Важно! Эта статья содержит сведения о том, как снизить параметры безопасности или отключить функции безопасности на компьютере. Эти изменения можно внести, чтобы обойти определенную проблему. Перед внесением этих изменений рекомендуется оценить риски, связанные с реализацией этого обходного решения в конкретной среде. Если вы реализуете это обходное решение, выполните все необходимые дополнительные действия для защиты компьютера.
Сводка
Это обновление для системы безопасности устраняет несколько уязвимостей в Microsoft Windows. Уязвимости могут привести к повышению привилегий, если злоумышленник запускает специально созданное приложение в системе, присоединенной к домену.
Дополнительные сведения об этой уязвимости см. в бюллетене майкрософт по безопасности MS16-101.
Дополнительные сведения
Важно
- Все будущие обновления для системы безопасности и не относящиеся к системе безопасности для Windows 8.1 и Windows Server 2012 R2 требуют установки 2919355 обновлений. Мы рекомендуем установить 2919355 обновления на компьютере с Windows 8.1 или Windows Server 2012 R2, чтобы получать будущие обновления.
- Если установить языковой пакет после установки этого обновления, необходимо переустановить это обновление. Поэтому перед установкой этого обновления рекомендуется установить все необходимые языковые пакеты. Дополнительные сведения см. в статье Добавление языковых пакетов в Windows.
Исправления, не связанные с безопасностью, которые включены в это обновление для системы безопасности
Это обновление для системы безопасности также устраняет следующие проблемы, не связанные с безопасностью:
В присоединенном к домену Scale Out файловом сервере (SoFS) в кластере без домена, когда клиент SMB, работающий Windows 8.1 или Windows Server 2012 R2, подключается к неработоспособным узлу, проверка подлинности завершается сбоем. При возникновении этой проблемы может появилось сообщение об ошибке, похожее на следующее сообщение:
Примечание
STATUS_NO_TGT_REPLY
Дополнительные сведения об этом обновлении для системы безопасности
В следующих статьях содержатся дополнительные сведения об этом обновлении для системы безопасности, связанные с отдельными версиями продукта. Статьи могут содержать известные сведения о проблеме.
- 3177108 MS16-101: описание обновления для системы безопасности для методов проверка подлинности Windows: 9 августа 2016 г.
- 3167679 MS16-101: описание обновления для системы безопасности для методов проверка подлинности Windows: 9 августа 2016 г.
- 3192392 обновление только для системы безопасности за октябрь 2016 г. для Windows 8.1 и Windows Server 2012 R2
- ежемесячный накопительный пакет исправлений безопасности 3185331 октября 2016 г. для Windows 8.1 и Windows Server 2012 R2
- 3192393 октября 2016 г. обновление только для системы безопасности для Windows Server 2012
- ежемесячный накопительный пакет исправлений безопасности 3185332 октября 2016 г. для Windows Server 2012
- 3192391 октября 2016 г. обновление только для системы безопасности для Windows 7 с пакетом обновления 1 (SP1) и Windows Server 2008 R2 с пакетом обновления 1 (SP1)
- ежемесячный накопительный пакет исправлений безопасности 3185330 октября 2016 г. для Windows 7 с пакетом обновления 1 (SP1) и Windows Server 2008 R2 с пакетом обновления 1 (SP1)
- 3192440 накопительное обновление для Windows 10: 11 октября 2016 г.
- 3194798 накопительное обновление для Windows 10 версии 1607 и Windows Server 2016: 11 октября 2016 г.
- 3192441 накопительное обновление для Windows 10 версии 1511: 11 октября 2016 г.
Обновления для системы безопасности, которые заменены Следующие обновления для системы безопасности были заменены:
- 3176492 накопительное обновление для Windows 10: 9 августа 2016 г.
- 3176493 накопительное обновление для Windows 10 версии 1511: 9 августа 2016 г.
- 3176495 накопительное обновление для Windows 10 версии 1607: 9 августа 2016 г.
Ниже приведены новые обновления для системы безопасности, которые заменяют упомянутые ранее обновления для системы безопасности.
- 3192440 накопительное обновление для Windows 10: 11 октября 2016 г.
