MS16-101: varnostna posodobitev za načine preverjanja pristnosti sistema Windows: avgust 9, 2016

Velja za

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Pomembno V tem članku so informacije, ki prikazujejo, kako zmanjšate varnostne nastavitve ali kako izklopite varnostne funkcije v računalniku. S temi spremembami se lahko izognete določeni težavi. Preden izvedete te spremembe, priporočamo, da ocenite tveganja, povezana z uvedbo te nadomestne rešitve v vašem okolju. Če izvedete to rešitev, izvedite ustrezne dodatne korake za zaščito računalnika.

Povzetek

Ta varnostna posodobitev odpravlja več ranljivosti v sistemu Microsoft Windows. Ranljivosti lahko omogočijo dvig privilegijev, če napadalec zažene posebej izdelano aplikacijo v sistemu, ki je povezan z domeno.

Če želite izvedeti več o ranljivosti, glejte Microsoftov varnostni bilten MS16-101.

Več informacij

Pomembno

Vse prihodnje varnostne posodobitve in posodobitve, ki niso varnostne za Windows 8.1 in Windows Server 2012 R2, zahtevajo namestitev 2919355 posodobitev. Priporočamo, da namestite 2919355 posodobitev v računalnik s sistemom Windows 8.1 ali Windows Server 2012 R2, da boste lahko prejemali prihodnje posodobitve.
Če po namestitvi te posodobitve namestite jezikovni paket, morate znova namestiti to posodobitev. Zato priporočamo, da pred namestitvijo te posodobitve namestite vse jezikovne pakete, ki jih potrebujete. Če želite več informacij, glejte Dodajanje jezikovnih paketov v sistem Windows.

Popravki, ki niso povezani z varnostjo in so vključeni v to varnostno posodobitev

Ta varnostna posodobitev odpravlja tudi te težave, ki niso povezane z varnostjo:

Če se v datotečnem strežniku SoFS, ki je pridružen domeni, v gruči brez domene, odjemalec SMB, v katerem je nameščen sistem Windows 8.1 ali Windows Server 2012 R2, poveže z vozliščem, ki ne deluje, preverjanje pristnosti ne uspe. Ko pride do te težave, se lahko prikaže sporočilo o napaki, ki je podobno temu sporočilu:

Opomba

STATUS_NO_TGT_REPLY

Dodatne informacije o tej varnostni posodobitvi

V spodnjih člankih so dodatne informacije o tej varnostni posodobitvi, ki se nanašajo na posamezne različice izdelkov. Članki lahko vsebujejo znane informacije o težavah.

3177108 MS16-101: opis varnostne posodobitve za načine preverjanja pristnosti sistema Windows: avgust 9, 2016
3167679 MS16-101: opis varnostne posodobitve za načine preverjanja pristnosti sistema Windows: avgust 9, 2016
3192392 oktober 2016 samo varnostna posodobitev kakovosti za Windows 8.1 in Windows Server 2012 R2
3185331 oktober 2016 mesečni paket kakovosti varnosti za Windows 8.1 in Windows Server 2012 R2
3192393 oktober 2016 – samo varnostna posodobitev kakovosti za Windows Server 2012
3185332 oktober 2016 – mesečni paket kakovosti varnosti za Windows Server 2012
3192391 oktober 2016 – samo varnostna posodobitev kakovosti za Windows 7 s servisnim paketom SP1 in Windows Server 2008 R2 s servisnim paketom SP1
3185330 oktober 2016 – mesečni paket varnostne kakovosti za Windows 7 s servisnim paketom SP1 in Windows Server 2008 R2 s servisnim paketom SP1
3192440 Zbirna posodobitev za Windows 10: oktober 11, 2016
3194798 Zbirna posodobitev za različico 1607 Windows 10 in Windows Server 2016: oktober 11, 2016
3192441 Zbirna posodobitev za Windows 10 različico 1511: oktober 11, 2016

Varnostne posodobitve, ki so nadomeščeneZamenjane so bile te varnostne posodobitve:

3176492 Zbirna posodobitev za Windows 10: avgust 9, 2016
3176493 Zbirna posodobitev za Windows 10 različico 1511: avgust 9, 2016
3176495 Zbirna posodobitev za Windows 10 različico 1607: avgust 9, 2016

Spodaj so navedene nove varnostne posodobitve, ki nadomeščajo prej omenjene varnostne posodobitve:

3192440 Zbirna posodobitev za Windows 10: oktober 11, 2016
3194798 Zbirna posodobitev za različico 1607 Windows 10 in Windows Server 2016: oktober 11, 2016
3192441 Zbirna posodobitev za Windows 10 različico 1511: oktober 11, 2016

Znane težave v tej varnostni posodobitvi

Znana težava 1

Varnostne posodobitve, ki so na voljo v MS16-101 in novejših posodobitvah, onemogočijo možnost postopka pogajanja, da se vrne na NTLM, ko preverjanje pristnosti Kerberos ne uspe za postopke spreminjanja gesla s kodo napake STATUS_NO_LOGON_SERVERS (0xc000005e). V tem primeru se lahko prikaže ena od teh kod napak.

