8 de novembro de 2022—KB5020003 (Atualização apenas de segurança)

Resumo

Saiba mais sobre esta atualização apenas de segurança, incluindo melhorias, quaisquer problemas conhecidos e como obter a atualização.

Melhorias

Esta atualização apenas de segurança inclui alterações importantes para o seguinte:

• Atualizações o horário de verão (DST) da Jordânia para evitar atrasar o relógio em 1 hora em 28 de outubro de 2022. Adicionalmente, altera o nome a apresentar da hora padrão da Jordânia de "(UTC+02:00) Amã" para "(UTC+03:00) Amã".

• Corrige um problema em que, após a instalação da atualização de 11 de janeiro de 2022 ou posterior, o processo de criação da Confiança da Floresta não consegue preencher os sufixos de nome DNS nos atributos de informações de confiança.

• Aborda vulnerabilidades de segurança nos protocolos Kerberos e Netlogon, conforme descrito em CVE-2022-38023, CVE-2022-37966 e CVE-2022-37967. Para obter diretrizes de implantação, consulte os seguintes artigos:

  • KB5020805: Como gerenciar as alterações do protocolo Kerberos relacionadas ao CVE-2022-37967
  • KB5021130: Como gerenciar as alterações do protocolo Netlogon relacionadas ao CVE-2022-38023
  • KB5021131: Como gerenciar as alterações do protocolo Kerberos relacionadas ao CVE-2022-37966

  Para obter mais informações sobre as vulnerabilidades de segurança resolvidas, consulte Implantações | Guia de Atualização de Segurança e o Atualizações de Segurança de novembro de 2022.

Para obter mais informações sobre as vulnerabilidades de segurança resolvidas, consulte Implantações | Guia de Atualização de Segurança e o Atualizações de Segurança de novembro de 2022.

