MS16-101: Windows 인증 방법에 대한 보안 업데이트: 2016년 8월 9일 화요일

적용 대상

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

중요 이 문서에는 컴퓨터에서 보안 설정 수준을 낮추는데 도움이 되는 방법 또는 보안 기능을 해제하는 방법을 보여주는 정보가 포함되어 있습니다. 이렇게 변경하면 특정 문제를 해결할 수 있습니다. 변경하기 전에 특정 환경에서 이 해결 방법을 구현할 때 발생할 수 있는 위험을 확인하는 것이 좋습니다. 이 해결 방법을 사용하는 경우 적절한 컴퓨터 보호 조치를 추가로 취하십시오.

요약

이 보안 업데이트는 Microsoft Windows의 여러 취약성을 해결합니다. 이 취약성으로 인해 공격자가 도메인 가입 시스템에서 특수 제작된 응용 프로그램을 실행하는 경우 권한 상승이 허용될 수 있습니다.

이 취약성에 대해 자세히 알아보려면 Microsoft 보안 공지 MS16-101을 참조하세요.

추가 정보

중요

Windows 8.1 및 Windows Server 2012 R2에 대한 향후 모든 보안 및 비보안 업데이트를 적용하려면 업데이트 2919355 설치해야 합니다. 향후 업데이트를 받을 수 있도록 Windows 8.1 기반 또는 Windows Server 2012 R2 기반 컴퓨터에 업데이트 2919355 설치하는 것이 좋습니다.
이 업데이트를 설치한 후에 언어 팩을 설치하는 경우 이 업데이트를 다시 설치해야 합니다. 따라서 이 업데이트를 설치하기 전에 필요한 모든 언어 팩을 설치하는 것이 좋습니다. 자세한 내용은 Windows에 언어 팩 추가를 참조하세요.

이 보안 업데이트에 포함된 비보안 관련 수정 사항

이 보안 업데이트는 다음과 같은 보안과 관련되지 않은 문제도 해결합니다.

도메인리스 클러스터의 도메인 가입 SoFS(Scale Out File Server)에서 Windows 8.1 또는 Windows Server 2012 R2를 실행하는 SMB 클라이언트가 다운된 노드에 연결하면 인증이 실패합니다. 이 문제가 발생하면 다음과 유사한 오류 메시지가 나타날 수 있습니다.

참고

STATUS_NO_TGT_REPLY

이 보안 업데이트에 대한 추가 정보

다음 문서에는 개별 제품 버전과 관련된 이 보안 업데이트에 대한 추가 정보가 나와 있습니다. 문서에는 알려진 문제 정보가 포함될 수 있습니다.

3177108 MS16-101: Windows 인증 메서드용 보안 업데이트에 대한 설명: 2016년 8월 9일 화요일
3167679 MS16-101: Windows 인증 메서드용 보안 업데이트에 대한 설명: 2016년 8월 9일 화요일
3192392 2016년 10월 Windows 8.1 및 Windows Server 2012 R2용 보안 전용 품질 업데이트
3185331 Windows 8.1 및 Windows Server 2012 R2에 대한 2016년 10월 보안 월별 품질 롤업
3192393 2016년 10월 Windows Server 2012용 보안 전용 품질 업데이트
3185332 Windows Server 2012용 2016년 10월 보안 월별 품질 롤업
3192391 Windows 7 SP1 및 Windows Server 2008 R2 SP1용 2016년 10월 보안 전용 품질 업데이트
3185330 Windows 7 SP1 및 Windows Server 2008 R2 SP1용 2016년 10월 보안 월별 품질 롤업
3192440 Windows 10용 누적 업데이트: 2016년 10월 11일
3194798 Windows 10 버전 1607 및 Windows Server 2016용 누적 업데이트: 2016년 10월 11일
3192441 Windows 10 버전 1511용 누적 업데이트: 2016년 10월 11일

대체된 보안 업데이트 대체된 보안 업데이트는 다음과 같습니다.

