2022 m. lapkričio 8 d. – KB5020009 (mėnesinių naujinimų paketas)

Santrauka

Sužinokite daugiau apie šį kaupiamąjį saugos naujinimą, įskaitant patobulinimus, žinomas problemas ir kaip gauti naujinimą.

Patobulinimai

Šis kaupiamasis saugos naujinimas apima patobulinimus, kurie yra KB5017370 naujinimo (išleisto 2022 m. spalio 11 d.) dalis, ir apima pagrindinius pakeitimus, skirtus:

• Išsprendžia paskirstyto komponentinio objektų modelio (DCOM) autentifikavimo sustiprinimo problemą, kad būtų automatiškai padidintas autentifikavimo lygis visoms neanoniminėms aktyvinimo užklausoms iš DCOM klientų. Taip nutiks, jei autentifikavimo lygis bus mažesnis nei RPC_C_AUTHN_LEVEL_PKT_INTEGRITY.

• Naujinimai vasaros laikas (DST) Jordanijoje, kad 2022 m. spalio 28 d. laikrodis nebūtų perkeltas 1 valanda atgal. Be to, Jordanijos standartinio laiko rodomas pavadinimas keičiamas iš "(UTC+02:00) Amanas" į "(UTC+03:00) Amanas".

• Išsprendžia problemą, dėl kurios „Microsoft Azure Active Directory“ (AAD) programos tarpinio serverio jungtis negali gauti "Kerberos" protokolo vartotojo vardu dėl šios bendrosios API klaidos: "Nurodyta rankenėlė netinkama (0x80090301)".

• Išsprendžia problemą, dėl kurios įdiegus 2022 m. sausio 11 d. arba naujesnį naujinimą, miško pasitikėjimo kūrimo procesui nepavyksta užpildyti DNS vardo plėtinių į patikimos informacijos atributus.

• Išsprendžia "Kerberos" ir "Netlogon" protokolų saugos pažeidžiamumus, kaip nurodyta CVE-2022-38023, CVE-2022-37966 ir CVE-2022-37967. Diegimo gaires rasite šiuose straipsniuose:

  • KB5020805: Kaip valdyti "Kerberos" protokolo pakeitimus, susijusius su CVE-2022-37967
  • KB5021130: Kaip valdyti tinklo registravimo protokolo pakeitimus, susijusius su CVE-2022-38023
  • KB5021131: Kaip valdyti "Kerberos" protokolo pakeitimus, susijusius su CVE-2022-37966

  Daugiau informacijos apie pašalintus saugos pažeidžiamumus rasite Diegimai | Saugos naujinimo vadovas ir 2022 m. lapkričio mėn. saugos naujinimai.

Daugiau informacijos apie pašalintus saugos pažeidžiamumus rasite Diegimai | Saugos naujinimo vadovas ir 2022 m. lapkričio mėn. saugos naujinimai.

