8 พฤศจิกายน 2022—KB5020010 (การอัปเดตด้านความปลอดภัยเท่านั้น)

บทสรุป

เรียนรู้เพิ่มเติมเกี่ยวกับการอัปเดตความปลอดภัยเท่านั้นนี้ รวมถึงการปรับปรุง ปัญหาอันเป็นที่ทราบ และวิธีรับการอัปเดต

การปรับปรุง

การอัปเดตความปลอดภัยเท่านั้นนี้รวมถึงการเปลี่ยนแปลงที่สําคัญสําหรับรายการต่อไปนี้:

• Updates daylight-saving time (DST) สําหรับจอร์แดนเพื่อป้องกันไม่ให้ย้ายนาฬิกาย้อนกลับไป 1 ชั่วโมงในวันที่ 28 ตุลาคม 2022 นอกจากนี้ เปลี่ยนชื่อที่แสดงของเวลามาตรฐานจอร์แดนจาก "(UTC+02:00) อัมมาน" เป็น "(UTC+03:00) อัมมาน"

• แก้ไขปัญหาที่หลังจากติดตั้งการอัปเดตของวันที่ 11 มกราคม 2022 หรือใหม่กว่า กระบวนการสร้าง Forest Trust ไม่สามารถเติมคําต่อท้ายชื่อ DNS ลงในแอตทริบิวต์ข้อมูลความเชื่อถือได้

• แก้ไขช่องโหว่ด้านความปลอดภัยในโพรโทคอล Kerberos และ Netlogon ตามที่ระบุไว้ใน CVE-2022-38023, CVE-2022-37966 และ CVE-2022-37967 สําหรับคําแนะนําในการปรับใช้ ให้ดูบทความต่อไปนี้:

  • KB5020805: วิธีจัดการการเปลี่ยนแปลงโพรโทคอล Kerberos ที่เกี่ยวข้องกับ CVE-2022-37967
  • KB5021130: วิธีจัดการการเปลี่ยนแปลงโพรโทคอล Netlogon ที่เกี่ยวข้องกับ CVE-2022-38023
  • KB5021131: วิธีการจัดการการเปลี่ยนแปลงโพรโทคอล Kerberos ที่เกี่ยวข้องกับ CVE-2022-37966

  สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่แก้ไขแล้ว โปรดดู การปรับใช้ | คู่มือการอัปเดตความปลอดภัยและ Security Updates เดือนพฤศจิกายน 2022

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่แก้ไขแล้ว โปรดดู การปรับใช้ | คู่มือการอัปเดตความปลอดภัยและ Security Updates เดือนพฤศจิกายน 2022

