Важно! В этой статье содержатся сведения о том, как понизить уровень параметров безопасности или отключить функции безопасности на компьютере. Эти изменения можно внести, чтобы обойти определенную проблему. Перед внесением этих изменений рекомендуется оценить риски, связанные с реализацией этого обходного решения в конкретной среде. Если вы реализуете это обходное решение, выполните все необходимые дополнительные действия для защиты компьютера.
Сводка
Данное обновление для системы безопасности устраняет несколько уязвимостей в Microsoft Windows. Уязвимости могут позволить повысить привилегии, если злоумышленник запустит специально созданное приложение в системе, присоединенной к домену.
Дополнительные сведения об уязвимости см. в бюллетене корпорации Майкрософт по безопасности MS16-101.
Дополнительные сведения
Важно
- Все последующие обновления для системы безопасности и других обновлений для Windows 8.1 и Windows Server 2012 R2 требуют установки 2919355 обновлений. Рекомендуется установить 2919355 обновлений на компьютер с Windows 8.1 или Windows Server 2012 R2, чтобы получать последующие обновления.
- Если установить языковой пакет после установки этого обновления, необходимо переустановить это обновление. Поэтому перед установкой этого обновления рекомендуется установить все необходимые языковые пакеты. Дополнительные сведения см. в статье Добавление языковых пакетов в Windows.
Исправления, не связанные с безопасностью, включенные в это обновление для системы безопасности
Это обновление для системы безопасности также исправляет следующие ошибки, не связанные с безопасностью:
В файловом сервере Scale Out, присоединенном к домену (SoFS) в бездоменном кластере, когда клиент SMB, работающий в Windows 8.1 или Windows Server 2012 R2, подключается к неработающему узлу, происходит сбой аутентификации. В этом случае может появиться сообщение об ошибке, похожее на следующее:
Примечание
STATUS_NO_TGT_REPLY
Дополнительные сведения об этом обновлении для системы безопасности
В следующих статьях содержатся дополнительные сведения об этом обновлении для системы безопасности применительно к отдельным версиям продуктов. Эти статьи могут содержать сведения об известных проблемах.
- 3177108 MS16-101: описание обновления системы безопасности для методов проверка подлинности Windows: 9 августа 2016 г.
- 3167679 MS16-101: описание обновления системы безопасности для методов проверка подлинности Windows: 9 августа 2016 г.
- 3192392 исправление только для системы безопасности за октябрь 2016 г. для Windows 8.1 и Windows Server 2012 R2
- 3185331 Ежемесячный обзор качества системы безопасности за октябрь 2016 г. для Windows 8.1 и Windows Server 2012 R2
- 3192393 исправление только для системы безопасности за октябрь 2016 г. для Windows Server 2012
- 3185332 Ежемесячный обзор качества системы безопасности за октябрь 2016 г. для Windows Server 2012
- 3192391 исправления только для системы безопасности для Windows 7 SP1 и Windows Server 2008 R2 SP1 за октябрь 2016 г.
- 3185330 Ежемесячный обзор качества системы безопасности для Windows 7 SP1 и Windows Server 2008 R2 SP1 за октябрь 2016 г.
- 3192440 Накопительный пакет обновления для Windows 10: 11 октября 2016 г.
- 3194798 Накопительный пакет обновления для Windows 10 версии 1607 и Windows Server 2016: 11 октября 2016 г.
- 3192441 Накопительный пакет обновления для Windows 10 версии 1511: 11 октября 2016 г.
Обновления системы безопасности, которые были замененыБыли заменены следующие обновления для системы безопасности:
- 3176492 накопительный пакет обновления за Windows 10: 9 августа 2016 г.
- 3176493 Накопительный пакет обновления для Windows 10 версии 1511: 9 августа 2016 г.
- 3176495 накопительный пакет обновления для Windows 10 версии 1607: 9 августа 2016 г.