Žinomos problemos šiame naujinime

Požymis	Kitas veiksmas
Įdiegus šį arba naujesnį "Windows" naujinimą, prisijungimo prie domeno operacijos gali būti nesėkmingos ir gali įvykti klaida "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Be to, tekstas, nurodantis: "Paskyra tokiu pačiu pavadinimu yra "Active Directory". Pakartotinis paskyros naudojimas buvo užblokuotas saugos strategijos". Paveikti scenarijai apima kai kurias prijungimo prie domeno arba pakartotinio atvaizdavimo operacijas, kai kompiuterio paskyra buvo sukurta arba iš anksto sukonfigūruota naudojant kitokią tapatybę nei tapatybė, kuri buvo naudojama kompiuteriui prijungti arba iš naujo prijungti prie domeno. Daugiau informacijos apie šią problemą ieškokite KB5020276 – Netjoin: Domain join hardening changes. Atkreipkite dėmesį Mažai tikėtina, kad ši problema kils "Windows" vartotojams skirtuose darbalaukio leidimuose.	Nurodymų šiuo klausimu ieškokite KB5020276 .
Įdiegus "Windows" naujinimus, išleistus 2022 m. lapkričio 8 d. arba vėliau "Windows" serveriuose, kuriuose naudojamas domeno valdiklio vaidmuo, gali kilti "Kerberos" autentifikavimo problemų. Ši problema gali turėti įtakos bet kokiam „Kerberos“ autentifikavimui jūsų aplinkoje. Scenarijai, kurie gali būti paveikti: Gali nepavykti prisijungti prie domeno vartotojo. Tai taip pat gali turėti įtakos "„Active Directory“ susiejimo tarnyba" (AD FS) autentifikavimui. Grupės valdomųjų tarnybos paskyrų (gMSA), naudojamų tokioms tarnyboms kaip informacinės interneto paslaugos (IIS žiniatinklio serveris), gali nepavykti autentifikuoti. Nuotolinio darbalaukio ryšiai, naudojantys domeno vartotojus, gali neprisijungti. Jums gali nepavykti pasiekti bendrai naudojamų aplankų darbo vietose ir bendrai naudojamų failų serveriuose. Spausdinimas, kuriam reikia domeno vartotojo autentifikavimo, gali nepavykti. Iškilus šiai problemai, galite gauti „Microsoft“-Windows-Kerberos-Key-Distribution-Center įvykio ID 4 klaidos įvykį sistemos skyriuje įvykių žurnalo domeno valdiklyje su toliau pateiktu tekstu. Atkreipkite dėmesį Paveiktuose įvykiuose bus " trūkstamo rakto ID yra 1" eilutė: Apdorojant tikslinės tarnybos <>AS užklausą, paskyros <paskyros pavadinimas> neturėjo tinkamo rakto "Kerberos" kvitui generuoti (trūkstamo rakto ID yra 1). Prašomos etypes : 18 3. Turimi etypes : 23 18 17. Pakeitus arba iš naujo nustačius paskyros pavadinimo> slaptažodį, <bus sugeneruotas tinkamas raktas. Atkreipkite dėmesį Ši problema nėra numatoma " Netlogon" ir "Kerberos" saugos sustiprinimo nuo 2022 m. lapkričio mėn. saugos naujinimo dalis. Net išsprendus šią problemą, vis tiek turėsite vadovautis šiuose straipsniuose pateikiamais nurodymais. Ši problema neturi įtakos "Windows" įrenginiams, kuriuos vartotojai naudoja namuose arba įrenginiams, kurie nėra vietinio domeno dalis. Tai neturi įtakos "Azure Active Directory" aplinkoms, kurios nėra hibridinės ir neturi vietinis „Active Directory“ serverių.	Ši problema išspręsta naujinime KB5021652.
Įdiegus šį arba vėlesnį naujinimą domeno valdiklyje (DC), gali įvykti atminties nutekėjimas naudojant vietinės saugos institucijos posistemės tarnybą (LSASS,exe). Atsižvelgiant į jūsų DC darbo krūvį ir laiką nuo paskutinio serverio paleidimo iš naujo, LSASS gali nuolat didinti atminties naudojimą su serverio veikimo laiku ir serveris gali nebereaguoti arba būti automatiškai paleistas iš naujo. Atkreipkite dėmesį Ši problema gali paveikti 2022 m. lapkričio 17 d. ir 2022 m. lapkričio 18 d. išleistus DC skirtus naujinimus, nepatenkančius į pagrindinį duomenų srautą.	Norėdami išspręsti šią problemą, atidarykite komandinę eilutę kaip administratorius ir naudokite šią komandą, kad nustatytumėte registro raktą KrbtgtFullPacSignature į 0: reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD Atkreipkite dėmesį Išsprendę šią žinomą problemą, turėtumėte nustatyti didesnį KrbtgtFullPacSignature nustatymą, atsižvelgiant į tai, ką leis jūsų aplinka. Rekomenduojame įgalinti vykdymo režimą, kai tik aplinka bus parengta. Daugiau informacijos apie šį registro raktą rasite KB5020805: Kaip valdyti "Kerberos" protokolo pakeitimus, susijusius su CVE-2022-37967. Ieškome sprendimo ir pateiksime naujinimą būsimame leidime.
Įdiegus šį naujinimą, programos, kurios naudoja ODBC ryšius per "„Microsoft“ ODBC „SQL Server“" tvarkyklę (sqlsrv32.dll), kad pasiektų duomenų bazes, gali neprisijungti. Be to, gali įvykti klaida programoje arba klaidą gali pateikti „SQL Server“. Klaidose, su kuriomis galite susidurti, pateikiami šie pranešimai: EMS sistemoje kilo problema. Pranešimas: [„Microsoft“][ODBC SQL Server Driver] Protokolo klaida TDS sraute. EMS sistemoje kilo problema. Pranešimas: [„Microsoft“][ODBC SQL Server Driver] Iš „SQL Server“ gautas nežinomas atpažinimo ženklas. Pastaba kūrėjams: Programoms, kurias paveikė ši problema, gali nepavykti iškviesti duomenų, pvz., naudojant funkciją SQLFetch. Ši problema gali kilti iškviečiant funkciją SQLBindCol prieš SQLFetch arba iškviečiant funkciją SQLGetData po SQLFetch ir kai argumento "BufferLength" reikšmė yra 0 (nulis) fiksuotiems duomenų tipams, didesniems nei 4 baitai (pvz., SQL_C_FLOAT). Norėdami nuspręsti, ar naudojate paveiktą programą, atidarykite programą, kuri jungiasi prie duomenų bazės. Atidarykite komandinės eilutės langą, įveskite šią komandą ir paspauskite „Enter“: tasklist /m sqlsrv32.dll Jei komanda pateikia užduotį, programa gali būti paveikta.	Norėdami išspręsti šią problemą, galite atlikti vieną iš šių veiksmų: Jei jūsų programėlė jau naudoja arba gali naudoti duomenų šaltinio pavadinimą (DSN) ODBC ryšiams pasirinkti, įdiekite "„Microsoft“" ODBC tvarkyklę 17, skirtą „SQL Server“, ir pasirinkite ją naudoti su programa naudodami DSN. Pastaba: Rekomenduojame naudoti naujausią "„Microsoft“ ODBC" tvarkyklės 17 versiją, skirtą "„SQL Server“", nes ji labiau suderinama su programėlėmis, kuriose šiuo metu naudojama senstelėjusi "„Microsoft“" ODBC „SQL Server“ tvarkyklė (sqlsrv32.dll), nei su "„Microsoft“ ODBC 18" tvarkykle, skirta "„SQL Server“". Jei jūsų programa negali naudoti DSN, programą reikės modifikuoti, kad būtų leidžiama DSN arba naudojama naujesnė ODBC tvarkyklė nei „„Microsoft“ ODBC SQL Server“ tvarkyklė (sqlsrv32.dll). Ši problema buvo išspręsta KB5022348. Jei įdiegėte anksčiau pateiktą sprendimo būdą, rekomenduojama toliau naudoti konfigūraciją, esančią sprendimo būdo.

