8 พฤศจิกายน 2022—KB5020009 (ชุดรวมอัปเดตรายเดือน)

นำไปใช้กับ

Windows Server 2012 Windows Embedded 8 Standard

บทสรุป

เรียนรู้เพิ่มเติมเกี่ยวกับการอัปเดตความปลอดภัยแบบสะสมนี้ รวมถึงการปรับปรุง ปัญหาอันเป็นที่ทราบ และวิธีรับการอัปเดต

หมายเหตุ

เตือนความจํา Windows Server 2012 ได้สิ้นสุดการสนับสนุนหลักตามปกติแล้วและขณะนี้อยู่ในการสนับสนุนที่ขยายเวลา ตั้งแต่เดือนกรกฎาคม 2020 จะไม่มีการเผยแพร่ที่เป็นทางเลือก (ที่เรียกว่าการเผยแพร่ "C" หรือ "D") สําหรับระบบปฏิบัติการนี้อีกต่อไป ระบบปฏิบัติการในการสนับสนุนที่ขยายเวลาจะมีการอัปเดตความปลอดภัยรายเดือนแบบสะสมเท่านั้น (เรียกว่า "B" หรือการเผยแพร่การอัปเดตในวันอังคาร)
ตรวจสอบว่าคุณได้ติดตั้งการอัปเดตที่จําเป็นที่ระบุไว้ในส่วน วิธีรับการอัปเดตนี้ ก่อนที่จะติดตั้งการอัปเดตนี้

หมายเหตุ

สําหรับข้อมูลเกี่ยวกับอัปเดตประเภทต่างๆ ของ Windows เช่น การอัปเดตที่สําคัญ การอัปเดตความปลอดภัย โปรแกรมควบคุม, Service Pack ฯลฯ โปรดดู บทความต่อไปนี้ เมื่อต้องการดูบันทึกย่อและข้อความอื่นๆ ให้ดูโฮมเพจประวัติการอัปเดต Windows Server 2012

การปรับปรุง

การอัปเดตความปลอดภัยแบบสะสมนี้มีการปรับปรุงซึ่งเป็นส่วนหนึ่งของการอัปเดต KB5017370 (เผยแพร่วันที่ 11 ตุลาคม 2022) และรวมถึงการเปลี่ยนแปลงที่สําคัญสําหรับรายการต่อไปนี้:

แก้ไขปัญหาการรับรองความถูกต้องแบบ Distributed Component Object Model (DCOM) เพื่อเพิ่มระดับการรับรองความถูกต้องสําหรับคําขอเปิดใช้งานที่ไม่ระบุชื่อทั้งหมดจากไคลเอ็นต์ DCOM โดยอัตโนมัติ ปัญหานี้จะเกิดขึ้นหากระดับการรับรองความถูกต้องน้อยกว่า RPC_C_AUTHN_LEVEL_PKT_INTEGRITY
Updates daylight-saving time (DST) สําหรับจอร์แดนเพื่อป้องกันไม่ให้ย้ายนาฬิกาย้อนกลับไป 1 ชั่วโมงในวันที่ 28 ตุลาคม 2022 นอกจากนี้ เปลี่ยนชื่อที่แสดงของเวลามาตรฐานจอร์แดนจาก "(UTC+02:00) อัมมาน" เป็น "(UTC+03:00) อัมมาน"
แก้ไขปัญหาที่ Microsoft Azure Active Directory (AAD) พร็อกซีแอปพลิเคชัน Connector ไม่สามารถเรียกใช้ตั๋ว Kerberos ในนามของผู้ใช้ เนื่องจากข้อผิดพลาดทั่วไปของ API ต่อไปนี้: "การจัดการที่ระบุไม่ถูกต้อง (0x80090301)"
แก้ไขปัญหาที่หลังจากติดตั้งการอัปเดตของวันที่ 11 มกราคม 2022 หรือใหม่กว่า กระบวนการสร้าง Forest Trust ไม่สามารถเติมคําต่อท้ายชื่อ DNS ลงในแอตทริบิวต์ข้อมูลความเชื่อถือได้
แก้ไขช่องโหว่ด้านความปลอดภัยในโพรโทคอล Kerberos และ Netlogon ตามที่ระบุไว้ใน CVE-2022-38023, CVE-2022-37966 และ CVE-2022-37967 สําหรับคําแนะนําในการปรับใช้ ให้ดูบทความต่อไปนี้:
สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่แก้ไขแล้ว โปรดดู การปรับใช้ | คู่มือการอัปเดตความปลอดภัยและ Security Updates เดือนพฤศจิกายน 2022

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่แก้ไขแล้ว โปรดดู การปรับใช้ | คู่มือการอัปเดตความปลอดภัยและ Security Updates เดือนพฤศจิกายน 2022

