MS16-101: Atualização de segurança para métodos de autenticação do Windows: terça-feira, 9 de agosto de 2016

Aplica-se A

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Importante: este artigo contém informações que mostram como ajudar a reduzir as configurações de segurança ou como desativar os recursos de segurança em um computador. Pode efetuar estas alterações para contornar um problema específico. Antes de efetuar estas alterações, recomendamos que avalie os riscos associados à implementação desta solução no seu ambiente específico. Se implementar esta solução, execute todos os passos adicionais adequados para ajudar a proteger o computador.

Resumo

Esta atualização de segurança resolve várias vulnerabilidades no Microsoft Windows. As vulnerabilidades podem permitir a elevação de privilégios se um invasor executar um aplicativo especialmente criado em um sistema associado a um domínio.

Para saber mais sobre a vulnerabilidade, consulte o Boletim de Segurança da Microsoft MS16-101.

Mais Informações

Importante

Todas as futuras atualizações de segurança e não relacionadas com segurança para o Windows 8.1 e Windows Server 2012 R2 necessitam que os 2919355 de atualização sejam instalados. Recomendamos que instale o 2919355 de atualização no seu computador baseado no Windows 8.1 ou Windows Server 2012 R2 para receber atualizações futuras.
Se instalar um pacote de idiomas depois de instalar esta atualização, terá de reinstalar esta atualização. Por este motivo, recomendamos que instale todos os pacotes de idiomas de que necessita antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.

Correções não relacionadas à segurança incluídas nesta atualização de segurança

Esta atualização de segurança também corrige os seguintes problemas não relacionados com segurança:

Num Servidor de Ficheiros de Dimensionamento (SoFS) associado a um domínio num cluster sem domínio, quando um cliente SMB que está a executar o Windows 8.1 ou o Windows Server 2012 R2 se liga a um nó inativo, a autenticação falha. Quando esse problema ocorre, você receberá uma mensagem de erro semelhante à seguinte mensagem:

Nota

STATUS_NO_TGT_REPLY

Informações adicionais sobre esta atualização de segurança

Os artigos seguintes contêm informações adicionais sobre esta actualização de segurança no que diz respeito a versões individuais de produtos. Os artigos podem conter informações sobre problemas conhecidos.

3177108 MS16-101: Descrição da atualização de segurança para métodos de autenticação do Windows: 9 de agosto de 2016
3167679 MS16-101: Descrição da atualização de segurança para métodos de autenticação do Windows: 9 de agosto de 2016
3192392 Atualização de qualidade apenas de segurança para Windows 8.1 e Windows Server 2012 R2 de outubro de 2016
3185331 Rollup de qualidade mensal de segurança para Windows 8.1 e Windows Server 2012 R2 de outubro de 2016
3192393 Atualização de qualidade apenas de segurança para Windows Server 2012 de outubro de 2016
3185332 Rollup de Qualidade Mensal de Segurança para Windows Server 2012 de outubro de 2016
3192391 Atualização de qualidade apenas de segurança de outubro de 2016 para Windows 7 SP1 e Windows Server 2008 R2 SP1
3185330 Rollup de qualidade mensal de segurança para o Windows 7 SP1 e Windows Server 2008 R2 SP1 de outubro de 2016
3192440 Atualização cumulativa para Windows 10: 11 de outubro de 2016
3194798 Atualização cumulativa para o Windows 10 Versão 1607 e Windows Server 2016: 11 de outubro de 2016
3192441 Atualização cumulativa para Windows 10 Versão 1511: 11 de outubro de 2016

Atualizações de segurança substituídasAs seguintes atualizações de segurança foram substituídas:

3176492 Atualização cumulativa para Windows 10: 9 de agosto de 2016
3176493 Atualização cumulativa para Windows 10 Versão 1511: 9 de agosto de 2016
3176495 Atualização cumulativa para Windows 10 Versão 1607: 9 de agosto de 2016

Seguem-se as novas atualizações de segurança que substituem as atualizações de segurança mencionadas anteriormente:

3192440 Atualização cumulativa para Windows 10: 11 de outubro de 2016
3194798 Atualização cumulativa para o Windows 10 Versão 1607 e Windows Server 2016: 11 de outubro de 2016
3192441 Atualização cumulativa para Windows 10 Versão 1511: 11 de outubro de 2016

Problemas conhecidos nesta atualização de segurança

Problema conhecido 1

As atualizações de segurança fornecidas no MS16-101 e em atualizações mais recentes desativam a capacidade do processo de Negociação de reverter para NTLM quando a autenticação Kerberos falha para operações de alteração de palavra-passe com o código de erro STATUS_NO_LOGON_SERVERS (0xc000005e). Nesta situação, poderá receber um dos códigos de erro seguintes.