Ниже представлены новые обновления для системы безопасности, которые заменяют упомянутые ранее.
- 3192440 Накопительный пакет обновления для Windows 10: 11 октября 2016 г.
- 3194798 Накопительный пакет обновления для Windows 10 версии 1607 и Windows Server 2016: 11 октября 2016 г.
- 3192441 Накопительный пакет обновления для Windows 10 версии 1511: 11 октября 2016 г.
Известные проблемы, связанные с этим обновлением для системы безопасности
Известная проблема 1
Обновления для системы безопасности, предоставляемые в MS16-101 и более новых обновлениях, отключают возможность процесса Negotiate возвращаться к NTLM при сбое проверки подлинности Kerberos для операций изменения пароля с кодом ошибки STATUS_NO_LOGON_SERVERS (0xc000005e). В этой ситуации может появиться один из следующих кодов ошибок.
Шестнадцатеричный Действительное. Символ Дружелюбный 0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Система обнаружила возможную попытку компрометации безопасности. Убедитесь, что вы можете связаться с сервером, который выполнил проверку подлинности. 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Система обнаружила возможную попытку компрометации безопасности. Убедитесь, что вы можете связаться с сервером, который выполнил проверку подлинности. Временное решение
Если изменение пароля, которое ранее было успешным, завершается ошибкой после установки MS16-101, вероятно, что при изменении пароля ранее использовался резервный NTLM, потому что Kerberos дал сбой. Чтобы успешно изменять пароли с помощью протоколов Kerberos, выполните следующие действия:
Настройте открытый обмен данными по TCP-порту 464 между клиентами, на которых установлен MS16-101, и контроллером домена, который сбрасывает пароли.
Контроллеры домена только для чтения (RODCs) могут обслуживать самостоятельный сброс пароля, если политика репликации паролей RODCs разрешает пользователя. Пользователям, не разрешенным политикой паролей RODC, требуется сетевое подключение к контроллеру домена чтения и записи (RWDC) в домене учетной записи пользователя.
Примечание. Чтобы проверить, открыт ли TCP-порт 464, выполните следующие действия.
Создайте эквивалентный фильтр отображения для анализатора сетевого монитора. Например:
ipv4.address== <IP-адрес клиента> && tcp.port==464
В результатах поиска найдите фрейм TCP:[SynReTransmit".
Убедитесь, что целевые имена Kerberos допустимы. (IP-адреса недопустимы для протокола Kerberos. Kerberos поддерживает короткие имена и полные доменные имена.)
Убедитесь, что имена субъектов-служб зарегистрированы правильно.
Дополнительные сведения см. в разделе Kerberos и сброс пароля Self-Service.
Известная проблема 2
Нам известна проблема, из-за которой происходит сбой программного сброса пароля учетных записей пользователей домена и возвращается код ошибки STATUS_DOWNGRADE_DETECTED (0x800704F1), если ожидаемый сбой вызван одним из следующих симптомов:
- ERROR_INVALID_PASSWORD
- ERROR_PWD_TOO_SHORT (возвращается редко)
- STATUS_WRONG_PASSWORD
- STATUS_PASSWORD_RESTRICTION
В следующей таблице показано полное сопоставление ошибок.
Шестнадцатеричный Действительное. Символ Дружелюбный 0x56 86 ERROR_INVALID_PASSWORD Указанный сетевой пароль неверен. 0x267 615 ERROR_PWD_TOO_SHORT Предоставленный пароль слишком короткий, чтобы соответствовать политике вашей учетной записи пользователя. Укажите более длинный пароль. 0xc000006a -1073741718 STATUS_WRONG_PASSWORD При попытке обновить пароль это состояние означает, что значение, указанное в качестве текущего пароля, является неверным. 0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION При попытке обновить пароль это состояние указывает на нарушение какого-либо правила обновления пароля. Например, пароль может не соответствовать критериям длины. 0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Системе не удается связаться с контроллером домена для обработки запроса на проверку подлинности. Повторите попытку позже. 0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Системе не удается связаться с контроллером домена для обработки запроса на проверку подлинности. Повторите попытку позже. Решение
Для решения этой проблемы повторно выпущен MS16-101. Чтобы устранить эту проблему, установите последнюю версию обновлений для этого бюллетеня.
