Importante: este artigo contém informações que mostram como ajudar a reduzir as configurações de segurança ou como desativar os recursos de segurança em um computador. Pode efetuar estas alterações para contornar um problema específico. Antes de efetuar estas alterações, recomendamos que avalie os riscos associados à implementação desta solução no seu ambiente específico. Se implementar esta solução, execute todos os passos adicionais adequados para ajudar a proteger o computador.
Resumo
Esta atualização de segurança inclui melhoramentos e correções na funcionalidade do Windows 10 Versão 1511. Também resolve as seguintes vulnerabilidades do Windows:
- 3177356 MS16-095: Actualização de segurança cumulativa para o Internet Explorer: 9 de Agosto de 2016
- 3177358 MS16-096: Atualização de segurança cumulativa para o Microsoft Edge: terça-feira, 9 de agosto de 2016
- 3177393 MS16-097: Atualização de segurança para o componente gráfico da Microsoft: terça-feira, 9 de agosto de 2016
- 3178466 MS16-098: Atualização de segurança para drivers de modo kernel: terça-feira, 9 de agosto de 2016
- 3178465 MS16-101: Atualização de segurança para métodos de autenticação do Windows: 9 de agosto de 2016
- 3182248 MS16-102: Atualização de segurança para biblioteca de PDF do Microsoft Windows: 9 de agosto de 2016
- 3182332 MS16-103: Atualização de segurança para o ActiveSyncProvider: terça-feira, 9 de agosto de 2016
Windows 10 atualizações são cumulativas. Portanto, este pacote contém todas as correções lançadas anteriormente.
Se tiver instalado atualizações anteriores, apenas as novas correções contidas neste pacote serão transferidas e instaladas no computador. Se estiver a instalar um pacote de atualização de Windows 10 pela primeira vez, o pacote para a versão x86 é de 502 MB e o pacote para a versão de x64 é de 916 MB.
Mais Informações
Problemas conhecidos nesta atualização de segurança
Problema conhecido 1
As atualizações de segurança fornecidas no MS16-101 e em atualizações mais recentes desativam a capacidade do processo de Negociação de reverter para NTLM quando a autenticação Kerberos falha para operações de alteração de palavra-passe com o código de erro STATUS_NO_LOGON_SERVERS (0xc000005e). Nesta situação, poderá receber um dos códigos de erro seguintes.
Hexadecimal Decimal Simbólico Amigável 0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que consegue contactar o servidor que o autenticou. 0x4f1 1265 ERROR_DOWNGRADE_DETECTED O sistema detectou uma possível tentativa de comprometer a segurança. Certifique-se de que consegue contactar o servidor que o autenticou. Solução
Se as alterações de palavra-passe que tiveram êxito anteriormente falharem após a instalação do MS16-101, é provável que as alterações de palavra-passe dependessem anteriormente da contingência NTLM porque o Kerberos estava a falhar. Para alterar palavras-passe com êxito utilizando protocolos Kerberos, siga estes passos:
Configure a comunicação aberta na porta TCP 464 entre clientes que tenham a atualização MS16-101 instalada e o controlador de domínio que está a efetuar a manutenção das reposições de palavra-passe.
Os controladores de domínio somente leitura (RODCs) podem atender redefinições de senha de autoatendimento se o usuário tiver permissão para a política de replicação de senha do RODCs. Os usuários que não são permitidos pela política de senha RODC exigem conectividade de rede com um controlador de domínio de leitura/gravação (RWDC) no domínio da conta de usuário.
Nota Para verificar se a porta TCP 464 está aberta, siga estes passos:
Crie um filtro de visualização equivalente para o analisador do monitor de rede. Por exemplo:
ipv4.address== <Endereço IP do cliente> && tcp.port==464
Nos resultados, procure o quadro "TCP:[SynReTransmit".
Certifique-se de que os nomes Kerberos de destino são válidos. (Os endereços IP não são válidos para o protocolo Kerberos. O Kerberos suporta nomes abreviados e nomes de domínio totalmente qualificados.)