Hexadecimal	Decimal	Simbólico	Amigável
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que consegue contactar o servidor que o autenticou.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que consegue contactar o servidor que o autenticou.

Solução

Se as alterações de palavra-passe que tiveram êxito anteriormente falharem após a instalação do MS16-101, é provável que as alterações de palavra-passe dependessem anteriormente da contingência NTLM porque o Kerberos estava a falhar. Para alterar palavras-passe com êxito utilizando protocolos Kerberos, siga estes passos:

Configure a comunicação aberta na porta TCP 464 entre clientes que tenham a atualização MS16-101 instalada e o controlador de domínio que está a efetuar a manutenção das reposições de palavra-passe.

Os controladores de domínio somente leitura (RODCs) podem atender redefinições de senha de autoatendimento se o usuário tiver permissão para a política de replicação de senha do RODCs. Os usuários que não são permitidos pela política de senha RODC exigem conectividade de rede com um controlador de domínio de leitura/gravação (RWDC) no domínio da conta de usuário.

Nota Para verificar se a porta TCP 464 está aberta, siga estes passos:
1. Crie um filtro de visualização equivalente para o analisador do monitor de rede. Por exemplo:
  ipv4.address== <Endereço IP do cliente> && tcp.port==464
2. Nos resultados, procure o quadro "TCP:[SynReTransmit".
Certifique-se de que os nomes Kerberos de destino são válidos. (Os endereços IP não são válidos para o protocolo Kerberos. O Kerberos suporta nomes abreviados e nomes de domínio totalmente qualificados.)
Verifique se os nomes da entidade de serviço (SPNs) estão registrados corretamente.

Para obter mais informações, consulte Kerberos e Self-Service redefinição de senha.

Problema conhecido 2

Conhecemos um problema em que a reposição programática de palavra-passe de contas de utilizador de domínio falha e devolvem o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1) se a falha esperada for uma das seguintes:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (raramente devolvido)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

A tabela seguinte mostra o mapeamento de erros completo.

Hexadecimal	Decimal	Simbólico	Amigável
0x56	86	ERROR_INVALID_PASSWORD	A senha de rede especificada não está correta.
0x267	615	ERROR_PWD_TOO_SHORT	A palavra-passe fornecida é demasiado curta para cumprir a política da sua conta de utilizador. Forneça uma palavra-passe mais longa.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Quando tenta atualizar uma palavra-passe, este estado de retorno indica que o valor fornecido como palavra-passe atual está incorreto.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Quando tenta atualizar uma palavra-passe, este estado de retorno indica que alguma regra de atualização de palavra-passe foi violada. Por exemplo, a palavra-passe pode não cumprir os critérios de comprimento.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde.

Resolução

A atualização MS16-101 foi novamente disponibilizada para resolver este problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.

Problema conhecido 3

Sabemos de um problema em que a reposição programática de alterações de palavra-passe da conta de utilizador local pode falhar e devolver o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1).

A tabela seguinte mostra o mapeamento de erros completo.

Hexadecimal	Decimal	Simbólico	Amigável
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde.

Resolução

A atualização MS16-101 foi novamente disponibilizada para resolver este problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.

Problema conhecido 4

As palavras-passe das contas de utilizador desativadas e bloqueadas não podem ser alteradas através do pacote de negociação.

As alterações de senha para contas desativadas e bloqueadas ainda funcionarão ao usar outros métodos, como ao usar uma operação de modificação LDAP diretamente. Por exemplo, o cmdlet do PowerShell Set-ADAccountPassword utiliza uma operação "Modificar LDAP" para alterar a palavra-passe e não é afetado.

Solução

Estas contas necessitam que um administrador efetue reposições de palavra-passe. Este comportamento ocorre intencionalmente após a instalação da MS16-101 e correções posteriores.
Problema conhecido 5

As aplicações que utilizam a API NetUserChangePassword e que transmitem um nome de servidor no parâmetro domainname deixarão de funcionar após a instalação do MS16-101 e atualizações posteriores.