Kaip gauti šį naujinimą

Prieš diegiant šį naujinimą

Primygtinai rekomenduojame įdiegti naujausią operacinės sistemos priežiūros rietuvės naujinimą (SSU) prieš diegiant naujausią naujinimų paketą. SSU pagerina naujinimo proceso patikimumą siekiant sumažinti galimas problemas, kai diegiamas naujinimų paketas ir taikomos „„Microsoft““ saugos pataisos. Bendros informacijos apie SSU žr. Priežiūros rietuvės naujinimai ir Priežiūros rietuvės naujinimai (SSU): dažniausiai užduodami klausimai.

Jei naudojate „Windows Update“, naujausias SSU (KB5016263) bus pasiūlytas automatiškai. Norėdami gauti šio naujinimo atskirą naujausio SSU paketą, eikite į „„Microsoft“ Update“ katalogą.

Kalbų paketai

Jei įdiegę šį naujinimą įdiegsite kalbos paketą, turite iš naujo įdiegti šį naujinimą. Todėl rekomenduojame įdiegti visus kalbos paketus, kurių jums reikia, prieš diegiant šį naujinimą. Daugiau informacijos rasite Kalbų paketų įtraukimas į "Windows".

Diegti šį naujinimą

Išleidimo kanalas	Pasiekiamas	Kitas veiksmas
„Windows Update“ ir „„Microsoft“ Update“	Taip	Nėra. Šis naujinimas bus automatiškai atsiųstas ir įdiegtas iš „Windows Update“.
„„Microsoft“ Update“ katalogas	Taip	Norėdami gauti atskirą šio naujinimo paketą, eikite į „„Microsoft“ Update“ katalogo svetainę.
„Windows Server Update Services“ (WSUS)	Taip	Šis naujinimas bus automatiškai sinchronizuojamas su WSUS, jei Produktai ir klasifikacija sukonfigūruosite šiuo būdu: Produktas: „Windows Server 2012“, „Windows Embedded 8 Standard“ Klasifikacija: Saugos naujinimai

Failo informacija

Norėdami gauti į šį naujinimą įtrauktų failų sąrašą, atsisiųskite naujinimo KB5020009 failo informaciją.

Nuorodos

Sužinokite daugiau apie standartinius terminus , naudojamus apibūdinti "„Microsoft“" programinės įrangos naujinimus.