Известная проблема 3
Нам известно о проблеме, из-за которой программные сбросы пароля локальных учетных записей пользователей могут завершиться сбоем и вернуть код ошибки STATUS_DOWNGRADE_DETECTED (0x800704F1).
В следующей таблице показано полное сопоставление ошибок.
Шестнадцатеричный Действительное. Символ Дружелюбный 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Системе не удается связаться с контроллером домена для обработки запроса на проверку подлинности. Повторите попытку позже. Решение
Для решения этой проблемы повторно выпущен MS16-101. Чтобы устранить эту проблему, установите последнюю версию обновлений для этого бюллетеня.
Известная проблема 4
Пароли отключенных и заблокированных учетных записей невозможно изменить с помощью пакета negotiate.
Изменение пароля для отключенных и заблокированных учетных записей будет по-прежнему работать при использовании других методов, например при непосредственном использовании операции изменения LDAP. Например, командлет PowerShell Set-ADAccountPassword использует операцию "LDAP Modify" для изменения пароля и остается незатронутым.
Временное решение
Для таких учетных записей требуется, чтобы администратор сбросил пароль. Это поведение является стандартным после установки MS16-101 и более поздних исправлений.
Известная проблема 5
Приложения, использующие API NetUserChangePassword и передающие имя сервера в параметре domainname , перестают работать после установки обновлений MS16-101 и более поздних версий.
В документации Майкрософт говорится, что указание имени удаленного сервера в параметре domainname функции NetUserChangePassword поддерживается. Например, в разделе MSDN о функции NetUserChangePassword говорится следующее:
Доменное имя [in]
Указатель на строку константы, которая указывает имя DNS или NetBIOS удаленного сервера или домена, на котором должна выполняться функция. Если этот параметр имеет значение NULL, используется домен входа вызывающего объекта. Состояние
Это руководство заменено MS16-101, если только сброс пароля не выполняется для локальной учетной записи на локальном компьютере.
После MS16-101 для изменения пароля пользователя домена необходимо передать действительное DNS-доменное имя в API NetUserChangePassword.
Известная проблема 6
После установки обновлений системы безопасности, описанных в MS16-101, выполняется удаленное программное изменение пароля локальной учетной записи пользователя и изменение пароля в ненадежном лесу завершается ошибкой.
Эта операция завершается сбоем, так как операция использует резервный NTLM, который больше не поддерживается для нелокальных учетных записей после установки MS16-101.
Предоставляется запись реестра, которую можно использовать, чтобы отключить это изменение.
Предупреждение! Это временное решение может сделать компьютер или сеть более уязвимыми к атакам пользователей-злоумышленников или вредоносных программ, например вирусов. Мы не рекомендуем использовать этот способ, но предоставляем эти сведения, чтобы вы могли применить это решение по собственному усмотрению. Используйте это решение на свой страх и риск.
ВажноЭтот раздел, метод или задача содержит шаги по изменению реестра. Однако ошибки при изменении реестра могут привести к серьезным проблемам. Поэтому будьте внимательны, выполняя описанные действия. В качестве дополнительной меры предосторожности перед внесением изменений создайте резервную копию реестра. Тогда в случае возникновения проблемы вы сможете восстановить реестр. Дополнительные сведения о создании резервной копии и восстановлении реестра см. в следующей статье базы знаний Майкрософт:
322756 Резервное копирование и восстановление реестра WindowsЧтобы отключить это изменение, установите для записи DWORD NegoAllowNtlmPwdChangeFallback значение 1 (один).