ปัญหาที่ทราบแล้วในการอัปเดตนี้

อาการ	ขั้นตอนต่อไป
หลังจากการอัปเดตนี้หรือติดตั้ง Windows Update ที่ใหม่กว่า การดําเนินการเข้าร่วมโดเมนอาจไม่สําเร็จและข้อผิดพลาด "0xaac (2732): NERR_AccountReuseBlockedByPolicy" เกิดขึ้น นอกจากนี้ ข้อความที่ระบุว่า "มีบัญชีที่มีชื่อเดียวกันใน Active Directory "Reusing the account was blocked by security policy" อาจแสดงขึ้น สถานการณ์ที่ได้รับผลกระทบ รวมถึงการดําเนินการเข้าร่วมโดเมนหรือการดําเนินการสร้างอิมเมจใหม่บางโดเมนที่บัญชีคอมพิวเตอร์ถูกสร้างหรือกําหนดขั้นล่วงหน้าด้วยข้อมูลประจําตัวที่แตกต่างจากข้อมูลประจําตัวที่ใช้ในการเข้าร่วมหรือเข้าร่วมคอมพิวเตอร์กับโดเมนอีกครั้ง สําหรับข้อมูลเพิ่มเติมเกี่ยวกับปัญหานี้ ให้ดู KB5020276—Netjoin: การเปลี่ยนแปลงการเสริมความแข็งแกร่งในการเข้าร่วมโดเมน หมายเหตุ Windows รุ่น Consumer Desktop ไม่น่าจะประสบปัญหานี้	ปัญหานี้แก้ไขได้ใน KB5023764
หลังจากติดตั้งการอัปเดต Windows ที่เผยแพร่ในวันที่ 8 พฤศจิกายน 2022 หรือหลังจากนั้นบนเซิร์ฟเวอร์ Windows ที่ใช้บทบาทตัวควบคุมโดเมน คุณอาจพบปัญหาเกี่ยวกับการรับรองความถูกต้องด้วย Kerberos ปัญหานี้อาจส่งผลกระทบต่อการรับรองความถูกต้องด้วย Kerberos ในสภาพแวดล้อมของคุณ บางสถานการณ์ที่อาจได้รับผลกระทบ: การลงชื่อเข้าใช้ของผู้ใช้โดเมนอาจล้มเหลว ซึ่งอาจส่งผลกระทบต่อการรับรองความถูกต้องบริการการเข้าใช้งานเว็บรวมของ บริการการเข้าใช้งานเว็บรวมของ Active Directory (AD FS) ด้วย Group Managed Service Account (gMSA) ที่ใช้สําหรับบริการต่างๆ เช่น Internet Information Services (เว็บเซิร์ฟเวอร์ IIS) อาจไม่สามารถรับรองความถูกต้องได้ การเชื่อมต่อเดสก์ท็อประยะไกลโดยใช้ผู้ใช้โดเมนอาจเชื่อมต่อไม่สำเร็จ คุณอาจไม่สามารถเข้าถึงโฟลเดอร์ที่แชร์บนเวิร์กสเตชันและการแชร์ไฟล์บนเซิร์ฟเวอร์ได้ การพิมพ์ที่จำเป็นต้องมีการรับรองความถูกต้องของผู้ใช้โดเมนอาจล้มเหลว เมื่อพบปัญหานี้ คุณอาจได้รับเหตุการณ์ข้อผิดพลาด Microsoft-Windows-Kerberos-Key-Distribution-Center ID เหตุการณ์ 4 ในส่วน "ระบบ" ของบันทึกเหตุการณ์บนตัวควบคุมโดเมนของคุณพร้อมกับข้อความด้านล่าง หมายเหตุ เหตุการณ์ที่ได้รับผลกระทบจะมี " คีย์ ที่หายไปมี ID เป็น 1" สตริง: ขณะประมวลผลคําขอ AS สําหรับบริการ>บริการ<เป้าหมาย ชื่อบัญชีผู้ใช้>ไม่มี<คีย์ที่เหมาะสมสําหรับการสร้างตั๋ว Kerberos (คีย์ที่หายไปมี ID เป็น 1) ชนิดที่ร้องขอ : 18 3. บัญชีที่มี etypes : 23 18 17. การเปลี่ยนหรือรีเซ็ตรหัสผ่านของ <ชื่อ> บัญชีจะสร้างคีย์ที่เหมาะสม หมายเหตุ ปัญหานี้ไม่ใช่ส่วนที่คาดไว้ของการทําให้การรักษาความปลอดภัยสําหรับ Netlogon และ Kerberos เริ่มต้นจากการอัปเดตความปลอดภัยเดือนพฤศจิกายน 2022 คุณจะยังคงต้องทําตามคําแนะนําในบทความเหล่านี้ แม้ว่าปัญหานี้ได้รับการแก้ไขแล้วก็ตาม อุปกรณ์ Windows ที่ผู้บริโภคใช้ในบ้านหรืออุปกรณ์ที่ไม่ได้เป็นส่วนหนึ่งของโดเมนในองค์กรจะไม่ได้รับผลกระทบจากปัญหานี้ สภาพแวดล้อม Azure Active Directory ที่ไม่ใช่ไฮบริดและไม่มีเซิร์ฟเวอร์ Active Directory ในองค์กรจะไม่ได้รับผลกระทบ	ปัญหานี้ได้รับการแก้ไขแล้วในการอัปเดต KB5021653
