Zbirna posodobitev za Windows 10: avgust 9, 2016

Velja za
Windows 10

Pomembno V tem članku so informacije, ki prikazujejo, kako zmanjšate varnostne nastavitve ali kako izklopite varnostne funkcije v računalniku. S temi spremembami se lahko izognete določeni težavi. Preden izvedete te spremembe, priporočamo, da ocenite tveganja, povezana z uvedbo te nadomestne rešitve v vašem okolju. Če izvedete to rešitev, izvedite ustrezne dodatne korake za zaščito računalnika.

Povzetek

Ta varnostna posodobitev vključuje izboljšave in popravke funkcionalnosti sistema Windows 10. Odpravlja tudi te ranljivosti v sistemu Windows:

  • 3177356 MS16-095: zbirna varnostna posodobitev za Internet Explorer: avgust 9, 2016
  • 3177358 MS16-096: zbirna varnostna posodobitev za Microsoft Edge: avgust 9, 2016
  • 3177393 MS16-097: Varnostna posodobitev za Microsoftovo grafično komponento: avgust 9, 2016
  • 3178466 MS16-098: Varnostna posodobitev za gonilnike jedrnega načina: avgust 9, 2016
  • 3178465 MS16-101: Varnostna posodobitev za načine preverjanja pristnosti sistema Windows: avgust 9, 2016
  • 3182248 MS16-102: Varnostna posodobitev za knjižnico PDF sistema Microsoft Windows: avgust 9, 2016
  • 3182332 MS16-103: varnostna posodobitev za ActiveSyncProvider: avgust 9, 2016

Posodobitve sistema Windows 10 so zbirne. Zato ta paket vsebuje vse predhodno izdane popravke.

Če ste namestili starejše posodobitve, bodo v računalnik preneseni in nameščeni le novi popravki, ki jih vsebuje ta paket. Če prvič nameščate paket posodobitev za Windows 10, je paket za različico x86 366 MB, paket za različico x64 pa 776 MB.

Več informacij

Znane težave v tej varnostni posodobitvi

  • Znana težava 1

    Varnostne posodobitve, ki so na voljo v MS16-101 in novejših posodobitvah, onemogočijo možnost postopka pogajanja, da se vrne na NTLM, ko preverjanje pristnosti Kerberos ne uspe za postopke spreminjanja gesla s kodo napake STATUS_NO_LOGON_SERVERS (0xc000005e). V tem primeru se lahko prikaže ena od teh kod napak.

    Šestnajstiška Decimalno Simbolično Prijazen
    0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Sistem je zaznal možen poskus ogrožanja varnosti. Prepričajte se, da se lahko obrnete na strežnik, ki vas je preveril.
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Sistem je zaznal možen poskus ogrožanja varnosti. Prepričajte se, da se lahko obrnete na strežnik, ki vas je preveril.

    Rešitev

    Če spremembe gesla, ki so bile prej uspešne, po namestitvi MS16-101 ne uspejo, je verjetno, da so se spremembe gesla prej zanašale na nadomestno delovanje protokola NTLM, ker Kerberos ni uspel. Če želite gesla uspešno spremeniti s protokoli Kerberos, sledite tem korakom:

    1. Konfigurirajte odprto komunikacijo na vratih TCP 464 med odjemalci, ki imajo nameščeno posodobitev MS16-101, in krmilnikom domene, ki servisira ponastavitev gesla.

      Krmilniki domene samo za branje (RODC) lahko servisirajo samopostrežne ponastavitve gesel, če to uporabniku dovoljuje pravilnik o replikaciji gesel RODC-ja. Uporabniki, ki jim pravilnik gesel RODC ne dovoljuje, potrebujejo omrežno povezljivost s krmilnikom domene za branje/pisanje (RWDC) v domeni uporabniškega računa.

      Opomba Če želite preveriti, ali so vrata TCP 464 odprta, sledite tem korakom:

      1. Ustvarite enakovreden filter zaslona za razčlenjevalnik omrežnega monitorja. Primer:

         

        IPv4.address= <= Naslov IP odjemalca> && TCP.port==464

      2. V rezultatih poiščite okvir »TCP:[SynReTransmit«.

        Povzetek okvirja

    2. Prepričajte se, da so ciljna imena Kerberos veljavna. (Naslovi IP niso veljavni za protokol Kerberos. Kerberos podpira kratka imena in popolnoma kvalificirana domenska imena.)

    3. Prepričajte se, da so glavna imena storitve pravilno registrirana.

      Če želite več informacij, glejte Kerberos in Self-Service ponastavitev gesla.