ปัญหาที่ทราบแล้วในการอัปเดตนี้

อาการ	ขั้นตอนต่อไป
หลังจากการอัปเดตนี้หรือติดตั้ง Windows Update ที่ใหม่กว่า การดําเนินการเข้าร่วมโดเมนอาจไม่สําเร็จและข้อผิดพลาด "0xaac (2732): NERR_AccountReuseBlockedByPolicy" เกิดขึ้น นอกจากนี้ ข้อความที่ระบุว่า "มีบัญชีที่มีชื่อเดียวกันใน Active Directory "Reusing the account was blocked by security policy" อาจแสดงขึ้น สถานการณ์ที่ได้รับผลกระทบ รวมถึงการดําเนินการเข้าร่วมโดเมนหรือการดําเนินการสร้างอิมเมจใหม่บางโดเมนที่บัญชีคอมพิวเตอร์ถูกสร้างหรือกําหนดขั้นล่วงหน้าด้วยข้อมูลประจําตัวที่แตกต่างจากข้อมูลประจําตัวที่ใช้ในการเข้าร่วมหรือเข้าร่วมคอมพิวเตอร์กับโดเมนอีกครั้ง สําหรับข้อมูลเพิ่มเติมเกี่ยวกับปัญหานี้ ให้ดู KB5020276—Netjoin: การเปลี่ยนแปลงการเสริมความแข็งแกร่งในการเข้าร่วมโดเมน หมายเหตุ Windows รุ่น Consumer Desktop ไม่น่าจะประสบปัญหานี้	โปรดดู KB5020276 สําหรับคําแนะนําเกี่ยวกับปัญหานี้
หลังจากติดตั้งการอัปเดต Windows ที่เผยแพร่ในวันที่ 8 พฤศจิกายน 2022 หรือหลังจากนั้นบนเซิร์ฟเวอร์ Windows ที่ใช้บทบาทตัวควบคุมโดเมน คุณอาจพบปัญหาเกี่ยวกับการรับรองความถูกต้องด้วย Kerberos ปัญหานี้อาจส่งผลกระทบต่อการรับรองความถูกต้องด้วย Kerberos ในสภาพแวดล้อมของคุณ บางสถานการณ์ที่อาจได้รับผลกระทบ: การลงชื่อเข้าใช้ของผู้ใช้โดเมนอาจล้มเหลว ซึ่งอาจส่งผลกระทบต่อการรับรองความถูกต้องบริการการเข้าใช้งานเว็บรวมของ บริการการเข้าใช้งานเว็บรวมของ Active Directory (AD FS) ด้วย Group Managed Service Account (gMSA) ที่ใช้สําหรับบริการต่างๆ เช่น Internet Information Services (เว็บเซิร์ฟเวอร์ IIS) อาจไม่สามารถรับรองความถูกต้องได้ การเชื่อมต่อเดสก์ท็อประยะไกลโดยใช้ผู้ใช้โดเมนอาจเชื่อมต่อไม่สำเร็จ คุณอาจไม่สามารถเข้าถึงโฟลเดอร์ที่แชร์บนเวิร์กสเตชันและการแชร์ไฟล์บนเซิร์ฟเวอร์ได้ การพิมพ์ที่จำเป็นต้องมีการรับรองความถูกต้องของผู้ใช้โดเมนอาจล้มเหลว เมื่อพบปัญหานี้ คุณอาจได้รับเหตุการณ์ข้อผิดพลาด Microsoft-Windows-Kerberos-Key-Distribution-Center ID เหตุการณ์ 4 ในส่วน "ระบบ" ของบันทึกเหตุการณ์บนตัวควบคุมโดเมนของคุณพร้อมกับข้อความด้านล่าง หมายเหตุ เหตุการณ์ที่ได้รับผลกระทบจะมี " คีย์ ที่หายไปมี ID เป็น 1" สตริง: ขณะประมวลผลคําขอ AS สําหรับบริการ>บริการ<เป้าหมาย ชื่อบัญชีผู้ใช้>ไม่มี<คีย์ที่เหมาะสมสําหรับการสร้างตั๋ว Kerberos (คีย์ที่หายไปมี ID เป็น 1) ชนิดที่ร้องขอ : 18 3. บัญชีที่มี etypes : 23 18 17. การเปลี่ยนหรือรีเซ็ตรหัสผ่านของ <ชื่อ> บัญชีจะสร้างคีย์ที่เหมาะสม หมายเหตุ ปัญหานี้ไม่ใช่ส่วนที่คาดไว้ของการทําให้การรักษาความปลอดภัยสําหรับ Netlogon และ Kerberos เริ่มต้นจากการอัปเดตความปลอดภัยเดือนพฤศจิกายน 2022 คุณจะยังคงต้องทําตามคําแนะนําในบทความเหล่านี้ แม้ว่าปัญหานี้ได้รับการแก้ไขแล้วก็ตาม อุปกรณ์ Windows ที่ผู้บริโภคใช้ในบ้านหรืออุปกรณ์ที่ไม่ได้เป็นส่วนหนึ่งของโดเมนในองค์กรจะไม่ได้รับผลกระทบจากปัญหานี้ สภาพแวดล้อม Azure Active Directory ที่ไม่ใช่ไฮบริดและไม่มีเซิร์ฟเวอร์ Active Directory ในองค์กรจะไม่ได้รับผลกระทบ	ปัญหานี้ได้รับการแก้ไขแล้วในการอัปเดต KB5021652