Šestnajstiška	Decimalno	Simbolično	Prijazen
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Sistem je zaznal možen poskus ogrožanja varnosti. Prepričajte se, da se lahko obrnete na strežnik, ki vas je preveril.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem je zaznal možen poskus ogrožanja varnosti. Prepričajte se, da se lahko obrnete na strežnik, ki vas je preveril.

Rešitev

Če spremembe gesla, ki so bile prej uspešne, po namestitvi MS16-101 ne uspejo, je verjetno, da so se spremembe gesla prej zanašale na nadomestno delovanje protokola NTLM, ker Kerberos ni uspel. Če želite gesla uspešno spremeniti s protokoli Kerberos, sledite tem korakom:

Konfigurirajte odprto komunikacijo na vratih TCP 464 med odjemalci, ki imajo nameščeno posodobitev MS16-101, in krmilnikom domene, ki servisira ponastavitev gesla.

Krmilniki domene samo za branje (RODC) lahko servisirajo samopostrežne ponastavitve gesel, če to uporabniku dovoljuje pravilnik o replikaciji gesel RODC-ja. Uporabniki, ki jim pravilnik gesel RODC ne dovoljuje, potrebujejo omrežno povezljivost s krmilnikom domene za branje/pisanje (RWDC) v domeni uporabniškega računa.

Opomba Če želite preveriti, ali so vrata TCP 464 odprta, sledite tem korakom:
1. Ustvarite enakovreden filter zaslona za razčlenjevalnik omrežnega monitorja. Primer:
  IPv4.address= <= Naslov IP odjemalca> && TCP.port==464
2. V rezultatih poiščite okvir »TCP:[SynReTransmit«.
Prepričajte se, da so ciljna imena Kerberos veljavna. (Naslovi IP niso veljavni za protokol Kerberos. Kerberos podpira kratka imena in popolnoma kvalificirana domenska imena.)
Prepričajte se, da so glavna imena storitve pravilno registrirana.

Če želite več informacij, glejte Kerberos in Self-Service ponastavitev gesla.

Znana težava 2

Vemo za težavo, pri kateri programske ponastavitve gesla uporabniških računov domene ne uspejo in vrnejo kodo napake STATUS_DOWNGRADE_DETECTED (0x800704F1), če je pričakovana napaka ena od naslednjih:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (redko vrnjeno)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

V spodnji tabeli je prikazana popolna preslikava napak.

Šestnajstiška	Decimalno	Simbolično	Prijazen
0x56	86	ERROR_INVALID_PASSWORD	Navedeno omrežno geslo ni pravilno.
0x267	615	ERROR_PWD_TOO_SHORT	Geslo je prekratko, da bi ustrezalo pravilniku vašega uporabniškega računa. Prosimo, navedite daljše geslo.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Ko poskušate posodobiti geslo, to vrnjeno stanje pomeni, da vrednost, ki ste jo podali kot trenutno geslo, ni pravilna.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Ko poskušate posodobiti geslo, to stanje vrnitve pomeni, da je bilo kršeno neko pravilo posodobitve gesla. Geslo na primer morda ne izpolnjuje pogojev dolžine.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Sistem ne more vzpostaviti stika s krmilnikom domene za obravnavo zahteve za preverjanje pristnosti. Poskusite znova pozneje.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Sistem ne more vzpostaviti stika s krmilnikom domene za obravnavo zahteve za preverjanje pristnosti. Poskusite znova pozneje.

Rešitev

Posodobitev MS16-101 je bila ponovno izdana za odpravljanje te težave. Če želite odpraviti to težavo, namestite najnovejšo različico posodobitev za ta bilten.

Znana težava 3

Poznamo težavo, pri kateri programske ponastavitve sprememb gesla lokalnega uporabniškega računa ne uspejo in vrnejo kodo napake STATUS_DOWNGRADE_DETECTED (0x800704F1).

V spodnji tabeli je prikazana celotna preslikava napak.

Šestnajstiška oblika	Decimalno	Simbolično	Prijazen
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem ne more vzpostaviti stika s krmilnikom domene za obravnavo zahteve za preverjanje pristnosti. Poskusite znova pozneje.

Rešitev

Posodobitev MS16-101 je bila ponovno izdana za odpravljanje te težave. Če želite odpraviti to težavo, namestite najnovejšo različico posodobitev za ta bilten.

Znana težava 4

Gesel za onemogočene in zaklenjene uporabniške račune ni mogoče spremeniti s paketom »negotiate«.

Spremembe gesla za onemogočene in zaklenjene račune bodo še vedno delovale na druge načine, na primer pri neposredni uporabi postopka spreminjanja protokola LDAP. Na primer ukaz cmdlet ogrodja PowerShell, Set-ADAccountPassword uporablja postopek »LDAP Modify« za spreminjanje gesla, vendar ostane nespremenjen.

Rešitev

Geslo mora za te račune ponastaviti skrbnik. To delovanje je privzeto po namestitvi posodobitve MS16-101 in novejših popravkov.
Znana težava 5

Aplikacije, ki uporabljajo API NetUserChangePassword in posredujejo ime strežnika v parametru domainname , po namestitvi posodobitve MS16-101 in novejših posodobitev ne bodo več delovale.