- 3194798 накопительное обновление для Windows 10 версии 1607 и Windows Server 2016: 11 октября 2016 г.
- 3192441 накопительное обновление для Windows 10 версии 1511: 11 октября 2016 г.
Известные проблемы в этом обновлении для системы безопасности
Известная проблема 1
Обновления для системы безопасности, предоставляемые в MS16-101 и более новых обновлениях, отключают возможность возврата процесса Согласования к NTLM при сбое проверки подлинности Kerberos для операций смены пароля с кодом ошибки STATUS_NO_LOGON_SERVERS (0xc000005e). В этом случае вы можете получить один из следующих кодов ошибок.
Шестнадцатеричный Действительное. Символические Дружелюбный 0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Система обнаружила возможную попытку взлома безопасности. Убедитесь, что вы можете связаться с сервером, который прошел проверку подлинности. 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Система обнаружила возможную попытку взлома безопасности. Убедитесь, что вы можете связаться с сервером, который прошел проверку подлинности. Временное решение
Если после установки MS16-101 произошел сбой изменений паролей, которые ранее были успешно выполнены, скорее всего, изменение пароля ранее зависело от резервного копирования NTLM из-за сбоя Kerberos. Чтобы успешно изменить пароли с помощью протоколов Kerberos, выполните следующие действия.
Настройте открытую связь через TCP-порт 464 между клиентами, на которых установлен MS16-101, и контроллером домена, обслуживающим сбросы паролей.
Контроллеры домена только для чтения (RODCs) могут выполнять самостоятельные сбросы паролей, если пользователь разрешен политикой репликации паролей RODCs. Пользователям, которые не разрешены политикой паролей RODC, требуется сетевое подключение к контроллеру домена чтения и записи (RWDC) в домене учетной записи пользователя.
Примечание. Чтобы проверка, открыт ли TCP-порт 464, выполните следующие действия.
Создайте эквивалентный фильтр отображения для средства синтаксического анализа сетевого монитора. Например:
ipv4.address== <IP-адрес клиента> && tcp.port==464
В результатах найдите кадр TCP:[SynReTransmit".
Убедитесь, что целевые имена Kerberos допустимы. (IP-адреса недопустимы для протокола Kerberos. Kerberos поддерживает короткие имена и полные доменные имена.)
Убедитесь, что имена субъектов-служб (SPN) зарегистрированы правильно.
Дополнительные сведения см. в статье Kerberos и Self-Service сброс пароля.
Известная проблема 2
Мы знаем о проблеме, при которой программный сброс пароля учетных записей пользователей домена завершается сбоем и возвращает код ошибки STATUS_DOWNGRADE_DETECTED (0x800704F1), если ожидаемый сбой является одним из следующих:
- ERROR_INVALID_PASSWORD
- ERROR_PWD_TOO_SHORT (редко возвращается)
- STATUS_WRONG_PASSWORD
- STATUS_PASSWORD_RESTRICTION
В следующей таблице показано полное сопоставление ошибок.
Шестнадцатеричный Действительное. Символические Дружелюбный 0x56 86 ERROR_INVALID_PASSWORD Указан неправильный сетевой пароль. 0x267 615 ERROR_PWD_TOO_SHORT Предоставленный пароль слишком короткий, чтобы соответствовать политике учетной записи пользователя. Укажите более длинный пароль. 0xc000006a -1073741718 STATUS_WRONG_PASSWORD При попытке обновить пароль это состояние возврата указывает, что значение, указанное в качестве текущего пароля, является неверным. 0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION При попытке обновить пароль это состояние возврата указывает на то, что какое-то правило обновления пароля было нарушено. Например, пароль может не соответствовать критериям длины. 0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Система не может связаться с контроллером домена для обслуживания запроса проверки подлинности. Повторите попытку позже. 0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Система не может связаться с контроллером домена для обслуживания запроса проверки подлинности. Повторите попытку позже. Решение
MS16-101 был выпущен повторно для решения этой проблемы. Установите последнюю версию обновлений для этого бюллетеня, чтобы устранить эту проблему.
Известная проблема 3
Мы знаем о проблеме, из-за которой программный сброс изменений паролей локальной учетной записи пользователя может завершиться ошибкой, и возвращает код ошибки STATUS_DOWNGRADE_DETECTED (0x800704F1).
