MS16-101: Atualização de segurança para métodos de autenticação do Windows: 9 de agosto de 2016

Aplica-se a

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Importante Este artigo contém informações que mostram como reduzir as configurações de segurança ou como desativar os recursos de segurança em um computador. É possível fazer essas alterações para solucionar um problema específico. Antes de fazer essas alterações, é aconselhável avaliar os riscos associados à implementação dessa solução alternativa no ambiente específico. Se você implementar essa solução alternativa, execute as etapas adicionais apropriadas para ajudar a proteger o computador.

Resumo

Esta atualização de segurança resolve várias vulnerabilidades no Microsoft Windows. As vulnerabilidades podem permitir a elevação de privilégios se um invasor executar um aplicativo especialmente criado em um sistema ingressado no domínio.

Para saber mais sobre a vulnerabilidade, consulte o Boletim de Segurança da Microsoft MS16-101.

Mais informações

Importante

Todas as futuras atualizações de segurança e não relacionadas à segurança para Windows 8.1 e Windows Server 2012 R2 exigem que o 2919355 de atualização seja instalado. Recomendamos que você instale o 2919355 de atualização no seu computador baseado em Windows 8.1 ou em Windows Server 2012 R2 para continuar recebendo atualizações futuras.
Se você instalar um pacote de idiomas depois de instalar esta atualização, será necessário reinstalar a atualização. Portanto, recomendamos que você instale qualquer pacote de idiomas necessário antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.

Correções não relacionadas à segurança incluídas nesta atualização de segurança

Esta atualização de segurança também corrige os seguintes problemas não relacionados à segurança:

Em um SoFS (Servidor de Arquivos Scale Out) ingressado no domínio em um cluster sem domínio, quando um cliente SMB que está executando o Windows 8.1 ou o Windows Server 2012 R2 se conecta a um nó que está inativo, a autenticação falha. Quando esse problema ocorrer, você poderá receber uma mensagem de erro semelhante à seguinte:

Observação

STATUS_NO_TGT_REPLY

Informações adicionais sobre a atualização de segurança

Os artigos a seguir contêm informações adicionais sobre esta atualização de segurança em relação a versões de produtos individuais. Os artigos podem conter informações sobre problemas conhecidos.

3177108 MS16-101: Descrição da atualização de segurança para métodos autenticação do Windows: 9 de agosto de 2016
3167679 MS16-101: Descrição da atualização de segurança para métodos autenticação do Windows: 9 de agosto de 2016
3192392 Atualização de qualidade de somente segurança de outubro de 2016 para Windows 8.1 e Windows Server 2012 R2
3185331 Outubro de 2016: Pacote Cumulativo de Atualizações de Qualidade e Segurança Mensal para Windows 8.1 e Windows Server 2012 R2
3192393 Atualização de qualidade de somente segurança de outubro de 2016 para Windows Server 2012
3185332 outubro de 2016 Pacote Cumulativo de Atualizações de Qualidade e Segurança Mensal para Windows Server 2012
3192391 Atualização de qualidade Apenas segurança de outubro de 2016 para Windows 7 SP1 e Windows Server 2008 R2 SP1
3185330 Outubro de 2016: Pacote de segurança cumulativo de qualidade mensal para Windows 7 SP1 e Windows Server 2008 R2 SP1
3192440 Atualização cumulativa do Windows 10: 11 de outubro de 2016
3194798 Atualização cumulativa para Windows 10 versão 1607 e Windows Server 2016: 11 de outubro de 2016
3192441 Atualização cumulativa do Windows 10 versão 1511: 11 de outubro de 2016

Atualizações de segurança substituídasAs seguintes atualizações de segurança foram substituídas:

3176492 Atualização cumulativa do Windows 10: 9 de agosto de 2016
3176493 Atualização cumulativa do Windows 10 versão 1511: 9 de agosto de 2016
3176495 Atualização cumulativa do Windows 10 versão 1607: 9 de agosto de 2016

A seguir estão as novas atualizações de segurança que substituem as atualizações de segurança mencionadas anteriormente:

3192440 Atualização cumulativa do Windows 10: 11 de outubro de 2016
3194798 Atualização cumulativa para Windows 10 versão 1607 e Windows Server 2016: 11 de outubro de 2016
3192441 Atualização cumulativa do Windows 10 versão 1511: 11 de outubro de 2016

Problemas conhecidos nesta atualização de segurança

Problema conhecido 1

As atualizações de segurança fornecidas no MS16-101 e atualizações mais recentes desabilitam a capacidade do processo de Negociação de voltar para NTLM quando a autenticação Kerberos falhar para operações de alteração de senha com o código de erro STATUS_NO_LOGON_SERVERS (0xc000005e). Nesse cenário, você pode receber um dos códigos de erro a seguir.

