MS16-101: Aktualizácia zabezpečenia pre metódy overovania Windowsu: 9. augusta 2016

Vzťahuje sa na

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Dôležité Tento článok obsahuje informácie, ktoré vám ukážu, ako pomôcť znížiť nastavenia zabezpečenia alebo ako vypnúť funkcie zabezpečenia v počítači. Tieto zmeny môžete vykonať, aby ste vyriešili konkrétny problém. Pred vykonaním týchto zmien odporúčame zhodnotiť riziká, ktoré sú spojené s implementáciou tohto riešenia vo vašom konkrétnom prostredí. Ak implementujete toto riešenie, vykonajte všetky vhodné dodatočné kroky na ochranu počítača.

Súhrn

Táto aktualizácia zabezpečenia rieši viaceré riziká v systéme Microsoft Windows. Riziká môžu umožniť zvýšenie oprávnení, ak útočník spustí špeciálne vytvorenú aplikáciu v systéme pripojenom k doméne.

Ďalšie informácie o tomto ohrození nájdete v Bulletine o zabezpečení od spoločnosti Microsoft MS16-101.

Ďalšie informácie

Dôležité

Všetky budúce aktualizácie zabezpečenia a aktualizácie netýkajúce sa zabezpečenia pre Windows 8.1 a Windows Server 2012 R2 vyžadujú inštaláciu 2919355 aktualizácie. Odporúčame nainštalovať aktualizáciu 2919355 do počítača so systémom Windows 8.1 alebo systémom Windows Server 2012 R2, aby ste mohli dostávať budúce aktualizácie.
Ak po nainštalovaní tejto aktualizácie nainštalujete jazykový balík, musíte túto aktualizáciu znova nainštalovať. Preto odporúčame pred inštaláciou tejto aktualizácie nainštalovať všetky jazykové balíky, ktoré potrebujete. Ďalšie informácie nájdete v téme Pridanie jazykových balíkov do systému Windows.

Opravy, ktoré nesúvisia so zabezpečením a sú zahrnuté v tejto aktualizácii zabezpečenia

Táto aktualizácia zabezpečenia opravuje aj nasledujúce problémy, ktoré nesúvisia so zabezpečením:

Keď sa v prípade súborového servera SoFS (Scale Out File Server) s podporou domény na klastri bez domény klient SMB so systémom Windows 8.1 alebo Windows Server 2012 R2 pripojí k uzlu, ktorý nefunguje, overenie zlyhá. Keď sa vyskytne tento problém, môže sa zobraziť chybové hlásenie podobné nasledujúcemu:

Poznámka

STATUS_NO_TGT_REPLY

Ďalšie informácie o tejto aktualizácii zabezpečenia

V nasledujúcich článkoch nájdete ďalšie informácie o tejto aktualizácii zabezpečenia týkajúce sa jednotlivých verzií produktov. Články môžu obsahovať informácie o známych problémoch.

3177108 MS16-101: Popis aktualizácie zabezpečenia pre metódy overovania Windowsu: 9. augusta 2016
3167679 MS16-101: popis aktualizácie zabezpečenia pre metódy overovania Windowsu: 9. augusta 2016
3192392 Kvalitatívna aktualizácia zabezpečenia Windows 8.1 a Windows Server 2012 R2 z októbra 2016
3185331 Mesačná súhrnná kvalitatívna aktualizácia zabezpečenia z októbra 2016 pre Windows 8.1 a Windows Server 2012 R2
3192393 Kvalitatívna aktualizácia zabezpečenia z októbra 2016 pre Windows Server 2012 z októbra 2016
3185332 Mesačná súhrnná kvalitatívna aktualizácia zabezpečenia z októbra 2016 pre Windows Server 2012
3192391 Kvalitatívna aktualizácia zabezpečenia z októbra 2016 pre Windows 7 SP1 a Windows Server 2008 R2 SP1
3185330 Mesačná súhrnná kvalitatívna aktualizácia zabezpečenia z októbra 2016 pre Windows 7 SP1 a Windows Server 2008 R2 SP1
3192440 Kumulatívna aktualizácia pre Windows 10: 11. októbra 2016
3194798 Kumulatívna aktualizácia pre Windows 10 verzie 1607 a Windows Server 2016: 11. október 2016
3192441 Kumulatívna aktualizácia pre Windows 10 verzie 1511: 11. október 2016