Problemas conhecidos nesta atualização

Sintoma	Próximo passo
Após esta atualização ou uma atualização posterior do Windows ser instalada, as operações de associação a um domínio podem não ter êxito e ocorrer o erro "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Além disso, texto informando "Uma conta com o mesmo nome existe no Active Directory. A reutilização da conta foi bloqueada pela política de segurança" pode ser apresentada. Os cenários afetados incluem algumas operações de associação ou reprocessamento de imagem de domínio em que uma conta de computador foi criada ou pré-preparada por uma identidade diferente da identidade usada para ingressar ou reassociar o computador ao domínio. Para obter mais informações sobre esse problema, consulte KB5020276—Netjoin: Domain join hardening changes. Observação É pouco provável que as edições de Ambiente de Trabalho para Consumidores do Windows tenham este problema.	Consulte KB5020276 para obter orientações sobre este problema.
Depois de instalar as atualizações do Windows lançadas em ou depois de 8 de novembro de 2022 em servidores Windows que usam a função Controlador de Domínio, você pode ter problemas com a autenticação Kerberos. Este problema pode afetar qualquer autenticação Kerberos no seu ambiente. Alguns cenários que podem ser afetados: O início de sessão do utilizador do domínio pode falhar. Isto também poderá afetar a autenticação Serviços de Federação do Active Directory (AD FS) (AD FS). As Contas de Serviço Gerido de Grupo (gMSA) utilizadas para serviços como os Serviços de Informação Internet (Servidor Web do IIS) podem falhar na autenticação. As ligações de Ambiente de Trabalho Remoto através de utilizadores de domínio podem falhar na ligação. Pode não conseguir aceder a pastas partilhadas em estações de trabalho e partilhas de ficheiros nos servidores. A impressão que exija a autenticação do utilizador do domínio pode falhar. Quando se deparar com este problema, pode receber um evento de erro Evento Microsoft-Windows-Kerberos-Key-Distribution-Center com ID 4 na secção Sistema do início de sessão de evento no seu Controlador de Domínio com o texto abaixo. Observação Os eventos afetados irão conter " a chave em falta tem um ID de 1" cadeia: Durante o processamento de uma solicitação AS para o serviço de serviço <de> destino, o nome> da conta da conta <não tinha uma chave adequada para gerar um tíquete Kerberos (a chave ausente tem um ID de 1). Os tipos solicitados : 18 3. Contas disponíveis tipos : 23 18 17. Alterar ou repor a palavra-passe do nome> da <conta irá gerar uma chave adequada. Observação Este problema não é uma parte esperada do fortalecimento da segurança do Netlogon e Kerberos a partir da atualização de segurança de novembro de 2022. Continuará a ter de seguir as orientações nestes artigos mesmo depois de este problema ser resolvido. Os dispositivos Windows utilizados em casa por consumidores ou dispositivos que não fazem parte de um domínio no local não são afetados por este problema. Azure ambientes do Active Directory que não sejam híbridos e não tenham servidores Active Directory no local não são afetados.	Este problema foi corrigido na atualização KB5021652.
Depois de instalar esta atualização ou uma atualização posterior num controlador de domínio (DC), poderá ocorrer uma fuga de memória com o Serviço de Subsistema de Autoridade de Segurança Local (LSASS,exe). Dependendo da carga de trabalho do seu controlador de domínio e da quantidade de tempo desde o último reinício do servidor, o LSASS pode aumentar continuamente a utilização da memória com o tempo de atividade do servidor, podendo o servidor deixar de responder ou reiniciar automaticamente. Observação As atualizações extraordinárias para DCs lançadas a 17 de novembro de 2022 e 18 de novembro de 2022 poderão ser afetadas por este problema.	Para mitigar este problema, abra uma Linha de Comandos como Administrador e utilize o seguinte comando para definir a chave do registo KrbtgtFullPacSignature como 0: reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORDObservação Depois que esse problema conhecido for resolvido, você deve definir KrbtgtFullPacSignature para uma configuração mais alta, dependendo do que seu ambiente permitir. Recomendamos que ative o Modo de imposição assim que o seu ambiente estiver pronto. Para obter mais informações sobre esta chave do registo, consulte KB5020805: Como gerir as alterações do protocolo Kerberos relacionadas com o CVE-2022-37967. Estamos a trabalhar numa resolução e iremos fornecer uma atualização numa versão futura.
Depois de instalar esta atualização, as aplicações que utilizam ligações ODBC através do Microsoft ODBC SQL Server Driver (sqlsrv32.dll) para aceder às bases de dados poderão não se ligar. Além disso, poderá receber um erro na aplicação ou poderá receber um erro do SQL Server. Os erros que poderá receber incluem as seguintes mensagens: O Sistema EMS encontrou um problema. Mensagem: [Microsoft][ODBC SQL Server Driver] Erro de protocolo no Fluxo TDS. O Sistema EMS encontrou um problema. Mensagem: [Microsoft][ODBC SQL Server Driver] Token desconhecido recebido do SQL Server. Nota para programadores: As aplicações afetadas por este problema poderão não conseguir obter dados, por exemplo, ao utilizar a função SQLFetch. Este problema pode ocorrer ao chamar a função SQLBindCol antes da SQLFetch ou ao chamar a função SQLGetData depois da SQLFetch e quando é dado um valor de 0 (zero) para o argumento "BufferLength" para tipos de dados fixos maiores que 4 bytes (por exemplo, SQL_C_FLOAT). Para decidir se está a utilizar uma aplicação afetada, abra a aplicação que se liga a uma base de dados. Abra uma janela de Linha de Comandos, escreva o seguinte comando e, em seguida, prima Enter: lista de tarefas /m sqlsrv32.dll Se o comando devolver uma tarefa, a aplicação pode ser afetada.	Para mitigar este problema, tem as seguintes opções: Se a sua aplicação já estiver a utilizar ou conseguir utilizar o Nome da Origem de Dados (DSN) para selecionar ligações ODBC, instale o Microsoft ODBC Driver 17 para SQL Server e selecione-o para utilização com a sua aplicação com o DSN. Observação: Recomendamos a versão mais recente do Microsoft ODBC Driver 17 para SQL Server, uma vez que é mais compatível com aplicações que utilizam atualmente o Microsoft ODBC SQL Server Driver legado (sqlsrv32.dll) do que o Microsoft ODBC Driver 18 para SQL Server. Se a sua aplicação não conseguir utilizar o DSN, a aplicação terá de ser modificada para permitir o DSN ou para utilizar um driver ODBC mais novo do que o Microsoft ODBC SQL Server Driver (sqlsrv32.dll). Este problema foi resolvido em KB5022343. Se tiver implementado a solução acima, recomenda-se continuar a utilizar a configuração na solução alternativa.

Como obter esta atualização

Antes de instalar esta atualização

Recomendamos vivamente que instale a atualização da pilha de manutenção mais recente (SSU) para o seu sistema operativo antes de instalar o Rollup mais recente. As SSUs melhoram a fiabilidade do processo de atualização para mitigar potenciais problemas ao instalar o Rollup e aplicar correções de segurança da Microsoft. Para obter informações gerais sobre SSUs, consulte Atualizações da pilha de manutenção e Atualizações da Pilha de Manutenção (SSU): Perguntas Mais Frequentes.

Se utilizar Windows Update, a SSU (KB5016263) mais recente será disponibilizada automaticamente. Para obter o pacote autónomo da SSU mais recente, procure-o no Catálogo Microsoft Update.

Pacotes de idiomas

Se instalar um pacote de idiomas depois de instalar esta atualização, terá de reinstalar esta atualização. Por este motivo, recomendamos que instale todos os pacotes de idiomas de que necessita antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.

Instalar esta atualização

Via de Lançamento	Disponível	Passo Seguinte
Windows Update e Microsoft Update	Não	Consulte as outras opções abaixo.
Catálogo Microsoft Update	Sim	Para obter o pacote autónomo para esta atualização, aceda ao site do Catálogo Microsoft Update.
Windows Server Update Services (WSUS)	Sim	Esta atualização será sincronizada automaticamente com WSUS se configurar Produtos e Classificações da seguinte forma: Produto: Windows Server 2012, Windows Embedded 8 Standard Classificação: Atualização de Segurança

Informações de ficheiro

Para obter uma lista dos ficheiros incluídos nesta atualização, transfira as informações de ficheiro para a atualização KB5020003.

Referências

Obtenha informações sobre a terminologia padrão utilizada para descrever as atualizações de software da Microsoft.