В следующей таблице показано полное сопоставление ошибок.
Шестнадцатеричный Действительное. Символические Дружелюбный 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Система не может связаться с контроллером домена для обслуживания запроса проверки подлинности. Повторите попытку позже. Решение
MS16-101 был выпущен повторно для решения этой проблемы. Установите последнюю версию обновлений для этого бюллетеня, чтобы устранить эту проблему.
Известная проблема 4
Пароли для отключенных и заблокированных учетных записей пользователей нельзя изменить с помощью пакета согласования.
Изменения паролей для отключенных и заблокированных учетных записей по-прежнему будут работать при использовании других методов, например при непосредственном использовании операции изменения LDAP. Например, командлет PowerShell Set-ADAccountPassword использует операцию "Изменение LDAP" для изменения пароля и остается без изменений.
Временное решение
Для этих учетных записей требуется, чтобы администратор сбросил пароль. Это происходит после установки исправлений MS16-101 и более поздних версий.
Известная проблема 5
Приложения, использующие API NetUserChangePassword и передающие имя сервера в параметре domainname , больше не будут работать после установки MS16-101 и более поздних обновлений.
В документации Майкрософт указано, что поддерживается предоставление имени удаленного сервера в параметре domainname функции NetUserChangePassword. Например, в разделе MSDN функции NetUserChangePassword говорится следующее:
domainname [in]
Указатель на константную строку, указывающую DNS или NetBIOS-имя удаленного сервера или домена, на котором выполняется функция. Если этот параметр имеет значение NULL, используется домен входа вызывающего объекта. Состояние
Это руководство было заменено MS16-101, если только сброс пароля не относится к локальной учетной записи на локальном компьютере.
После ms16-101, чтобы изменения пароля пользователя домена работали, необходимо передать допустимое доменное имя DNS в API NetUserChangePassword.
Известная проблема 6
После установки обновлений безопасности, описанных в ms16-101, удаленные программные изменения пароля локальной учетной записи пользователя и изменения паролей в ненадежном лесу завершаются ошибкой.
Эта операция завершается сбоем, так как после установки MS16-101 операция используется отката NTLM, который больше не поддерживается для нелокальных учетных записей.
Указана запись реестра, которую можно использовать для отключения этого изменения.
Предупреждение. Это решение может сделать компьютер или сеть более уязвимыми для атак злоумышленников или вредоносных программ, таких как вирусы. Мы не рекомендуем это обходное решение, но предоставляем эти сведения, чтобы вы могли реализовать это решение по своему усмотрению. Используйте это решение на свой страх и риск.
Важно! В этом разделе, методе или задаче содержатся инструкции по изменению реестра. Однако ошибки при изменении реестра могут привести к серьезным проблемам. Поэтому будьте внимательны, выполняя описанные действия. В качестве дополнительной меры предосторожности перед внесением изменений создайте резервную копию реестра. Тогда в случае возникновения проблемы вы сможете восстановить реестр. Дополнительные сведения о том, как создать резервную копию и восстановить реестр, щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
322756 Резервное копирование и восстановление реестра в WindowsЧтобы отключить это изменение, задайте для записи DWORD NegoAllowNtlmPwdChangeFallback значение 1 (один).
Важно! Если для записи реестра NegoAllowNtlmPwdChangeFallback задано значение 1, это исправление безопасности будет отключено:
Значение реестра Описание 0 Значение по умолчанию. Резервный вариант не допускается. 1 Резервный вариант всегда разрешен. Исправление безопасности отключено. Клиенты, у которых возникли проблемы с удаленными локальными учетными записями или сценариями ненадежного леса, могут задать для реестра это значение. Чтобы добавить эти значения реестра, выполните следующие действия.
Нажмите кнопку Пуск и выберите пункт Выполнить. Введите команду regedit в поле Открыть и нажмите кнопку ОК.
Найдите и щелкните следующий подраздел реестра:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
Введите NegoAllowNtlmPwdChangeFallback в поле имя DWORD и нажмите клавишу ВВОД.