Важно! Установка для записи реестра NegoAllowNtlmPwdChangeFallback значения 1 отключит это исправление безопасности:
Значение реестра Описание 0 Значение по умолчанию. Откат запрещен. 1 Откат всегда допускается. Исправление для системы безопасности отключено. Клиенты, у которых есть проблемы с удаленными локальными учетными записями или сценариями с ненадежным лесом, могут установить для реестра это значение. Чтобы добавить эти значения реестра, выполните следующие действия:
Нажмите кнопку Пуск и выберите пункт Выполнить. Введите команду regedit в поле Открыть и нажмите кнопку ОК.
Найдите и щелкните следующий подраздел реестра:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
Назовите параметр DWORD NegoAllowNtlmPwdChangeFallback и нажмите клавишу ВВОД.
Щелкните правой кнопкой мыши NegoAllowNtlmPwdChangeFallback и выберите пункт "Изменить".
В поле "Значение" введите "1", чтобы отключить это изменение, и нажмите кнопку "ОК".
Примечание. Чтобы восстановить значение по умолчанию, введите 0 (ноль) и нажмите кнопку "ОК".
Состояние
Основная причина этой проблемы понятна. Эта статья будет обновляться дополнительными сведениями по мере их появления.
Как получить и установить обновление
Способ 1. Центр обновления Windows
Это обновление доступно в Центре обновления Windows. При включении автоматического обновления это обновление будет загружено и установлено автоматически. Дополнительные сведения о включении автоматического обновления см. в разделе
Автоматическое получение обновлений для системы безопасности.
Способ 2. Каталог Центра обновления Майкрософт
Чтобы получить отдельный пакет для данного обновления, перейдите на веб-сайт каталога Центра обновления Майкрософт.
Способ 3. Центр загрузки Майкрософт
Вы можете получить отдельный пакет обновления в Центре загрузки Майкрософт. Следуйте инструкциям по установке на странице загрузки, чтобы установить обновление.
Щелкните ссылку для скачивания в бюллетене по безопасности Майкрософт MS16-101 , соответствующей используемой версии Windows.
Дополнительные сведения
Сведения о развертывании обновлений системы безопасности
Windows Vista (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имена файлов обновления безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows Vista: Windows6.0-KB3167679-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Vista: Windows6.0-KB3167679-x64.msu |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезагрузить систему. |
| Сведения об удалении | WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное WUSA, щелкните "Панель управления", а затем выберите пункт "Безопасность". В разделе "Клиентский компонент Центра обновления Windows" щелкните "Просмотр установленных обновлений" и выберите нужный пункт из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3167679 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для подтверждения его наличия. |
Windows Server 2008 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имена файлов обновления безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2008: Windows6.0-KB3167679-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008: Windows6.0-KB3167679-x64.msu |
|
| Для всех поддерживаемых выпусков Windows Server 2008 на базе Itanium: Windows6.0-KB3167679-ia64.msu |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезагрузить систему. |
| Сведения об удалении | WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное WUSA, щелкните "Панель управления", а затем выберите пункт "Безопасность". В разделе "Клиентский компонент Центра обновления Windows" щелкните "Просмотр установленных обновлений" и выберите нужный пункт из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3167679 |
Windows 7 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 7: Windows6.1-KB3192391-x86.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 32-разрядных выпусков Windows 7 Windows6.1-KB3185330-x86.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 7: Windows6.1-KB3192391-x64.msu Только безопасность |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 7: Windows6.1-KB3185330-x64.msu Ежемесячный накопительный пакет обновления |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезагрузить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте переключатель программы установки /Uninstall или щелкните панель управления и нажмите Система и безопасность. В разделе "Клиентский компонент Центра обновления Windows" щелкните "Просмотр установленных обновлений" и выберите нужный пункт из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192391 См. статью базы знаний Майкрософт 3185330 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Windows Server 2008 R2 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008 R2: Windows6.1-KB3192391-x64.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008 R2: Windows6.1-KB3185330-x64.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых выпусков Windows Server 2008 R2 на основе Itanium: Windows6.1-KB3192391-ia64.msu Только безопасность |