หลังจากติดตั้งการอัปเดตนี้หรือการอัปเดตที่ใหม่กว่าบนตัวควบคุมโดเมน (DC) คุณอาจพบปัญหาหน่วยความจํารั่วไหลด้วย Local Security Authority Subsystem Service (LSASS,exe) ทั้งนี้ขึ้นอยู่กับเวิร์กโหลดของ DC ของคุณและระยะเวลาตั้งแต่การรีสตาร์ตเซิร์ฟเวอร์ครั้งล่าสุด LSASS อาจเพิ่มการใช้หน่วยความจําอย่างต่อเนื่องตามระยะเวลาในการทํางานของเซิร์ฟเวอร์ และเซิร์ฟเวอร์อาจไม่ตอบสนองหรือรีสตาร์ตโดยอัตโนมัติ หมายเหตุ การอัปเดตนอกแบนด์สําหรับ DC ที่เผยแพร่ในวันที่ 17 พฤศจิกายน 2022 และ 18 พฤศจิกายน 2022 อาจได้รับผลกระทบจากปัญหานี้	เมื่อต้องการลดปัญหานี้ ให้เปิดพร้อมท์คําสั่งในฐานะผู้ดูแลระบบ และใช้คําสั่งต่อไปนี้เพื่อตั้งค่ารีจิสทรีคีย์ KrbtgtFullPacSignature เป็น 0: `reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD` หมายเหตุ หลังจากปัญหาที่ทราบนี้ได้รับการแก้ไขแล้ว คุณควรตั้งค่า KrbtgtFullPacSignature ให้เป็นการตั้งค่าที่สูงขึ้น โดยขึ้นอยู่กับสภาพแวดล้อมของคุณที่จะอนุญาต เราขอแนะนําให้คุณเปิดใช้งานโหมดการบังคับใช้ทันทีที่สภาพแวดล้อมของคุณพร้อม สําหรับข้อมูลเพิ่มเติมเกี่ยวกับรีจิสทรีคีย์นี้ โปรดดู KB5020805: วิธีจัดการการเปลี่ยนแปลงโพรโทคอล Kerberos ที่เกี่ยวข้องกับ CVE-2022-37967 เรากําลังดําเนินการแก้ไขปัญหาและจะนําเสนอการอัปเดตในรุ่นถัดไป
หลังจากติดตั้งการอัปเดตนี้ แอปที่ใช้การเชื่อมต่อ ODBC ผ่าน Microsoft ODBC SQL Server Driver (sqlsrv32.dll) เพื่อเข้าถึงฐานข้อมูลอาจไม่สามารถเชื่อมต่อได้ นอกจากนี้ คุณอาจได้รับข้อผิดพลาดในแอป หรือคุณอาจได้รับข้อผิดพลาดจาก SQL Server ข้อผิดพลาดที่คุณอาจได้รับประกอบด้วยข้อความต่อไปนี้: ระบบ EMS ประสบปัญหา ข้อความ: [Microsoft][ODBC SQL Server Driver] ข้อผิดพลาดของโปรโตคอลใน TDS Stream ระบบ EMS ประสบปัญหา ข้อความ: [Microsoft][ODBC SQL Server Driver] ได้รับโทเค็นที่ไม่รู้จักจาก SQL Server หมายเหตุสําหรับนักพัฒนา: แอปที่ได้รับผลกระทบจากปัญหานี้อาจดึงข้อมูลไม่ได้ เช่น เมื่อใช้ฟังก์ชัน SQLFetch ปัญหานี้อาจเกิดขึ้นเมื่อเรียก ฟังก์ชัน SQLBindCol ก่อน SQLFetch หรือเรียก ฟังก์ชัน SQLGetData หลังจาก SQLFetch และเมื่อค่า 0 (ศูนย์) ถูกกําหนดสําหรับอาร์กิวเมนต์ 'BufferLength' สําหรับชนิดข้อมูลคงที่ที่มีขนาดใหญ่กว่า 4 ไบต์ (เช่น SQL_C_FLOAT) เมื่อต้องการตัดสินใจว่าคุณกําลังใช้แอปที่ได้รับผลกระทบหรือไม่ ให้เปิดแอปที่เชื่อมต่อกับฐานข้อมูล เปิดหน้าต่าง พร้อมท์คำสั่ง พิมพ์คำสั่งต่อไปนี้แล้วกด Enter: `tasklist /m sqlsrv32.dll` หากคําสั่งส่งกลับงาน แสดงว่าแอปอาจได้รับผลกระทบ	เมื่อต้องการลดปัญหานี้ คุณสามารถเลือกทําอย่างใดอย่างหนึ่งต่อไปนี้: ถ้าแอปของคุณใช้อยู่แล้วหรือสามารถใช้ชื่อแหล่งข้อมูล (DSN) เพื่อเลือกการเชื่อมต่อ ODBC ให้ติดตั้งโปรแกรมควบคุม Microsoft ODBC 17 สําหรับ SQL Server และเลือกเพื่อใช้กับแอปของคุณโดยใช้ DSN หมายเหตุ: เราขอแนะนําโปรแกรมควบคุม Microsoft ODBC 17 สําหรับ SQL Server เวอร์ชันล่าสุด เนื่องจากเข้ากันได้กับแอปที่ใช้โปรแกรมควบคุม Microsoft ODBC SQL Server (sqlsrv32.dll) ดั้งเดิมในปัจจุบันมากกว่า Microsoft ODBC Driver 18 สําหรับ SQL Server ถ้าแอปของคุณไม่สามารถใช้ DSN ได้ แอปจะต้องได้รับการปรับเปลี่ยนเพื่ออนุญาต DSN หรือใช้โปรแกรมควบคุม ODBC ที่ใหม่กว่าโปรแกรมควบคุม ODBC SQL Server Microsoft (sqlsrv32.dll) ปัญหานี้แก้ไขได้แล้วใน KB5022348 ถ้าคุณได้นําวิธีแก้ไขปัญหาชั่วคราวข้างต้นมาใช้ เราขอแนะนําให้ใช้การกําหนดค่าในการแก้ไขปัญหาชั่วคราวต่อไป