Aktualizácie zabezpečenia, ktoré sa nahrádzajúNasledujúce aktualizácie zabezpečenia boli nahradené:

3176492 Kumulatívna aktualizácia pre Windows 10: 9. augusta 2016
3176493 Kumulatívna aktualizácia pre Windows 10 verzie 1511: 9. augusta 2016
3176495 Kumulatívna aktualizácia pre Windows 10 verzie 1607: 9. augusta 2016

Nasledujú nové aktualizácie zabezpečenia, ktoré nahrádzajú aktualizácie zabezpečenia uvedené vyššie:

3192440 Kumulatívna aktualizácia pre Windows 10: 11. októbra 2016
3194798 Kumulatívna aktualizácia pre Windows 10 verzie 1607 a Windows Server 2016: 11. október 2016
3192441 Kumulatívna aktualizácia pre Windows 10 verzie 1511: 11. október 2016

Známe problémy v tejto aktualizácii zabezpečenia

Známy problém 1

Aktualizácie zabezpečenia poskytované v aktualizáciách MS16-101 a novších vypínajú schopnosť procesu Vyjednávať vrátiť sa späť na protokol NTLM, keď overenie protokolom Kerberos zlyhá pri operáciách zmeny hesla s kódom chyby STATUS_NO_LOGON_SERVERS (0xc000005e). V takejto situácii sa môže zobraziť niektorý z nasledujúcich kódov chyby.

Hexadecimálna sústava	Desatinná čiarka	Symbolický	Priateľské
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Systém zistil možný pokus o narušenie zabezpečenia. Uistite sa, že môžete kontaktovať server, ktorý vás overil.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Systém zistil možný pokus o narušenie zabezpečenia. Uistite sa, že môžete kontaktovať server, ktorý vás overil.

Alternatívne riešenie

Ak predchádzajúce zmeny hesiel zlyhajú po inštalácii aktualizácie MS16-101, je pravdepodobné, že zmeny hesiel predtým využívali záložné používanie protokolu NTLM, pretože protokol Kerberos zlyhal. Ak chcete úspešne zmeniť heslá pomocou protokolov Kerberos, postupujte takto:

Nakonfigurujte otvorenú komunikáciu na porte TCP 464 medzi klientmi, ktorí majú nainštalovanú aktualizáciu MS16-101, a radičom domény, ktorý spravuje obnovenie hesla.

Radiče domény iba na čítanie (RODC) môžu poskytovať samoobslužné obnovenie hesiel, ak to používateľovi povoľuje politika replikácie hesiel RODC. Používatelia, ktorých nepovoľuje politika hesiel RODC, potrebujú sieťové pripojenie k radiču domény na čítanie a zapisovanie (RWDC) v doméne používateľského konta.

Poznámka Ak chcete skontrolovať, či je otvorený port TCP 464, postupujte podľa nasledujúcich krokov:
1. Vytvorte ekvivalentný filter zobrazenia pre analyzátor monitora siete. Príklad:
  ipv4.address= <= IP adresa klienta> && tcp.port==464
2. Vo výsledkoch vyhľadajte snímok TCP:[SynReTransmit".
Skontrolujte, či sú cieľové názvy protokolu Kerberos platné. (IP adresy nie sú platné pre protokol Kerberos. Kerberos podporuje krátke názvy a úplné názvy domén.)
Skontrolujte, či sú hlavné názvy služieb (SPN) zaregistrované správne.

Ďalšie informácie nájdete v témach Kerberos a Self-Service Vytvorenie nového hesla.

Známy problém 2

Vieme o probléme, pri ktorom zlyhajú pri vytváraní programových nových hesiel používateľských kont domény a vrátia kód chyby STATUS_DOWNGRADE_DETECTED (0x800704F1), ak je očakávané zlyhanie:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (zriedkavo sa vráti)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

Nasledujúca tabuľka zobrazuje úplné priradenie chýb.