A documentação da Microsoft afirma que o fornecimento de um nome de servidor remoto no parâmetro domainname da função NetUserChangePassword é suportado. Por exemplo, o tópico MSDN da função NetUserChangePassword afirma o seguinte:

domainname [em]

Um ponteiro para uma cadeia de caracteres constante que especifica o nome DNS ou NetBIOS de um servidor remoto ou domínio no qual a função deve ser executada. Se esse parâmetro for NULL, o domínio de logon do chamador será usado. Estado

Esta orientação foi substituída pelo boletim MS16-101, a menos que a reposição da palavra-passe seja para uma conta local no computador local.

Após o MS16-101, para que as alterações de senha de usuário de domínio funcionem, você deve passar um nome de domínio DNS válido para a API NetUserChangePassword.

Problema conhecido 6

Depois de instalar as atualizações de segurança descritas no boletim MS16-101, as alterações remotas e programáticas da palavra-passe de uma conta de utilizador local e as alterações de palavra-passe em florestas não fidedignas falham.

Esta operação falha porque a operação depende de contingência NTLM que já não é suportada para contas não locais após a instalação do MS16-101.

É fornecida uma entrada de registo que poderá utilizar para desativar esta alteração.

Aviso: esta solução pode tornar um computador ou uma rede mais vulnerável a ataques de utilizadores mal intencionados ou software malicioso, como vírus. Não recomendamos esta solução, mas fornecemos estas informações para que possa implementá-la a seu exclusivo critério. Utilize esta solução por sua própria conta e risco.

ImportanteEsta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo incorretamente. Por essa razão, certifique-se de que segue estes passos cuidadosamente. Como forma de proteção adicional, crie uma cópia de segurança do registo antes de o modificar. Assim, se ocorrer algum problema pode restaurar o registo. Para mais informações sobre como fazer uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para ver o artigo na Base de Dados de Conhecimento Microsoft:
322756 Como fazer uma cópia de segurança e restaurar o registo no Windows

Para desativar esta alteração, defina a entrada DWORD NegoAllowNtlmPwdChangeFallback para utilizar um valor de 1 (um).

Importante: definir a entrada de registo NegoAllowNtlmPwdChangeFallback para um valor de 1 desativará esta correção de segurança:

Valor de registo	Descrição
0	Valor predefinido. A contingência é evitada.
1	A contingência é sempre permitida. A correção de segurança está desativada. Os clientes que estejam a ter problemas com contas locais remotas ou cenários de floresta não fidedigna podem definir o registo com este valor.

Para adicionar estes valores do registo, siga estes passos:

Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e, em seguida, clique em OK.
Localize e, em seguida, clique na seguinte subchave no registo:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
No menu Editar, aponte para Novo e, em seguida, clique em Valor DWORD.
Escreva NegoAllowNtlmPwdChangeFallback para o nome do valor DWORD e, em seguida, prima ENTER.
Clique com o botão direito do rato em NegoAllowNtlmPwdChangeFallback e, em seguida, clique em Modificar.
Na caixa Dados do valor , digite 1 para desativar essa alteração e, em seguida, clique em OK .

Observação Para restaurar o valor padrão, digite 0 (zero) e clique em OK.

Estado

Compreende-se a causa principal deste problema. Este artigo será atualizado com detalhes adicionais à medida que forem ficando disponíveis.

Como obter e instalar a atualização

Método 1: Windows Update

Esta atualização está disponível através do Windows Update. Quando ativar a atualização automática, esta atualização será transferida e instalada automaticamente. Para obter mais informações sobre como ativar as atualizações automáticas, consulte
Obter atualizações de segurança automaticamente.

Método 2: Catálogo Microsoft Update

Para obter o pacote autónomo desta atualização, aceda ao site Catálogo Microsoft Update.

Método 3: Centro de Transferências da Microsoft

Pode obter o pacote de atualização autónomo através do Centro de Transferências da Microsoft. Siga as instruções de instalação na página de download para instalar a atualização.

Clique na ligação de transferência no Boletim de Segurança da Microsoft MS16-101 que corresponde à versão do Windows que está a executar.

Mais Informações

Informações sobre a implementação da atualização de segurança

Windows Vista (todas as edições)Tabela de referência