วิธีรับการอัปเดตนี้

ก่อนที่จะติดตั้งการอัปเดตนี้

เราขอแนะนําให้คุณติดตั้งการอัปเดตสแตกบริการล่าสุด (SSU) สําหรับระบบปฏิบัติการก่อนติดตั้งชุดรวมอัปเดตล่าสุด SSU ปรับปรุงความน่าเชื่อถือของกระบวนการอัปเดตเพื่อบรรเทาปัญหาที่อาจเกิดขึ้นในขณะที่ติดตั้งชุดรวมอัปเดตและใช้การแก้ไขปัญหาความปลอดภัยของ Microsoft สำหรับข้อมูลทั่วไปเกี่ยวกับ SSU โปรดดู การอัปเดตสแตกการบริการ และ การอัปเดตสแตกการบริการ (SSU): คำถามที่ถามบ่อย

หากคุณใช้ Windows Update จะมีการเสนอ SSU (KB5016263) ล่าสุดให้คุณโดยอัตโนมัติ เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับ SSU ล่าสุด ให้ค้นหาใน Microsoft Update Catalog

ชุดภาษา

ถ้าคุณติดตั้งชุดภาษาหลังจากที่คุณติดตั้งการอัปเดตนี้ คุณต้องติดตั้งการอัปเดตนี้ใหม่ ดังนั้น เราขอแนะนําให้คุณติดตั้งชุดภาษาใดๆ ที่คุณต้องการก่อนที่คุณจะติดตั้งการอัปเดตนี้ สําหรับข้อมูลเพิ่มเติม ให้ดู เพิ่มชุดภาษาลงใน Windows

ติดตั้งการอัปเดตนี้

ช่องทางการเผยแพร่	พร้อมใช้งาน	ขั้นตอนถัดไป
Windows Update และ Microsoft Update	ใช่	ไม่มี การอัปเดตนี้จะถูกดาวน์โหลดและติดตั้งโดยอัตโนมัติจาก Windows Update
Microsoft Update Catalog	ใช่	เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับการอัปเดตนี้ ให้ไปที่เว็บไซต์ Microsoft Update Catalog
Windows Server Update Services (WSUS)	ใช่	การอัปเดตนี้จะซิงค์กับ WSUS โดยอัตโนมัติหากคุณกำหนดค่าผลิตภัณฑ์และการจำแนกประเภทดังต่อไปนี้: ผลิตภัณฑ์: Windows Server 2012, Windows Embedded 8 Standard การจำแนกประเภท: การอัปเดตความปลอดภัย

ข้อมูลไฟล์

สําหรับรายการไฟล์ที่ระบุในการอัปเดตนี้ ให้ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดต KB5020009

การอ้างอิง

เรียนรู้เกี่ยวกับ คําศัพท์มาตรฐาน ที่ใช้เพื่ออธิบายการอัปเดตซอฟต์แวร์ของ Microsoft