|
| Для всех поддерживаемых выпусков Windows Server 2008 R2 на основе Itanium: Windows6.1-KB3185330-ia64.msu Ежемесячный накопительный пакет обновления |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности требуется перезагрузка системы. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте переключатель программы установки /Uninstall или щелкните панель управления, нажмите Система и безопасность, а затем в разделе "Клиентский компонент Центра обновления Windows" щелкните Просмотр установленных обновлений и выберите один из обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192391 См. статью базы знаний Майкрософт 3185330 |
| Проверка раздела реестра | Примечание. Раздел реестра, позволяющий проверить наличие этого обновления, не существует. |
Windows 8.1 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 8.1: Windows8.1-KB3192392-x86.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 32-разрядных выпусков Windows 8.1: Windows8.1-KB3185331-x86.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 8.1: Windows8.1-KB3192392-x64.msu Только безопасность |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 8.1: Windows8.1-KB3185331-x64.msu Ежемесячный накопительный пакет обновления |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезагрузить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте ключ программы установки /Uninstall или щелкните панель управления, выберите пункт "Система и безопасность", а затем щелкните пункт "Клиентский компонент Центра обновления Windows". В области "См. также" щелкните "Установленные обновления" и выберите нужный пункт из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192392 См. статью базы знаний Майкрософт 3185331 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Windows Server 2012 и Windows Server 2012 R2 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых выпусков Windows Server 2012: Windows8-RT-KB3192393-x64.msu Только безопасность |
|---|---|
| Для всех поддерживаемых выпусков Windows Server 2012: Windows8-RT-KB3185332-x64.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых выпусков Windows Server 2012 R2: Windows8.1-KB3192392-x64.msu Только безопасность |
|
| Для всех поддерживаемых выпусков Windows Server 2012 R2: Windows8.1-KB3185331-x64.msu Ежемесячный накопительный пакет обновления |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности требуется перезагрузка системы. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте переключатель программы установки /Uninstall или щелкните панель управления, нажмите «Система и безопасность», затем «Клиентский компонент Центра обновления Windows», а затем в разделе «Смотрите также» нажмите «Установленные обновления» и выберите один из обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192393 См. статью базы знаний Майкрософт 3185332 |
| Проверка раздела реестра | Примечание. Раздел реестра, позволяющий проверить наличие этого обновления, не существует. |
Windows 10 (все выпуски)Справочная таблица
Следующая таблица содержит сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 10: Windows10.0-KB3192440-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10: Windows10.0-KB3192440-x64.msu |
|
| Для всех поддерживаемых 32-разрядных выпусков Windows 10 версии 1511: Windows10.0-KB3192441-x86.msu |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10 версии 1511 на базе x64: Windows10.0-KB3192441-x64.msu |
|
| Для всех поддерживаемых 32-разрядных выпусков Windows 10 версии 1607: Windows10.0-KB3194798-x86.msu |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10 версии 1607: Windows10.0-KB3194798-x64.msu |
|
| Установочные выключатели | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезагрузить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте ключ программы установки /Uninstall или щелкните панель управления, выберите пункт "Система и безопасность", а затем щелкните пункт "Клиентский компонент Центра обновления Windows". В области "См. также" щелкните "Установленные обновления" и выберите нужный пункт из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192440 См. статью базы знаний Майкрософт 3192441 См. статью базы знаний Майкрософт 3194798 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Получение справки и поддержки для этого обновления системы безопасности
Справка по установке обновлений: поддержка Центра обновления Майкрософт
Решения безопасности для ИТ-специалистов: устранение неполадок и поддержка в сфере безопасности TechNet
Справка по защите компьютера под управлением Windows от вирусов и вредоносных программ: Центр антивирусных решений и безопасности
Локальная поддержка в зависимости от страны или региона: международная поддержка