V Microsoftovi dokumentaciji je navedeno, da je vnos imena oddaljenega strežnika v parameter domainname funkcije NetUserChangePassword podprt. V funkciji NetUserChangePassword na primer v temi MSDN je navedeno to:

Ime domene [v]

Kazalec na niz konstante, ki določa ime DNS ali NetBIOS oddaljenega strežnika ali domene, v kateri naj se izvaja funkcija. Če je vrednost tega parametra NULL, je uporabljena prijavna domena klicatelja. Stanje

Ta navodila je bila zamenjana z varnostno posodobitvijo MS16-101, razen če je ponastavitev gesla za lokalni račun v lokalnem računalniku.

Če želite omogočiti uspešno spreminjanje gesla uporabnika domene po posodobitvi MS16-101, morate v API NetUserChangePassword posredovati veljavno ime domene DNS.

Znana težava 6

Ko namestite varnostne posodobitve, ki so opisane v varnostni posodobitvi MS16-101, oddaljene, programske spremembe gesla lokalnega uporabniškega računa in spremembe gesel v gozdu, ki ni vreden zaupanja, ne uspejo.

Ta postopek ne uspe, ker postopek temelji na rezervnem ukrepu NTLM, ki ni več podprt za nelokalne račune po namestitvi posodobitve MS16-101.

Na voljo je vnos v registru, s katerim lahko onemogočite to spremembo.

Opozorilo Če boste uporabili to rešitev, bosta računalnik in omrežje verjetno še bolj izpostavljena napadom zlonamernih uporabnikov ali zlonamerne programske opreme, kot so virusi. Te nadomestne rešitve ne priporočamo, vendar vam te informacije posredujemo, da jo lahko uporabite, če želite. To rešitev uporabite na lastno odgovornost.

PomembnoTa razdelek, metoda ali opravilo vsebuje korake, v katerih je opisano, kako spremenite register. Toda če naredite napako pri spreminjanju registra, lahko pride do resnih težav. Pozorno upoštevajte navodila. Za dodatno varnost pred spreminjanjem registra naredite varnostno kopijo registra. Če pride do težave, lahko register obnovite. Če želite več informacij o varnostnem kopiranju in obnavljanju registra, kliknite to številko članka iz Microsoftove zbirke znanja:
322756 Kako varnostno kopirati in obnoviti register v sistemu Windows

Če želite onemogočiti to spremembo, nastavite vnos »NegoAllowNtlmPwdChangeFallback DWORD« tako, da uporablja vrednost 1 (ena).

Pomembno: Nastavitev registrskega vnosa »NegoAllowNtlmPwdChangeFallback« na vrednost 1 onemogoči ta varnostni popravek:

Vrednosti registra	Opis
0	Privzeta vrednost. Rezervni ukrep je preprečen.
1	Rezervni ukrepi so vedno dovoljeni. Varnostni popravek je izklopljen. Stranke, ki imajo težave z oddaljenimi lokalnimi računi ali scenariji, ki niso zaupanja vredni, lahko register nastavijo na to vrednost.

Če želite dodati te vrednosti registra, upoštevajte ta navodila:

Kliknite Start in nato Zaženi. V polje Odpri vnesite regedit in kliknite V redu.
Poiščite in nato kliknite ta podključ v registru:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
V meniju Uredi pokažite na Novo in kliknite Vrednost DWORD.
Vnesite »NegoAllowNtlmPwdChangeFallback« za ime podatkovnega tipa DWORD in pritisnite tipko ENTER.
Z desno tipko miške kliknite »NegoAllowNtlmPwdChangeFallback« in nato kliknite »Spremeni«.
V polje » Podatki o vrednosti « vnesite 1, da onemogočite to spremembo, in nato kliknite »V redu«.

Opomba Če želite obnoviti privzeto vrednost, vnesite 0 (nič) in nato kliknite »V redu«.

Stanje

Temeljni vzrok te težave je razumljiv. Ta članek bo posodobljen z dodatnimi podrobnostmi, ko bodo na voljo.

Kako pridobiti in namestiti posodobitev

1. način: Windows Update

Ta posodobitev je na voljo prek storitve Windows Update. Ko vklopite samodejno posodabljanje, se ta posodobitev samodejno prenese in namesti. Če želite več informacij o tem, kako vklopite samodejno posodabljanje, glejte
Samodejno prenesite varnostne posodobitve.

2. način: Katalog Microsoft Update

Če želite pridobiti samostojni paket za to posodobitev, obiščite spletno mesto Katalog Microsoft Update.

3. način: Microsoftov center za prenose

Samostojni paket posodobitev lahko dobite prek Microsoftovega centra za prenose. Če želite namestiti posodobitev, sledite navodilom za namestitev na strani za prenos.

Kliknite povezavo za prenos v Microsoftovem varnostnem biltenu MS16-101 , ki ustreza različici sistema Windows, ki jo uporabljate.

Več informacij

Informacije o uvajanju varnostnih posodobitev

Windows Vista (vse izdaje)Referenčna tabela