Щелкните правой кнопкой мыши NegoAllowNtlmPwdChangeFallback и выберите команду Изменить.
В поле Значение введите 1, чтобы отключить это изменение, а затем нажмите кнопку ОК.
Примечание. Чтобы восстановить значение по умолчанию, введите 0 (ноль) и нажмите кнопку ОК.
Состояние
Основная причина этой проблемы понятна. Эта статья будет дополнена дополнительными сведениями по мере их доступности.
Получение и установка обновления
Способ 1. Центр обновления Windows
Это обновление доступно в Центре обновления Windows. При включении автоматического обновления это обновление будет загружено и установлено автоматически. Дополнительные сведения о включении автоматического обновления см. в статье.
Автоматическое получение обновлений для системы безопасности.
Способ 2. Каталог Центра обновления Майкрософт
Чтобы получить отдельный пакет для данного обновления, перейдите на веб-сайт каталога Центра обновления Майкрософт.
Способ 3. Центр загрузки Майкрософт
Автономный пакет обновления можно получить в Центре загрузки Майкрософт. Следуйте инструкциям по установке на странице загрузки, чтобы установить обновление.
Щелкните ссылку для скачивания в бюллетене майкрософт по безопасности MS16-101 , соответствующем используемой версии Windows.
Дополнительные сведения
Сведения о развертывании обновлений безопасности
Windows Vista (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имена файлов обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows Vista: Windows6.0-KB3167679-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Vista: Windows6.0-KB3167679-x64.msu |
|
| Параметры установки | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезапустить систему. |
| Сведения об удалении | WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное WUSA, щелкните панель управления, а затем — Безопасность. В разделе клиентский компонент Центра обновления Windows щелкните Просмотреть установленные обновления, а затем выберите обновления из списка. |
| Сведения о файлах | См . статью базы знаний Майкрософт 3167679 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его наличия. |
Windows Server 2008 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имена файлов обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows Server 2008: Windows6.0-KB3167679-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008: Windows6.0-KB3167679-x64.msu |
|
| Для всех поддерживаемых выпусков на основе Itanium Windows Server 2008: Windows6.0-KB3167679-ia64.msu |
|
| Параметры установки | См. статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезапустить систему. |
| Сведения об удалении | WUSA.exe не поддерживает удаление обновлений. Чтобы удалить обновление, установленное WUSA, щелкните панель управления, а затем — Безопасность. В разделе клиентский компонент Центра обновления Windows щелкните Просмотреть установленные обновления, а затем выберите обновления из списка. |
| Сведения о файлах | См . статью базы знаний Майкрософт 3167679 |
Windows 7 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 7: Windows6.1-KB3192391-x86.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 32-разрядных выпусков Windows 7 Windows6.1-KB3185330-x86.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 7: Windows6.1-KB3192391-x64.msu Только безопасность |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 7: Windows6.1-KB3185330-x64.msu Ежемесячный накопительный пакет обновления |
|
| Параметры установки | См . статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезапустить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте параметр установки /Uninstall или щелкните панель управления, щелкните Система и безопасность. В разделе клиентский компонент Центра обновления Windows щелкните Просмотреть установленные обновления, а затем выберите из списка обновлений. |
| Сведения о файлах | См . статью базы знаний Майкрософт 3192391 См . статью базы знаний Майкрософт 3185330 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Windows Server 2008 R2 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008 R2: Windows6.1-KB3192391-x64.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows Server 2008 R2: Windows6.1-KB3185330-x64.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых выпусков на основе Itanium Windows Server 2008 R2: Windows6.1-KB3192391-ia64.msu Только безопасность |
|
| Для всех поддерживаемых выпусков на основе Itanium Windows Server 2008 R2: Windows6.1-KB3185330-ia64.msu Ежемесячный накопительный пакет обновления |
|
| Параметры установки | См . статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности требуется перезагрузка системы. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте параметр установки /Uninstall или щелкните панель управления, щелкните Система и безопасность, а затем в разделе клиентский компонент Центра обновления Windows щелкните Просмотреть установленные обновления и выберите из списка обновлений. |