  • Znana težava 2

    Vemo za težavo, pri kateri programske ponastavitve gesla uporabniških računov domene ne uspejo in vrnejo kodo napake STATUS_DOWNGRADE_DETECTED (0x800704F1), če je pričakovana napaka ena od naslednjih:

    • ERROR_INVALID_PASSWORD
    • ERROR_PWD_TOO_SHORT (redko vrnjeno)
    • STATUS_WRONG_PASSWORD
    • STATUS_PASSWORD_RESTRICTION

    V spodnji tabeli je prikazana popolna preslikava napak.

    Šestnajstiška Decimalno Simbolično Prijazen
    0x56 86 ERROR_INVALID_PASSWORD Navedeno omrežno geslo ni pravilno.
    0x267 615 ERROR_PWD_TOO_SHORT Geslo je prekratko, da bi ustrezalo pravilniku vašega uporabniškega računa. Prosimo, navedite daljše geslo.
    0xc000006a -1073741718 STATUS_WRONG_PASSWORD Ko poskušate posodobiti geslo, to vrnjeno stanje pomeni, da vrednost, ki je bila vnesena kot trenutno geslo, ni pravilna.
    0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Ko poskušate posodobiti geslo, to stanje vrnitve pomeni, da je bilo kršeno neko pravilo za posodabljanje gesla. Geslo na primer morda ne izpolnjuje meril dolžine.
    0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Sistem ne more vzpostaviti stika s krmilnikom domene, da bi izpolnil zahtevo za preverjanje pristnosti. Poskusite znova pozneje.
    0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Sistem ne more vzpostaviti stika s krmilnikom domene, da bi izpolnil zahtevo za preverjanje pristnosti. Poskusite znova pozneje.

     Rešitev

    MS16-101 je bil znova izdan za odpravo te težave. Če želite odpraviti to težavo, namestite najnovejšo različico posodobitev za ta bilten.

  • Znana težava 3

    Vemo za težavo, pri kateri programske ponastavitve sprememb gesla lokalnega uporabniškega računa morda ne uspejo in vrnejo kodo napake STATUS_DOWNGRADE_DETECTED (0x800704F1).

    V spodnji tabeli je prikazana celotna preslikava napak.

    Šestnajstiška oblika Decimalno Simbolično Prijazen
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED Sistem ne more vzpostaviti stika s krmilnikom domene za obravnavo zahteve za preverjanje pristnosti. Poskusite znova pozneje.

     Rešitev

    Posodobitev MS16-101 je bila ponovno izdana za odpravljanje te težave. Če želite odpraviti to težavo, namestite najnovejšo različico posodobitev za ta bilten.

  • Znana težava 4

    Gesel za onemogočene in zaklenjene uporabniške račune ni mogoče spremeniti s paketom »negotiate«.

    Spremembe gesla za onemogočene in zaklenjene račune bodo še vedno delovale na druge načine, na primer pri neposredni uporabi postopka spreminjanja protokola LDAP. Na primer ukaz cmdlet ogrodja PowerShell, Set-ADAccountPassword uporablja postopek »LDAP Modify« za spreminjanje gesla, vendar ostane nespremenjen.

    Rešitev

    Geslo mora za te račune ponastaviti skrbnik. To delovanje je privzeto po namestitvi posodobitve MS16-101 in novejših popravkov.

  • Znana težava 5

    Aplikacije, ki uporabljajo API NetUserChangePassword in posredujejo ime strežnika v parametru domainname , po namestitvi posodobitve MS16-101 in novejših posodobitev ne bodo več delovale.

    V Microsoftovi dokumentaciji je navedeno, da je vnos imena oddaljenega strežnika v parameter domainname funkcije NetUserChangePassword podprt. V funkciji NetUserChangePassword na primer v temi MSDN je navedeno to:

    Ime domene [v]
    Kazalec na niz konstante, ki določa ime DNS ali NetBIOS oddaljenega strežnika ali domene, v kateri naj se izvaja funkcija. Če je vrednost tega parametra NULL, je uporabljena prijavna domena klicatelja. Vendar pa je ta navodila nadomestila varnostna posodobitev MS16-101, razen če je ponastavitev gesla za lokalni račun v lokalnem računalniku. Če želite omogočiti uspešno spreminjanje gesla uporabnika domene po posodobitvi MS16-101, morate v API NetUserChangePassword posredovati veljavno ime domene DNS.

  • Znana težava 6

    Ko uporabite to varnostno posodobitev in nato natisnete več dokumentov zaporedoma, sta lahko prva dva dokumenta uspešno natisnjena, tretji in naslednji dokumenti pa ne bodo natisnjeni.

    Če želite odpraviti to težavo, naredite nekaj od tega:

    • Namestite posodobitev 3187022. Če želite več informacij, kliknite to številko članka za ogled člankov iz Microsoftove zbirke znanja:
      3187022 Funkcija tiskanja je po namestitvi katere koli varnostne posodobitve MS16-098 okvarjena
    • Namestite 3186987 posodobitev s spletnega mesta Katalog Microsoft Update .

