MS16-101: Windows 認証方法のセキュリティ更新プログラム: 2016 年 8 月 9 日

適用先

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

重要この記事には、セキュリティ設定を下げる方法や、コンピューターのセキュリティ機能をオフにする方法を示す情報が含まれています。これらの変更によって特定の問題を回避できますが、変更を行う前に、特定の環境でこの回避策を実行した際に生じるリスクを評価することをお勧めします。この回避策を実行する場合は、コンピューターを保護するために、ここに記載された処理以外にも適切な処理を実行してください。

概要

このセキュリティ更新プログラムは、Microsoft Windows の複数の脆弱性を解決します。この脆弱性により、攻撃者がドメインに参加しているシステムで特別に細工されたアプリケーションを実行すると、特権が昇格される可能性があります。

脆弱性の詳細については、マイクロソフトセキュリティ情報 MS16-101 を参照してください。

追加情報

重要

Windows 8.1 および Windows Server 2012 R2 のすべての今後のセキュリティ更新プログラムとセキュリティ以外の更新プログラムはすべて、更新プログラム 2919355 をインストールする必要があります。今後の更新プログラムを適用できるように、Windows 8.1 ベースまたは Windows Server 2012 R2 ベースのコンピューターに更新プログラム 2919355 をインストールすることをお勧めします。
この更新プログラムをインストールした後に言語パックをインストールした場合は、この更新プログラムを再インストールする必要があります。そのため、この更新プログラムをインストールする前に、必要な言語パックをすべてインストールすることをお勧めします。詳細については、「Add language packs to Windows」(英語情報) を参照してください。

このセキュリティ更新プログラムに含まれている、セキュリティに関連しない修正プログラム

このセキュリティ更新プログラムを適用すると、セキュリティに関連しない次の問題も修正されます。

ドメインレスクラスター上のドメイン参加型 Scale Out File Server (SoFS) で、Windows 8.1 または Windows Server 2012 R2 を実行している SMB クライアントがダウンしているノードに接続すると、認証が失敗します。この問題が発生すると、次のメッセージのようなエラーメッセージが表示されることがあります。

注

STATUS_NO_TGT_REPLY

このセキュリティ更新プログラムの関連情報

以下の資料では製品バージョン別に、このセキュリティ更新プログラムに関する追加情報が掲載されています。資料には、既知の問題に関する情報が掲載されている場合があります。

3177108 MS16-101: Windows 認証メソッド用のセキュリティ更新プログラムについて: 2016 年 8 月 9 日
3167679 MS16-101: Windows 認証メソッドのセキュリティ更新プログラムについて: 2016 年 8 月 9 日
3192392 Windows 8.1 および Windows Server 2012 R2 用の 2016 年 10 月のセキュリティのみの品質更新プログラム
3185331 2016 年 10 月のセキュリティ品質マンスリーロールアップ (Windows 8.1 および Windows Server 2012 R2)
3192393 2016 年 10 月のセキュリティのみの品質更新プログラム (Windows Server 2012 用)
3185332 2016 年 10 月のセキュリティのマンスリー品質ロールアップ (Windows Server 2012
3192391 Windows 7 SP1 および Windows Server 2008 R2 SP1 用の 2016 年 10 月のセキュリティのみの品質更新プログラム
3185330 Windows 7 SP1 および Windows Server 2008 R2 SP1 用の 2016 年 10 月セキュリティのマンスリー品質ロールアップ
3192440 Windows 10 用の累積的な更新プログラム: 2016 年 10 月 11 日
3194798 Windows 10 Version 1607 および Windows Server 2016 の累積的な更新プログラム: 2016 年 10 月 11 日
3192441 Windows 10 バージョン 1511 の累積的な更新プログラム: 2016 年 10 月 11 日

置き換えられるセキュリティ更新プログラム次のセキュリティ更新プログラムが置き換えられました。

3176492 Windows 10 用の累積的な更新プログラム: 2016 年 8 月 9 日
3176493 Windows 10 バージョン 1511 の累積的な更新プログラム: 2016 年 8 月 9 日
3176495 Windows 10 バージョン 1607 の累積的な更新プログラム: 2016 年 8 月 9 日

前述のセキュリティ更新プログラムに代わる新しいセキュリティ更新プログラムを次に示します。

3192440 Windows 10 用の累積的な更新プログラム: 2016 年 10 月 11 日
3194798 Windows 10 Version 1607 および Windows Server 2016 の累積的な更新プログラム: 2016 年 10 月 11 日
3192441 Windows 10 バージョン 1511 の累積的な更新プログラム: 2016 年 10 月 11 日