| Сведения о файлах | См . статью базы знаний Майкрософт 3192391 См . статью базы знаний Майкрософт 3185330 |
| Проверка раздела реестра | Примечание. Раздел реестра не существует для проверки наличия этого обновления. |
Windows 8.1 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 8.1: Windows8.1-KB3192392-x86.msu Только безопасность |
|---|---|
| Для всех поддерживаемых 32-разрядных выпусков Windows 8.1: Windows8.1-KB3185331-x86.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 8.1: Windows8.1-KB3192392-x64.msu Только безопасность |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 8.1: Windows8.1-KB3185331-x64.msu Ежемесячный накопительный пакет обновления |
|
| Параметры установки | См . статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезапустить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте параметр установки /Uninstall или Щелкните панель управления, щелкните Система и безопасность, а затем клиентский компонент Центра обновления Windows. В разделе См. также щелкните Установленные обновления, а затем выберите обновления из списка. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192392 См . статью базы знаний Майкрософт 3185331 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Windows Server 2012 и Windows Server 2012 R2 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых выпусков Windows Server 2012: Windows8-RT-KB3192393-x64.msu Только безопасность |
|---|---|
| Для всех поддерживаемых выпусков Windows Server 2012: Windows8-RT-KB3185332-x64.msu Ежемесячный накопительный пакет обновления |
|
| Для всех поддерживаемых выпусков Windows Server 2012 R2: Windows8.1-KB3192392-x64.msu Только безопасность |
|
| Для всех поддерживаемых выпусков Windows Server 2012 R2: Windows8.1-KB3185331-x64.msu Ежемесячный накопительный пакет обновления |
|
| Параметры установки | См . статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности требуется перезагрузка системы. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте параметр установки /Uninstall или щелкните панель управления, щелкните Система и безопасность, щелкните клиентский компонент Центра обновления Windows, а затем в разделе Просмотреть также щелкните Установленные обновления и выберите из списка обновлений. |
| Сведения о файлах | См. статью базы знаний Майкрософт 3192393 См . статью базы знаний Майкрософт 3185332 |
| Проверка раздела реестра | Примечание. Раздел реестра не существует для проверки наличия этого обновления. |
Windows 10 (все выпуски)Справочная таблица
В следующей таблице содержатся сведения об обновлении для системы безопасности для этого программного обеспечения.
| Имя файла обновления для системы безопасности | Для всех поддерживаемых 32-разрядных выпусков Windows 10: Windows10.0-KB3192440-x86.msu |
|---|---|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10: Windows10.0-KB3192440-x64.msu |
|
| Для всех поддерживаемых 32-разрядных выпусков Windows 10 версии 1511: Windows10.0-Kb3192441-x86.msu |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10 версии 1511: Windows10.0-Kb3192441-x64.msu |
|
| Для всех поддерживаемых 32-разрядных выпусков Windows 10 версии 1607: Windows10.0-KB3194798-x86.msu |
|
| Для всех поддерживаемых 64-разрядных выпусков Windows 10 версии 1607: Windows10.0-KB3194798-x64.msu |
|
| Параметры установки | См . статью базы знаний Майкрософт 934307 |
| Необходимость перезапуска | После применения этого обновления для системы безопасности необходимо перезапустить систему. |
| Сведения об удалении | Чтобы удалить обновление, установленное WUSA, используйте параметр установки /Uninstall или Щелкните панель управления, щелкните Система и безопасность, а затем клиентский компонент Центра обновления Windows. В разделе См. также щелкните Установленные обновления, а затем выберите обновления из списка. |
| Сведения о файлах | См . статью базы знаний Майкрософт 3192440 См . статью базы знаний Майкрософт 3192441 См. статью базы знаний Майкрософт 3194798 |
| Проверка раздела реестра | Примечание. Это обновление не добавляет раздел реестра для проверки его установки. |
Получение справки и поддержки для этого обновления для системы безопасности
Справка по установке обновлений: поддержка Центра обновления Майкрософт
Решения по обеспечению безопасности для ИТ-специалистов: устранение неполадок и поддержка безопасности TechNet
Справка по защите компьютера под управлением Windows от вирусов и вредоносных программ: Центр решения и безопасности для вирусов
Локальная поддержка в соответствии с вашей страной: международная поддержка