラムはオフになっています。リモートローカルアカウントまたは信頼されていないフォレストのシナリオで問題が発生しているお客様は、レジストリをこの値に設定できます。

これらのレジストリ値を追加するには、次の手順に従います。

[スタート]、[ファイル名を指定して実行] の順にクリックし、[名前] ボックスに「regedit」と入力し、[OK] をクリックします。
目的のレジストリを見つけたら、次のレジストリサブキーをクリックします:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
[編集] メニューの [新規] をポイントし、[DWORD 値] をクリックします。
DWORD の名前として「NegoAllowNtlmPwdChangeFallback」と入力し、Enter キーを押します。
NegoAllowNtlmPwdChangeFallback を右クリックし、[変更] をクリックします。
[ 値データ ] ボックスに「1」と入力してこの変更を無効にし、[OK] をクリック します。

注既定値を復元するには、「0 (ゼロ)」と入力し、[OK] をクリック します。

状態

この問題の根本原因が理解されています。この記事は、利用可能になると追加の詳細で更新されます。

更新プログラムの入手方法およびインストール方法

方法 1: Windows Update

この更新プログラムは、Windows Update を介して利用可能です。自動更新を有効にすると、この更新プログラムは自動的にダウンロードおよびインストールされます。自動更新を有効にする方法の詳細については、次を参照してください。
セキュリティ更新プログラムを自動的に取得します。

方法 2: Microsoft Update カタログ

この更新プログラムのスタンドアロンパッケージを入手するには、Microsoft Update カタログ Web サイトに移動してください。

方法 3: Microsoft ダウンロードセンター

Microsoft ダウンロードセンターからスタンドアロンの更新プログラムパッケージを取得できます。ダウンロードページのインストール手順に従って、更新プログラムをインストールします。

Microsoft Security Bulletin MS16-101 で、実行している Windows のバージョンに対応するダウンロードリンクをクリックします。

追加情報

セキュリティ更新プログラムの展開情報

Windows Vista (すべてのエディション)リファレンステーブル