    Ta težava je odpravljena tudi v Microsoftovem varnostnem biltenu MS16-106.

  • Znana težava 7

    Ko namestite varnostne posodobitve, ki so opisane v varnostni posodobitvi MS16-101, oddaljene, programske spremembe gesla lokalnega uporabniškega računa in spremembe gesel v gozdu, ki ni vreden zaupanja, ne uspejo.

    Ta postopek ne uspe, ker postopek temelji na rezervnem ukrepu NTLM, ki ni več podprt za nelokalne račune po namestitvi posodobitve MS16-101.

    Na voljo je vnos v registru, s katerim lahko onemogočite to spremembo.

    Opozorilo Če boste uporabili to rešitev, bosta računalnik in omrežje verjetno še bolj izpostavljena napadom zlonamernih uporabnikov ali zlonamerne programske opreme, kot so virusi. Te nadomestne rešitve ne priporočamo, vendar vam te informacije posredujemo, da jo lahko uporabite, če želite. To rešitev uporabite na lastno odgovornost.

    PomembnoTa razdelek, metoda ali opravilo vsebuje korake, v katerih je opisano, kako spremenite register. Toda če naredite napako pri spreminjanju registra, lahko pride do resnih težav. Pozorno upoštevajte navodila. Za dodatno varnost pred spreminjanjem registra naredite varnostno kopijo registra. Če pride do težave, lahko register obnovite. Če želite več informacij o varnostnem kopiranju in obnavljanju registra, kliknite to številko članka iz Microsoftove zbirke znanja:
    322756 Kako varnostno kopirati in obnoviti register v sistemu Windows

    Če želite onemogočiti to spremembo, nastavite vnos »NegoAllowNtlmPwdChangeFallback DWORD« tako, da uporablja vrednost 1 (ena).

    Pomembno: Nastavitev registrskega vnosa »NegoAllowNtlmPwdChangeFallback« na vrednost 1 onemogoči ta varnostni popravek:

    Vrednosti registra Opis
    0 Privzeta vrednost. Rezervni ukrep je preprečen.
    1 Rezervni ukrepi so vedno dovoljeni. Varnostni popravek je izklopljen. Stranke, ki imajo težave z oddaljenimi lokalnimi računi ali scenariji, ki niso zaupanja vredni, lahko register nastavijo na to vrednost.

    Če želite dodati te vrednosti registra, upoštevajte ta navodila:

    1. Kliknite Start in nato Zaženi. V polje Odpri vnesite regedit in kliknite V redu.

    2. Poiščite in nato kliknite ta podključ v registru:
      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

    3. V meniju Uredi pokažite na Novo in kliknite Vrednost DWORD.

    4. Vnesite »NegoAllowNtlmPwdChangeFallback« za ime podatkovnega tipa DWORD in pritisnite tipko ENTER.

    5. Z desno tipko miške kliknite »NegoAllowNtlmPwdChangeFallback« in nato kliknite »Spremeni«.

    6. V polje » Podatki o vrednosti « vnesite 1, da onemogočite to spremembo, in nato kliknite »V redu«.

      Opomba Če želite obnoviti privzeto vrednost, vnesite 0 (nič) in nato kliknite »V redu«.

    Stanje

    Temeljni vzrok te težave je razumljiv. Ta članek bo posodobljen z dodatnimi podrobnostmi, ko bodo na voljo.

Kako pridobiti to posodobitev

Pomembno Če namestite jezikovni paket po namestitvi te posodobitve, morate znova namestiti to posodobitev. Zato priporočamo, da pred namestitvijo te posodobitve namestite vse jezikovne pakete, ki jih potrebujete. Če želite več informacij, glejte Dodajanje jezikovnih paketov v sistem Windows.

1. način: Windows Update

Ta posodobitev bo samodejno prenesena in nameščena.

2. način: Katalog Microsoft Update

Če želite pridobiti samostojni paket za to posodobitev, obiščite spletno mesto Katalog Microsoft Update.

Pogoji

Za namestitev te posodobitve ni predpogojev.

Podatki o vnovičnem zagonu

Ko uporabite to posodobitev, morate znova zagnati računalnik.

Informacije o zamenjavi posodobitve

Ta posodobitev nadomesti predhodno izdano 3163912 posodobitev.
 

Informacije o datotekah

Če si želite ogledati seznam datotek, vključenih v to zbirno posodobitev, prenesite informacije o datotekah za zbirno posodobitev 3176492.

Sklici

Preberite več o terminologiji, ki jo Microsoft uporablja za opisovanje posodobitev programske opreme.