Hexadecimal	Decimal	Simbólico	Amigável
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que você pode entrar em contato com o servidor que o autenticou.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que você pode entrar em contato com o servidor que o autenticou.

Solução alternativa

Se as alterações de senha que foram bem-sucedidas anteriormente falharem após a instalação da MS16-101, é provável que as alterações de senha dependiam anteriormente do fallback NTLM porque o Kerberos estava falhando. Para alterar as senhas com êxito usando protocolos Kerberos, siga estas etapas:

Configure a comunicação aberta na porta TCP 464 entre os clientes que têm a MS16-101 instalada e o controlador de domínio que está atendendo as redefinições de senha.

Os RODCs (controladores de domínio somente leitura) podem fazer o serviço de redefinições de senha de autoatendimento se o usuário for permitido pela política de replicação de senha dos RODCs. Os usuários que não são permitidos pela política de senha RODC requerem conectividade de rede para um controlador de domínio de leitura/gravação (RWDC) no domínio da conta do usuário.

Observação Para marcar se a porta TCP 464 está aberta, siga estas etapas:
1. Crie um filtro de exibição equivalente para o analisador do monitor de rede. Por exemplo:
  IPv4.address== <endereço IP do cliente> && tcp.port==464
2. Nos resultados, procure o quadro "TCP:[SynReTransmit".
Certifique-se de que os nomes Kerberos de destino sejam válidos. (Os endereços IP não são válidos para o protocolo Kerberos. O Kerberos dá suporte a nomes curtos e nomes de domínio totalmente qualificados.)
Certifique-se de que os SPNs (nomes da entidade de serviço) estejam registrados corretamente.

Para obter mais informações, consulte Kerberos e Self-Service redefinição de senha.

Problema conhecido 2

Sabemos de um problema no qual redefinições programáticas de senha de contas de usuário de domínio falham e retornam o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1) se a falha esperada for uma das seguintes:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (raramente retornado)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

A tabela a seguir mostra o mapeamento completo de erros.

Hexadecimal	Decimal	Simbólico	Amigável
0x56	86	ERROR_INVALID_PASSWORD	A senha de rede especificada não está correta.
0x267	615	ERROR_PWD_TOO_SHORT	A senha fornecida é muito curta para atender à política de sua conta de usuário. Forneça uma senha mais longa.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Quando você tenta atualizar uma senha, esse status de retorno indica que o valor fornecido como a senha atual está incorreto.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Quando você tenta atualizar uma senha, esse status de retorno indica que alguma regra de atualização de senha foi violada. Por exemplo, a senha pode não atender aos critérios de comprimento.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	O sistema não pode contatar um controlador de domínio para atender à solicitação de autenticação. Tente mais tarde.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	O sistema não pode contatar um controlador de domínio para atender à solicitação de autenticação. Tente mais tarde.

Resolução

A MS16-101 foi relançada para resolver esse problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.

Problema conhecido 3

Sabemos de um problema no qual redefinições programáticas de alterações de senha de conta de usuário local podem falhar e retornar o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1).

A tabela a seguir mostra o mapeamento completo de erros.

Hexadecimal	Decimal	Simbólico	Amigável
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	O sistema não pode contatar um controlador de domínio para atender à solicitação de autenticação. Tente mais tarde.

Resolução

A MS16-101 foi relançada para resolver esse problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.

Problema conhecido 4

As senhas para contas de usuário desativadas e bloqueadas não podem ser alteradas usando o pacote de negociação.

As alterações de senha para contas desativadas e bloqueadas ainda funcionarão ao usar outros métodos, como ao usar uma operação modificar do LDAP diretamente. Por exemplo, o cmdlet do PowerShell Set-ADAccountPassword usa uma operação "LDAP Modify" para alterar a senha e permanece inalterado.

Solução alternativa

Essas contas exigem que um administrador faça redefinições de senha. Esse comportamento ocorre por design após a instalação da MS16-101 e correções posteriores.
Problema conhecido 5

Aplicativos que usam a API NetUserChangePassword e que transmitem um nome de servidor no parâmetro nomedodomínio não funcionarão mais após a instalação da MS16-101 e atualizações posteriores.