Hexadecimálna sústava	Desatinná čiarka	Symbolický	Priateľské
0x56	86	ERROR_INVALID_PASSWORD	Zadané sieťové heslo nie je správne.
0x267	615	ERROR_PWD_TOO_SHORT	Poskytnuté heslo je príliš krátke na zodpovedanie politike používateľského konta. Zadajte dlhšie heslo.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Keď sa pokúsite aktualizovať heslo, tento vrátený stav signalizuje, že hodnota, ktorá bola zadaná ako aktuálne heslo, je nesprávna.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Keď sa pokúšate aktualizovať heslo, tento vrátený stav signalizuje, že bolo porušené niektoré pravidlo aktualizácie hesla. Heslo napríklad nemusí spĺňať kritériá na dĺžku.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Systém nemôže kontaktovať radič domény, aby vyhovel žiadosti o overenie. Skúste to znova neskôr.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Systém nemôže kontaktovať radič domény, aby vyhovel žiadosti o overenie. Skúste to znova neskôr.

Riešenie

Aktualizácia MS16-101 bola opätovne vydaná na riešenie tohto problému. Problém vyriešite inštaláciou najnovšej verzie aktualizácií pre tento bulletin.

Známy problém 3

Vieme o probléme, pri ktorom môže programové resetovanie zmien hesiel lokálnych používateľských kont zlyhať a vrátiť kód chyby STATUS_DOWNGRADE_DETECTED (0x800704F1).

Nasledujúca tabuľka zobrazuje úplné priradenie chýb.

Hexadecimálna sústava	Desatinná čiarka	Symbolický	Priateľské
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Systém nemôže kontaktovať radič domény, aby vyhovel žiadosti o overenie. Skúste to znova neskôr.

Riešenie

Aktualizácia MS16-101 bola opätovne vydaná na riešenie tohto problému. Problém vyriešite inštaláciou najnovšej verzie aktualizácií pre tento bulletin.

Známy problém 4

Heslá pre zakázané a uzamknuté používateľské kontá nie je možné zmeniť pomocou balíka Negotiate.

Zmeny hesla pre zakázané a zamknuté kontá budú naďalej fungovať aj pri použití iných metód, ako je napríklad priama úprava protokolu LDAP. Napríklad rutina typu cmdSet-ADAccountPassword let prostredia PowerShell používa na zmenu hesla operáciu "Upraviť protokolom LDAP" a zostane neovplyvnená.

Alternatívne riešenie

Tieto kontá vyžadujú, aby správca vykonal nové heslá. Toto správanie je zámerné po inštalácii aktualizácie MS16-101 a novších opráv.
Známy problém 5

Aplikácie, ktoré používajú rozhranie API NetUserChangePassword a prechádzajú názvom servera v parametri domainname , už nebudú fungovať po inštalácii aktualizácie MS16-101 a novších aktualizácií.

V dokumentácii spoločnosti Microsoft sa uvádza, že poskytovanie názvu vzdialeného servera v parametri domainname funkcie NetUserChangePassword je podporované. Napríklad v téme MSDN funkcie NetUserChangePassword sa uvádza toto:

Názov domény [in]

Smerník na reťazec konštanty, ktorý určuje názov DNS alebo NetBIOS vzdialeného servera alebo domény, na ktorej sa má funkcia vykonať. Ak má tento parameter hodnotu NULL, použije sa prihlasovacia doména volajúceho. Stav

Toto usmernenie bolo nahradené aktualizáciou MS16-101, pokiaľ sa nejedná o resetovanie hesla pre lokálne konto v lokálnom počítači.

Po aktualizácii MS16-101 je na zmenu hesla používateľa domény potrebné odovzdať platný názov domény do rozhrania NetUserChangePassword API.

Známy problém 6

Po nainštalovaní aktualizácií zabezpečenia popísaných v aktualizácii MS16-101 zlyhajú vzdialené a programové zmeny hesla lokálneho používateľského konta a zmeny hesiel v nedôveryhodných doménových štruktúrach.

Táto operácia zlyhá, pretože sa spolieha na záložné nastavenie protokolu NTLM, ktoré nie je podporované pre iné ako lokálne kontá po nainštalovaní aktualizácie MS16-101.

K dispozícii je položka databázy Registry, pomocou ktorej môžete túto zmenu vypnúť.