3176492 Windows 10용 누적 업데이트: 2016년 8월 9일
3176493 Windows 10 버전 1511용 누적 업데이트: 2016년 8월 9일
3176495 Windows 10 버전 1607용 누적 업데이트: 2016년 8월 9일

다음은 앞에서 언급한 보안 업데이트를 대체하는 새로운 보안 업데이트입니다.

3192440 Windows 10용 누적 업데이트: 2016년 10월 11일
3194798 Windows 10 버전 1607 및 Windows Server 2016용 누적 업데이트: 2016년 10월 11일
3192441 Windows 10 버전 1511용 누적 업데이트: 2016년 10월 11일

이 보안 업데이트의 알려진 문제

알려진 문제 1

MS16-101 및 최신 업데이트에서 제공되는 보안 업데이트는 STATUS_NO_LOGON_SERVERS(0xc000005e) 오류 코드와 함께 암호 변경 작업에 대해 Kerberos 인증이 실패할 때 협상 프로세스가 NTLM으로 대체하는 기능을 사용하지 않습니다. 이 경우 다음 오류 코드 중 하나가 나타날 수 있습니다.

16진수	10진수	기호	친근한
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	시스템에서 보안을 손상시키려는 시도가 감지되었습니다. 사용자를 인증한 서버에 연결할 수 있는지 확인하세요.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	시스템에서 보안을 손상시키려는 시도가 감지되었습니다. 사용자를 인증한 서버에 연결할 수 있는지 확인하세요.

해결 방법

MS16-101을 설치한 후 이전에 성공한 암호 변경이 실패하면 Kerberos가 실패하여 이전에 암호 변경이 NTLM 대체에 의존했을 수 있습니다. Kerberos 프로토콜을 사용하여 암호를 성공적으로 변경하려면 다음 단계를 수행합니다.

MS16-101이 설치된 클라이언트와 암호 재설정을 서비스하는 도메인 컨트롤러 간의 TCP 포트 464에서 개방형 통신을 구성합니다.

RODC(읽기 전용 도메인 컨트롤러)는 RODC 암호 복제 정책에서 사용자가 허용하는 경우 셀프 서비스 암호 재설정 서비스를 제공할 수 있습니다. RODC 암호 정책에서 허용되지 않는 사용자는 사용자 계정 도메인의 RWDC(읽기/쓰기 도메인 컨트롤러)에 네트워크 연결이 필요합니다.

참고 TCP 포트 464가 열려 있는지 여부를 검사하려면 다음 단계를 따릅니다.
1. 네트워크 모니터 파서에 대해 동등한 디스플레이 필터를 만듭니다. 예를 들면 다음과 같습니다.
  IPv4.address== <클라이언트> IP 주소 && TCP.PORT==464
2. 결과에서 "TCP:[SynReTransmit" 프레임을 찾습니다.
대상 Kerberos 이름이 유효한지 확인합니다. (IP 주소는 Kerberos 프로토콜에 유효하지 않습니다. Kerberos는 짧은 이름과 정규화된 도메인 이름을 지원합니다.)
SPN(서비스 사용자 이름)이 올바르게 등록되어 있는지 확인합니다.

자세한 내용은 Kerberos 및 Self-Service 암호 재설정을 참조하세요.

알려진 문제 2

Microsoft는 도메인 사용자 계정의 프로그래밍 방식 암호 재설정이 실패하고 예상되는 실패가 다음 중 하나인 경우 STATUS_DOWNGRADE_DETECTED(0x800704F1) 오류 코드를 반환하는 문제를 알고 있습니다.

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT(거의 반환되지 않음)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

다음 표에는 전체 오류 매핑이 나와 있습니다.