このセキュリティ更新プログラムの既知の問題

既知の問題 1

MS16-101 およびそれ以降の更新プログラムで提供されるセキュリティ更新プログラムは、STATUS_NO_LOGON_SERVERS (0xc000005e) エラーコードを使用してパスワード変更操作で Kerberos 認証が失敗した場合に、ネゴシエートプロセスが NTLM にフォールバックする機能を無効にします。この場合、次のいずれかのエラーコードが表示されることがあります。

16 進数	10 進数	シンボリック	フレンドリ
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	セキュリティを侵害しようとする疑いがシステムで検出されました。ユーザーを認証したサーバーに接続できることを確認してください。
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	セキュリティを侵害しようとする疑いがシステムで検出されました。ユーザーを認証したサーバーに接続できることを確認してください。

回避策

MS16-101 のインストール後に以前に成功したパスワード変更が失敗する場合は、Kerberos が失敗していたため、パスワード変更が以前は NTLM フォールバックに依存していた可能性があります。 Kerberos プロトコルを使用してパスワードを正常に変更するには、次の手順に従います。

MS16-101 がインストールされているクライアントと、パスワードのリセットを処理しているドメインコントローラーとの間の TCP ポート 464 でオープンな通信を構成します。

ユーザーが RODC のパスワードレプリケーションポリシーで許可されている場合、読み取り専用ドメインコントローラー (RODC) はセルフサービスパスワードリセットを提供できます。 RODC パスワードポリシーで許可されていないユーザーは、ユーザーアカウントドメイン内の読み取り/書き込みドメインコントローラー (RWDC) にネットワーク接続する必要があります。

注: TCP ポート 464 が開いているかどうかをチェックするには、次の手順を実行します。
1. ネットワークモニターのパーサーに対して同等の表示フィルターを作成します。次に例を示します。
  ipv4.address== <クライアントの IP アドレス> && tcp.port==464
2. 結果で、"TCP:[SynReTransmit" フレームを探します。
ターゲット Kerberos 名が有効であることを確認してください。 (IP アドレスは Kerberos プロトコルに対して無効です。Kerberos では、短い名前と完全修飾ドメイン名がサポートされています)。
サービスプリンシパル名 (SPN) が正しく登録されていることを確認してください。

詳細については、「 Kerberos およびパスワード Self-Service リセット」を参照してください。

既知の問題 2

Microsoft では、ドメインユーザーアカウントのプログラムによるパスワードリセットが失敗し、予想される失敗が次のいずれかである場合にSTATUS_DOWNGRADE_DETECTED (0x800704F1) エラーコードが返される問題について把握しています。

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (めったに返されません)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

次の表に、完全なエラーマッピングを示します。

16 進数	10 進数	シンボリック	フレンドリ
0x56	86	ERROR_INVALID_PASSWORD	指定されたネットワークパスワードが正しくありません。
0x267	615	ERROR_PWD_TOO_SHORT	入力したパスワードが短すぎて、ユーザーアカウントのポリシーに適合しません。長いパスワードを入力してください。
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	パスワードを更新しようとすると、この戻りステータスは、現在のパスワードとして指定された値が正しくないことを示します。
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	パスワードを更新しようとすると、この戻りステータスは、パスワード更新ルールに違反したことを示します。たとえば、パスワードが長さの条件を満たしていない可能性があります。
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	システムは、認証要求を処理するためにドメインコントローラーに接続できません。後でもう一度試してください。
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	システムは、認証要求を処理するためにドメインコントローラーに接続できません。後でもう一度試してください。

解決策

この問題に対処するために、MS16-101 が再リリースされました。この問題を解決するには、このセキュリティ情報の更新プログラムの最新バージョンをインストールします。

既知の問題 3

ローカルユーザーアカウントのパスワード変更のプログラムによるリセットが失敗し、STATUS_DOWNGRADE_DETECTED (0x800704F1) エラーコードが返される可能性がある問題については把握しています。

次の表に、完全なエラーマッピングを示します。

16 進数	10 進数	シンボリック	フレンドリ
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	システムは、認証要求を処理するためにドメインコントローラーに接続できません。後でもう一度試してください。

解決策

既知の問題 4

無効およびロックアウトされたユーザーアカウントのパスワードは、ネゴシエートパッケージを使用して変更できません。

無効なアカウントやロックアウトされたアカウントのパスワード変更は、LDAP modify 操作を直接使用する場合など、他の方法を使う場合も機能します。たとえば、PowerShell コマンドレット Set-ADAccountPassword "LDAP Modify" 操作を使用してパスワードを変更しますが、影響を受けません。