หลังจากติดตั้งการอัปเดตนี้หรือการอัปเดตที่ใหม่กว่าบนตัวควบคุมโดเมน (DC) คุณอาจพบปัญหาหน่วยความจํารั่วไหลด้วย Local Security Authority Subsystem Service (LSASS,exe) ทั้งนี้ขึ้นอยู่กับเวิร์กโหลดของ DC ของคุณและระยะเวลาตั้งแต่การรีสตาร์ตเซิร์ฟเวอร์ครั้งล่าสุด LSASS อาจเพิ่มการใช้หน่วยความจําอย่างต่อเนื่องตามระยะเวลาในการทํางานของเซิร์ฟเวอร์ และเซิร์ฟเวอร์อาจไม่ตอบสนองหรือรีสตาร์ตโดยอัตโนมัติ หมายเหตุ การอัปเดตนอกแบนด์สําหรับ DC ที่เผยแพร่ในวันที่ 17 พฤศจิกายน 2022 และ 18 พฤศจิกายน 2022 อาจได้รับผลกระทบจากปัญหานี้	เมื่อต้องการลดปัญหานี้ ให้เปิดพร้อมท์คําสั่งในฐานะผู้ดูแลระบบ และใช้คําสั่งต่อไปนี้เพื่อตั้งค่ารีจิสทรีคีย์ KrbtgtFullPacSignature เป็น 0: reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD หมายเหตุ หลังจากปัญหาที่ทราบนี้ได้รับการแก้ไขแล้ว คุณควรตั้งค่า KrbtgtFullPacSignature ให้เป็นการตั้งค่าที่สูงขึ้น โดยขึ้นอยู่กับสภาพแวดล้อมของคุณที่จะอนุญาต เราขอแนะนําให้คุณเปิดใช้งานโหมดการบังคับใช้ทันทีที่สภาพแวดล้อมของคุณพร้อม สําหรับข้อมูลเพิ่มเติมเกี่ยวกับรีจิสทรีคีย์นี้ โปรดดู KB5020805: วิธีจัดการการเปลี่ยนแปลงโพรโทคอล Kerberos ที่เกี่ยวข้องกับ CVE-2022-37967 เรากําลังดําเนินการแก้ไขปัญหาและจะนําเสนอการอัปเดตในรุ่นถัดไป
หลังจากติดตั้งการอัปเดตนี้ แอปที่ใช้การเชื่อมต่อ ODBC ผ่าน Microsoft ODBC SQL Server Driver (sqlsrv32.dll) เพื่อเข้าถึงฐานข้อมูลอาจไม่สามารถเชื่อมต่อได้ นอกจากนี้ คุณอาจได้รับข้อผิดพลาดในแอป หรือคุณอาจได้รับข้อผิดพลาดจาก SQL Server ข้อผิดพลาดที่คุณอาจได้รับประกอบด้วยข้อความต่อไปนี้: ระบบ EMS ประสบปัญหา ข้อความ: [Microsoft][ODBC SQL Server Driver] ข้อผิดพลาดของโปรโตคอลใน TDS Stream ระบบ EMS ประสบปัญหา ข้อความ: [Microsoft][ODBC SQL Server Driver] ได้รับโทเค็นที่ไม่รู้จักจาก SQL Server หมายเหตุสําหรับนักพัฒนา: แอปที่ได้รับผลกระทบจากปัญหานี้อาจดึงข้อมูลไม่ได้ เช่น เมื่อใช้ฟังก์ชัน SQLFetch ปัญหานี้อาจเกิดขึ้นเมื่อเรียก ฟังก์ชัน SQLBindCol ก่อน SQLFetch หรือเรียก ฟังก์ชัน SQLGetData หลังจาก SQLFetch และเมื่อค่า 0 (ศูนย์) ถูกกําหนดสําหรับอาร์กิวเมนต์ 'BufferLength' สําหรับชนิดข้อมูลคงที่ที่มีขนาดใหญ่กว่า 4 ไบต์ (เช่น SQL_C_FLOAT) เมื่อต้องการตัดสินใจว่าคุณกําลังใช้แอปที่ได้รับผลกระทบหรือไม่ ให้เปิดแอปที่เชื่อมต่อกับฐานข้อมูล เปิดหน้าต่าง พร้อมท์คำสั่ง พิมพ์คำสั่งต่อไปนี้แล้วกด Enter: tasklist /m sqlsrv32.dll หากคําสั่งส่งกลับงาน แสดงว่าแอปอาจได้รับผลกระทบ	เมื่อต้องการลดปัญหานี้ คุณสามารถเลือกทําอย่างใดอย่างหนึ่งต่อไปนี้: ถ้าแอปของคุณใช้อยู่แล้วหรือสามารถใช้ชื่อแหล่งข้อมูล (DSN) เพื่อเลือกการเชื่อมต่อ ODBC ให้ติดตั้งโปรแกรมควบคุม Microsoft ODBC 17 สําหรับ SQL Server และเลือกเพื่อใช้กับแอปของคุณโดยใช้ DSN หมายเหตุ: เราขอแนะนําโปรแกรมควบคุม Microsoft ODBC 17 สําหรับ SQL Server เวอร์ชันล่าสุด เนื่องจากเข้ากันได้กับแอปที่ใช้โปรแกรมควบคุม Microsoft ODBC SQL Server (sqlsrv32.dll) ดั้งเดิมในปัจจุบันมากกว่า Microsoft ODBC Driver 18 สําหรับ SQL Server ถ้าแอปของคุณไม่สามารถใช้ DSN ได้ แอปจะต้องได้รับการปรับเปลี่ยนเพื่ออนุญาต DSN หรือใช้โปรแกรมควบคุม ODBC ที่ใหม่กว่าโปรแกรมควบคุม ODBC SQL Server Microsoft (sqlsrv32.dll) ปัญหานี้แก้ไขได้แล้วใน KB5022346 ถ้าคุณได้นําวิธีแก้ไขปัญหาชั่วคราวข้างต้นมาใช้ เราขอแนะนําให้ใช้การกําหนดค่าในการแก้ไขปัญหาชั่วคราวต่อไป