16진수	10진수	기호	친근한
0x56	86	ERROR_INVALID_PASSWORD	지정한 네트워크 암호가 올바르지 않습니다.
0x267	615	ERROR_PWD_TOO_SHORT	제공된 암호가 너무 짧아서 사용자 계정의 정책을 충족하지 못합니다. 더 긴 암호를 입력하세요.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	암호를 업데이트하려고 할 때 이 반환 상태는 현재 암호로 제공된 값이 올바르지 않음을 나타냅니다.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	암호를 업데이트하려고 할 때 이 반환 상태는 일부 암호 업데이트 규칙을 위반했음을 나타냅니다. 예를 들어 암호가 길이 조건에 부합하지 않을 수 있습니다.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	시스템에서 인증 요청을 처리하기 위해 도메인 컨트롤러에 접속할 수 없습니다. 나중에 다시 시도하세요.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	시스템에서 인증 요청을 처리하기 위해 도메인 컨트롤러에 접속할 수 없습니다. 나중에 다시 시도하세요.

해결 방법

이 문제를 해결하기 위해 MS16-101이 다시 릴리스되었습니다. 이 문제를 resolve하려면 이 공지에 대한 최신 버전의 업데이트를 설치합니다.

알려진 문제 3

로컬 사용자 계정 암호 변경의 프로그래밍 방식으로 재설정이 실패하고 STATUS_DOWNGRADE_DETECTED(0x800704F1) 오류 코드를 반환할 수 있는 문제에 대해 알고 있습니다.

다음 표에는 전체 오류 매핑이 나와 있습니다.

16진수	10진수	기호	친근한
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	시스템에서 인증 요청을 처리하기 위해 도메인 컨트롤러에 접속할 수 없습니다. 나중에 다시 시도하세요.

해결 방법

이 문제를 해결하기 위해 MS16-101이 다시 릴리스되었습니다. 이 문제를 resolve하려면 이 공지에 대한 최신 버전의 업데이트를 설치합니다.

알려진 문제 4

비활성화되거나 잠긴 사용자 계정의 암호는 협상 패키지를 사용하여 변경할 수 없습니다.

비활성화되거나 잠긴 계정의 암호 변경은 LDAP 수정 작업을 직접 사용하는 경우와 같이 다른 방법을 사용하는 경우에도 계속 작동합니다. 예를 들어 PowerShell cmdlet Set-ADAccountPassword는 "LDAP 수정" 작업을 사용하여 암호를 변경하고 영향을 받지 않습니다.

해결 방법

이러한 계정을 사용하려면 관리자가 암호를 재설정해야 합니다. 이 동작은 MS16-101 이상 픽스를 설치한 후 의도된 것입니다.
알려진 문제 5

NetUserChangePassword API를 사용하고 domainname 매개 변수에서 서버 이름을 전달하는 응용 프로그램은 MS16-101 이상 업데이트가 설치된 후 더 이상 작동하지 않습니다.

Microsoft 설명서에 NetUserChangePassword 함수의 domainname 매개 변수에 원격 서버 이름을 제공하는 것이 지원된다고 나와 있습니다. 예를 들어 NetUserChangePassword 함수 MSDN 항목은 다음과 같이 명시되어 있습니다.

domainname [in]

함수를 실행할 원격 서버나 도메인의 DNS 또는 NetBIOS 이름을 지정하는 상수 문자열에 대한 포인터입니다. 이 매개 변수가 NULL이면 호출자의 로그온 도메인이 사용됩니다. 상태

로컬 컴퓨터의 로컬 계정에 대한 암호 재설정이 아닌 한 이 지침은 MS16-101로 대체되었습니다.

MS16-101 이후 도메인 사용자 암호 변경이 적용되려면 유효한 DNS 도메인 이름을 NetUserChangePassword API에 전달해야 합니다.

알려진 문제 6

MS16-101에 설명된 보안 업데이트를 설치한 후 로컬 사용자 계정 암호의 원격 프로그래밍 방식 변경 및 신뢰할 수 없는 포리스트에서의 암호 변경이 실패합니다.

이 작업은 MS16-101이 설치된 후 로컬 계정이 아닌 계정에 대해 더 이상 지원되지 않는 NTLM 폴백에 의존하기 때문에 실패합니다.

이 변경 내용을 사용하지 않도록 설정하는 데 사용할 수 있는 레지스트리 항목이 제공됩니다.