Verifique se os nomes da entidade de serviço (SPNs) estão registrados corretamente.
Para obter mais informações, consulte Kerberos e Self-Service redefinição de senha.
Problema conhecido 2
Conhecemos um problema em que a reposição programática de palavra-passe de contas de utilizador de domínio falha e devolvem o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1) se a falha esperada for uma das seguintes:
- ERROR_INVALID_PASSWORD
- ERROR_PWD_TOO_SHORT (raramente devolvido)
- STATUS_WRONG_PASSWORD
- STATUS_PASSWORD_RESTRICTION
A tabela seguinte mostra o mapeamento de erros completo.
Hexadecimal Decimal Simbólico Amigável 0x56 86 ERROR_INVALID_PASSWORD A senha de rede especificada não está correta. 0x267 615 ERROR_PWD_TOO_SHORT A palavra-passe fornecida é demasiado curta para cumprir a política da sua conta de utilizador. Forneça uma palavra-passe mais longa. 0xc000006a -1073741718 STATUS_WRONG_PASSWORD Quando tenta atualizar uma palavra-passe, este estado de retorno indica que o valor fornecido como palavra-passe atual está incorreto. 0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Quando tenta atualizar uma palavra-passe, este estado de retorno indica que alguma regra de atualização de palavra-passe foi violada. Por exemplo, a palavra-passe pode não cumprir os critérios de comprimento. 0x800704F1 1265 STATUS_DOWNGRADE_DETECTED O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde. 0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde. Resolução
A atualização MS16-101 foi novamente disponibilizada para resolver este problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.
Problema conhecido 3
Sabemos de um problema em que a reposição programática de alterações de palavra-passe da conta de utilizador local pode falhar e devolver o código de erro STATUS_DOWNGRADE_DETECTED (0x800704F1).
A tabela seguinte mostra o mapeamento de erros completo.
Hexadecimal Decimal Simbólico Amigável 0x4f1 1265 ERROR_DOWNGRADE_DETECTED O sistema não pode entrar em contato com um controlador de domínio para atender à solicitação de autenticação. Tente novamente mais tarde. Resolução
A atualização MS16-101 foi novamente disponibilizada para resolver este problema. Instale a versão mais recente das atualizações deste boletim para resolver esse problema.
Problema conhecido 4
As palavras-passe das contas de utilizador desativadas e bloqueadas não podem ser alteradas através do pacote de negociação.
As alterações de senha para contas desativadas e bloqueadas ainda funcionarão ao usar outros métodos, como ao usar uma operação de modificação LDAP diretamente. Por exemplo, o cmdlet do PowerShell Set-ADAccountPassword utiliza uma operação "Modificar LDAP" para alterar a palavra-passe e não é afetado.
Solução
Estas contas necessitam que um administrador efetue reposições de palavra-passe. Este comportamento ocorre intencionalmente após a instalação da MS16-101 e correções posteriores.
Problema conhecido 5
As aplicações que utilizam a API NetUserChangePassword e que transmitem um nome de servidor no parâmetro domainname deixarão de funcionar após a instalação do MS16-101 e atualizações posteriores.
A documentação da Microsoft afirma que o fornecimento de um nome de servidor remoto no parâmetro domainname da função NetUserChangePassword é suportado. Por exemplo, o tópico MSDN da função NetUserChangePassword afirma o seguinte:
domainname [em]
Um ponteiro para uma cadeia de caracteres constante que especifica o nome DNS ou NetBIOS de um servidor remoto ou domínio no qual a função deve ser executada. Se esse parâmetro for NULL, o domínio de logon do chamador será usado. No entanto, esta orientação foi substituída pelo boletim MS16-101, a menos que a reposição da palavra-passe seja para uma conta local no computador local. Após o MS16-101, para que as alterações de senha de usuário de domínio funcionem, você deve passar um nome de domínio DNS válido para a API NetUserChangePassword.