A documentação da Microsoft afirma que há suporte para fornecer um nome de servidor remoto no parâmetro domainname da função NetUserChangePassword. Por exemplo, o tópico do MSDN da função NetUserChangePassword declara o seguinte:

domainname [in]

Um ponteiro para uma cadeia de caracteres constante que especifica o nome DNS ou NetBIOS de um servidor remoto ou domínio no qual a função deve ser executada. Se esse parâmetro for NULL, o domínio de logon do chamador será usado. Status

Essa orientação foi substituída pela MS16-101, a menos que a redefinição de senha seja para uma conta local no computador local.

Após a MS16-101, para que as alterações de senha do usuário de domínio funcionem, você deve passar um nome de domínio DNS válido para a API NetUserChangePassword.

Problema conhecido 6

Depois de instalar as atualizações de segurança descritas no MS16-101, as alterações programáticas remotas de uma senha de conta de usuário local e as alterações de senha em florestas não confiáveis falham.

Essa operação falha porque a operação depende do fallback NTLM, que não tem mais suporte para contas não locais após a instalação da MS16-101.

É fornecida uma entrada do Registro que você pode usar para desabilitar essa alteração.

Aviso Essa solução alternativa talvez torne o computador ou a rede mais vulneráveis a ataques de usuários ou software mal-intencionados, como vírus. Essa solução alternativa não é recomendável, mas é fornecida para que você possa implementá-la conforme desejar. Você pode usá-la por sua própria conta e risco.

ImportanteEsse método, seção ou tarefa contém etapas que informam como modificar o Registro. No entanto, podem ocorrer problemas graves se você modificar o registro incorretamente. Portanto, fique atento e siga estas etapas com atenção. Para se proteger ainda mais, faça o backup do registro antes de modificá-lo. Dessa forma, se ocorrer algum problema, você poderá restaurar o Registro. Para obter mais informações sobre como fazer o backup e a restauração do Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:
322756 Como fazer o backup e a restauração do Registro no Windows

Para desabilitar essa alteração, defina a entrada NegoAllowNtlmPwdChangeFallback DWORD para usar um valor 1 (um).

Importante: definir a entrada do Registro NegoAllowNtlmPwdChangeFallback com um valor de 1 desabilitará essa correção de segurança:

Valor do Registro	Descrição
0	Valor padrão. O fallback é evitado.
1	O fallback é sempre permitido. A correção de segurança está desativada. Os clientes que estão tendo problemas com contas locais remotas ou cenários de floresta não confiáveis podem definir o Registro com esse valor.

Para adicionar esses valores de registro, siga estas etapas:

Clique em Iniciar e em Executar, digite regedit na caixa Abrir e clique em OK.
Localize e clique na seguinte subchave do Registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
No menu Editar, aponte para Novo e clique em Valor DWORD.
Digite NegoAllowNtlmPwdChangeFallback para o nome do DWORD e pressione ENTER.
Clique com o botão direito do mouse em NegoAllowNtlmPwdChangeFallback e clique em Modificar.
Na caixa Dados do valor, digite 1 para desabilitar essa alteração e clique em OK.

Observação Para restaurar o valor padrão, digite 0 (zero) e clique em OK.

Status

A causa raiz desse problema é compreendida. Este artigo será atualizado com detalhes adicionais à medida que estiverem disponíveis.

Como obter e instalar a atualização

Método 1: Windows Update

Essa atualização está disponível por meio do Windows Update. Ao ativar as atualizações automáticas, essa atualização será baixada e instalada automaticamente. Para obter mais informações sobre como ativar a atualização automática, confira
Obtenha atualizações de segurança automaticamente.

Método 2: Catálogo do Microsoft Update

Para obter o pacote autônomo desta atualização, acesse o site do Catálogo do Microsoft Update.

Método 3: Centro de Download da Microsoft

Você pode obter o pacote de atualização autônomo no Centro de Download da Microsoft. Siga as instruções de instalação na página de download para instalar a atualização.

Clique na ligação de transferência no Boletim de Segurança da Microsoft MS16-101 que corresponde à versão do Windows que está a executar.

Mais informações

Informações sobre a implementação da atualização de segurança

Windows Vista (todas as edições)Tabela de referência