回避策

これらのアカウントでは、管理者がパスワードをリセットする必要があります。この動作は、MS16-101 以降の修正プログラムをインストールした後の仕様によるものです。
既知の問題 5

NetUserChangePassword API を使用し、 domainname パラメーターに servername を渡すアプリケーションは、MS16-101 以降の更新プログラムをインストールすると動作しなくなります。

Microsoft のドキュメントでは、NetUserChangePassword 関数の domainname パラメーターにリモートサーバー名を指定することがサポートされています。たとえば、 NetUserChangePassword 関数 MSDN のトピックでは、次のように説明されています。

domainname [in]

関数が実行されるリモートサーバーまたはドメインの DNS 名または NetBIOS 名を指定する定数文字列へのポインター。このパラメーターが NULL の場合は、呼び出し元のログオンドメインが使用されます。状態

このガイダンスは、ローカルコンピューター上のローカルアカウントのパスワードリセットでない限り、MS16-101 に置き換えられました。

MS16-101 以降、ドメインユーザーパスワードの変更を機能させるには、有効な DNS ドメイン名を NetUserChangePassword API に渡す必要があります。

既知の問題 6

MS16-101 に記載されているセキュリティ更新プログラムをインストールすると、ローカルユーザーアカウントパスワードのリモートプログラムによる変更と、信頼されていないフォレスト全体でのパスワード変更は失敗します。

この操作は NTLM フォールバックに依存しているため、この操作は失敗します。NTLM フォールバックは、MS16-101 のインストール後、非ローカルアカウントではサポートされなくなります。

この変更を無効にするために使用できるレジストリエントリが提供されています。

警告: この回避策によって、コンピューターやネットワークが、悪意のあるユーザーやウイルスなどの悪質なソフトウェアからの攻撃を受けやすくなる場合があります。この資料の情報は、記載されている回避策をユーザーが自己の判断で使用することを前提に提供されているものであり、この回避策をお勧めするものではありません。この回避策は、自己の責任においてご使用ください。

重要: このセクション、方法、またはタスクには、レジストリに変更を加える方法を示す手順が含まれています。ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。そのため、この手順は必ず慎重に行ってください。さらなる保護のため、レジストリは変更する前にバックアップしてください。こうしておけば、問題が発生した場合にレジストリを復元できます。レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法

この変更を無効にするには、値 1 を使用するように NegoAllowNtlmPwdChangeFallback DWORD エントリを設定します。

重要: NegoAllowNtlmPwdChangeFallback レジストリエントリを値 1 に設定すると、このセキュリティ修正プログラムは無効になります。

レジストリの値	説明
0	既定値。フォールバックを防止します。
1	フォールバックは常に許可されます。セキュリティ修正プログラムが無効になります。リモートローカルアカウントまたは信頼されていないフォレストのシナリオで問題が発生しているお客様は、レジストリをこの値に設定できます。

これらのレジストリ値を追加するには、次の手順を実行します。

[スタート]、[ファイル名を指定して実行] の順にクリックし、[名前] ボックスに「regedit」と入力し、[OK] をクリックします。
目的のレジストリを見つけたら、次のレジストリサブキーをクリックします:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
[編集] メニューの [新規] をポイントし、[DWORD 値] をクリックします。
DWORD の名前に「NegoAllowNtlmPwdChangeFallback」と入力し、Enter キーを押します。
[NegoAllowNtlmPwdChangeFallback] を右クリックし、[修正] をクリックします。
[ 値のデータ] ボックスに 1 を入力してこの変更を無効にし、[ OK] をクリックします。

注: 既定値を元に戻すには、0 (ゼロ) を入力し、[ OK] をクリックします。

状態

この問題の根本原因は理解されています。詳細については、次の記事で更新されます。

更新プログラムの入手方法およびインストール方法

方法 1: Windows Update

この更新プログラムは、Windows Update を介して利用可能です。自動更新を有効にすると、この更新プログラムは自動的にダウンロードおよびインストールされます。自動更新を有効にする方法の詳細については、
セキュリティ更新プログラムを自動的に入手します。

方法 2: Microsoft Update カタログ

この更新プログラムのスタンドアロンパッケージを入手するには、Microsoft Update カタログ Web サイトに移動してください。

方法 3: Microsoft ダウンロードセンター

Microsoft ダウンロードセンターからスタンドアロンの更新プログラムパッケージを取得できます。ダウンロードページのインストール手順に従って、更新プログラムをインストールします。

実行している Windows のバージョンに対応する Microsoft セキュリティ情報 MS16-101 のダウンロードリンクをクリックします。

追加情報

セキュリティ更新プログラムの展開情報

Windows Vista (すべてのエディション) 参照表