경고 이 해결 방법으로 인해 컴퓨터나 네트워크가 악의적인 사용자나 바이러스와 같은 악성 소프트웨어의 공격에 취약해질 수 있습니다. 이 해결 방법을 권장하지는 않지만 사용자 판단에 따라 해결 방법을 구현할 수 있도록 이에 대한 정보를 제공하고 있습니다. 이 해결 방법을 사용하여 발생하는 모든 위험에 대한 책임은 사용자에게 있습니다.

중요이 섹션, 메서드 또는 작업에는 레지스트리를 수정하는 방법에 대한 단계가 포함되어 있습니다. 그러나 레지스트리를 잘못 수정하는 경우 심각한 문제가 발생할 수 있습니다. 따라서 이러한 단계를 신중하게 따라야 합니다. 레지스트리를 변경하기 전에 먼저 백업하는 것이 좋습니다. 그런 다음 문제가 발생할 경우 레지스트리를 복원할 수 있습니다. Windows XP 및 Windows Server 2003에서 레지스트리를 백업, 편집 및 복원하는 방법에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료를 참조하세요.
322756 Windows에서 레지스트리를 백업 및 복원하는 방법

이 변경을 사용하지 않도록 설정하려면 값을 1로 사용하도록 NegoAllowNtlmPwdChangeFallback DWORD 항목을 설정합니다.

중요 NegoAllowNtlmPwdChangeFallback 레지스트리 항목을 값 1로 설정하면 이 보안 수정 프로그램이 비활성화됩니다.

레지스트리 값	설명
0	기본값입니다. 대체가 방지됩니다.
1	대체는 항상 허용됩니다. 보안 픽스가 꺼져 있습니다. 원격 로컬 계정 또는 신뢰할 수 없는 포리스트 시나리오에 문제가 있는 고객은 레지스트리를 이 값으로 설정할 수 있습니다.

이러한 레지스트리 값을 추가하려면 다음 단계를 수행합니다.

시작, 실행을 차례로 클릭하고 열기 상자에 regedit를 입력한 다음 확인을 클릭합니다.
레지스트리에서 아래와 같은 하위 키를 찾아 클릭합니다.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
편집 메뉴에서 새로 만들기를 가리킨 다음 DWORD 값을 클릭합니다.
DWORD 이름에 NegoAllowNtlmPwdChangeFallback을 입력한 다음 Enter 키를 누릅니다.
NegoAllowNtlmPwdChangeFallback을 마우스 오른쪽 단추로 클릭한 다음 수정을 클릭합니다.
값 데이터 상자에 1을 입력하여 이 변경 내용을 사용하지 않도록 설정한 다음 확인을 클릭합니다.

참고 기본값을 복원하려면 0을 입력한 다음 확인을 클릭합니다.

상태

이 문제의 근본 원인은 이해됩니다. 이 문서는 추가 세부 정보가 제공되면 업데이트될 예정입니다.

업데이트를 구하고 설치하는 방법

방법 1: Windows 업데이트

이 업데이트는 Windows 업데이트를 통해 제공됩니다. 자동 업데이트를 켜면 이 업데이트가 자동으로 다운로드되고 설치됩니다. 자동 업데이트를 설정하는 방법에 대한 자세한 내용은 다음을 참조하세요
자동으로 보안 업데이트를 받습니다.

방법 2: Microsoft 업데이트 카탈로그

이 업데이트의 독립 실행형 패키지를 다운로드하려면 Microsoft 업데이트 카탈로그 웹 사이트로 이동하세요.

방법 3: Microsoft 다운로드 센터

Microsoft 다운로드 센터를 통해 독립 실행형 업데이트 패키지를 다운로드할 수 있습니다. 다운로드 페이지의 설치 지침에 따라 업데이트를 설치하세요.

실행 중인 Windows 버전에 해당하는 Microsoft 보안 공지 MS16-101 의 다운로드 링크를 클릭합니다.

추가 정보

보안 업데이트 배포 정보

Windows Vista(모든 버전) 참조 테이블