วิธีรับการอัปเดตนี้

ก่อนที่จะติดตั้งการอัปเดตนี้

เราขอแนะนําอย่างยิ่งให้คุณติดตั้งการอัปเดตสแตกบริการล่าสุด (SSU) สําหรับระบบปฏิบัติการก่อนติดตั้งชุดรวมอัปเดตล่าสุด SSU ปรับปรุงความน่าเชื่อถือของกระบวนการอัปเดตเพื่อบรรเทาปัญหาที่อาจเกิดขึ้นในขณะที่ติดตั้งชุดรวมอัปเดตและใช้การแก้ไขปัญหาความปลอดภัยของ Microsoft สำหรับข้อมูลทั่วไปเกี่ยวกับ SSU โปรดดู การอัปเดตสแตกการบริการ และ การอัปเดตสแตกการบริการ (SSU): คำถามที่ถามบ่อย

หากคุณใช้ Windows Update จะมีการเสนอ SSU (KB5018922) ล่าสุดให้คุณโดยอัตโนมัติ เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับ SSU ล่าสุด ให้ค้นหาใน Microsoft Update Catalog

ชุดภาษา

ถ้าคุณติดตั้งชุดภาษาหลังจากที่คุณติดตั้งการอัปเดตนี้ คุณต้องติดตั้งการอัปเดตนี้ใหม่ ดังนั้น เราขอแนะนําให้คุณติดตั้งชุดภาษาใดๆ ที่คุณต้องการก่อนที่คุณจะติดตั้งการอัปเดตนี้ สําหรับข้อมูลเพิ่มเติม ให้ดู เพิ่มชุดภาษาลงใน Windows

ติดตั้งการอัปเดตนี้

ช่องทางการเผยแพร่	พร้อมใช้งาน	ขั้นตอนถัดไป
Windows Update และ Microsoft Update	ไม่	ดูตัวเลือกอื่นๆ ด้านล่าง
Microsoft Update Catalog	ใช่	เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับการอัปเดตนี้ ให้ไปที่เว็บไซต์ Microsoft Update Catalog
Windows Server Update Services (WSUS)	ใช่	การอัปเดตนี้จะซิงค์กับ WSUS โดยอัตโนมัติหากคุณกำหนดค่าผลิตภัณฑ์และการจำแนกประเภทดังต่อไปนี้: ผลิตภัณฑ์: Windows 8.1, Windows Server 2012 R2, Windows Embedded 8.1 Industry Enterprise, Windows Embedded 8.1 Industry Pro การจำแนกประเภท: การอัปเดตความปลอดภัย

ข้อมูลไฟล์

สําหรับรายการไฟล์ที่ระบุในการอัปเดตนี้ ให้ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดต KB5020010

การอ้างอิง

เรียนรู้เกี่ยวกับ คําศัพท์มาตรฐาน ที่ใช้เพื่ออธิบายการอัปเดตซอฟต์แวร์ของ Microsoft