Upozornenie: Toto riešenie môže zvýšiť zraniteľnosť počítača alebo siete voči útokom zlomyseľných používateľov alebo škodlivého softvéru, ako sú napríklad vírusy. Toto riešenie neodporúčame, ale poskytujeme tieto informácie, aby ste riešenie mohli implementovať podľa vlastného uváženia. Toto alternatívne riešenie používate na vlastné riziko.

DôležitéTáto časť, metóda alebo úloha obsahuje kroky, z ktorých sa dozviete, ako upraviť databázu Registry. V prípade nesprávnej úpravy databázy Registry sa však môžu vyskytnúť vážne problémy. Preto postup podľa týchto krokov vykonávajte opatrne. Na zvýšenie bezpečnosti si databázu Registry pred vykonaním úprav zálohujte. V prípade výskytu problému tak potom môžete databázu Registry obnoviť. Ďalšie informácie o zálohovaní a obnovení databázy Registry sa nachádzajú v nasledujúcom článku databázy Microsoft Knowledge Base:
322756 Zálohovanie a obnovovanie databázy Registry v systéme Windows

Ak chcete túto zmenu vypnúť, nastavte položku DWORD NegoAllowNtlmPwdChangeFallback na hodnotu 1 (jeden).

Dôležité Nastavením položky databázy Registry NegoAllowNtlmPwdChangeFallback na hodnotu 1 sa táto oprava zabezpečenia vypne:

Hodnota databázy Registry	Popis
0	Predvolená hodnota. Nie je možné zabrániť zálohovaniu.
1	Záložné informácie sú vždy povolené. Oprava zabezpečenia je vypnutá. Zákazníci, ktorí majú problémy so vzdialenými lokálnymi kontami alebo nedôveryhodnými doménovými štruktúrami, môžu databázu Registry nastaviť na túto hodnotu.

Ak chcete pridať tieto hodnoty databázy Registry, postupujte podľa nasledujúcich krokov:

Kliknite na tlačidlo Štart, kliknite na položku Spustiť, do poľa Otvoriť zadajte príkaz regedit a potom kliknite na tlačidlo OK.
Vyhľadajte v databáze Registry nasledujúci podkľúč a kliknite naň:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
V ponuke Upraviť ukážte na položku Nové a potom kliknite na položku Hodnota DWORD.
Ako názov hodnoty DWORD zadajte NegoAllowNtlmPwdChangeFallback a potom stlačte kláves ENTER.
Kliknite pravým tlačidlom myši na položku NegoAllowNtlmPwdChangeFallback a potom kliknite na položku Upraviť.
Zadaním hodnoty 1 do poľa Údaje hodnôt vypnite túto zmenu a potom kliknite na tlačidlo OK.

Poznámka Ak chcete obnoviť predvolenú hodnotu, zadajte hodnotu 0 (nula) a potom kliknite na tlačidlo OK.

Stav

Hlavná príčina tohto problému je známa. Tento článok bude aktualizovaný o ďalšie podrobnosti, keď budú k dispozícii.

Ako získať a nainštalovať aktualizáciu

Spôsob 1: Windows Update

Táto aktualizácia je k dispozícii prostredníctvom služby Windows Update. Keď zapnete automatickú aktualizáciu, táto aktualizácia sa stiahne a nainštaluje automaticky. Ďalšie informácie o tom, ako zapnúť automatické aktualizácie, nájdete v téme
Získajte aktualizácie zabezpečenia automaticky.

Spôsob 2: Katalóg služby Microsoft Update

Ak máte záujem o samostatný balík s touto aktualizáciou, prejdite na webovú lokalitu Katalóg služby Microsoft Update.

Postup 3: Centrum sťahovania softvéru spoločnosti Microsoft

Samostatný balík aktualizácie môžete získať z Centra sťahovania softvéru. Podľa pokynov na inštaláciu nainštalovanej aktualizácie na stránke sťahovania.

Kliknite na prepojenie stiahnuť v bulletine o zabezpečení od spoločnosti Microsoft MS16-101 , ktorý zodpovedá verzii systému Windows, ktorú používate.

Ďalšie informácie

Informácie o nasadení aktualizácie zabezpečenia

Windows Vista (všetky vydania)Referenčná tabuľka