Problema conhecido 6
Depois de aplicar esta atualização de segurança e imprimir vários documentos sucessivamente, os dois primeiros documentos poderão ser impressos com êxito. No entanto, o terceiro documento e os documentos subsequentes não podem ser impressos.
Para corrigir este problema, transfira a atualização 3186988 a partir do site do Catálogo Microsoft Update .
Este problema também é resolvido no Boletim de Segurança da Microsoft MS16-106.
Problema conhecido 7
Depois de instalar as atualizações de segurança descritas no boletim MS16-101, as alterações remotas e programáticas da palavra-passe de uma conta de utilizador local e as alterações de palavra-passe em florestas não fidedignas falham.
Esta operação falha porque a operação depende de contingência NTLM que já não é suportada para contas não locais após a instalação do MS16-101.
É fornecida uma entrada de registo que poderá utilizar para desativar esta alteração.
Aviso: esta solução pode tornar um computador ou uma rede mais vulnerável a ataques de utilizadores mal intencionados ou software malicioso, como vírus. Não recomendamos esta solução, mas fornecemos estas informações para que possa implementá-la a seu exclusivo critério. Utilize esta solução por sua própria conta e risco.
ImportanteEsta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo incorretamente. Por essa razão, certifique-se de que segue estes passos cuidadosamente. Como forma de proteção adicional, crie uma cópia de segurança do registo antes de o modificar. Assim, se ocorrer algum problema pode restaurar o registo. Para mais informações sobre como fazer uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para ver o artigo na Base de Dados de Conhecimento Microsoft:
322756 Como fazer uma cópia de segurança e restaurar o registo no WindowsPara desativar esta alteração, defina a entrada DWORD NegoAllowNtlmPwdChangeFallback para utilizar um valor de 1 (um).
Importante: definir a entrada de registo NegoAllowNtlmPwdChangeFallback para um valor de 1 desativará esta correção de segurança:
Valor de registo Descrição 0 Valor predefinido. A contingência é evitada. 1 A contingência é sempre permitida. A correção de segurança está desativada. Os clientes que estejam a ter problemas com contas locais remotas ou cenários de floresta não fidedigna podem definir o registo com este valor. Para adicionar estes valores do registo, siga estes passos:
Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e, em seguida, clique em OK.
Localize e, em seguida, clique na seguinte subchave no registo:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
No menu Editar, aponte para Novo e, em seguida, clique em Valor DWORD.
Escreva NegoAllowNtlmPwdChangeFallback para o nome do valor DWORD e, em seguida, prima ENTER.
Clique com o botão direito do rato em NegoAllowNtlmPwdChangeFallback e, em seguida, clique em Modificar.
Na caixa Dados do valor , digite 1 para desativar essa alteração e, em seguida, clique em OK .
Observação Para restaurar o valor padrão, digite 0 (zero) e clique em OK.
Estado
Compreende-se a causa principal deste problema. Este artigo será atualizado com detalhes adicionais à medida que forem ficando disponíveis.
Como obter esta atualização
Importante Se instalar um pacote de idiomas depois de instalar esta atualização, terá de reinstalar esta atualização. Por este motivo, recomendamos que instale todos os pacotes de idiomas de que necessita antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.
Método 1: Windows Update
Esta atualização será descarregada e instalada automaticamente.
Método 2: Catálogo Microsoft Update
Para obter o pacote autónomo desta atualização, aceda ao site Catálogo Microsoft Update.
Pré-requisitos
Não existem pré-requisitos para instalar esta atualização.
Informações para reiniciar
Terá de reiniciar o computador depois de aplicar esta atualização.
Informações de substituição de atualizações
Esta atualização substitui o 3172985 de atualização lançado anteriormente.
Informações de ficheiro
Para obter uma lista dos ficheiros incluídos nesta atualização cumulativa, transfira as informações de ficheiro para a atualização cumulativa 3176493.
Referências
Saiba mais sobre a terminologia que a Microsoft utiliza para descrever as atualizações de software.