MS16: คำอธิบายของการอัปเดตความปลอดภัยสำหรับวิธีการรับรองความถูกต้องของ Windows: 9 สิงหาคม๒๐๑๖

สรุป

การอัปเดตความปลอดภัยนี้จะช่วยแก้ไขจุดอ่อนหลายจุดใน Microsoft Windows ช่องโหว่อาจยอมให้มีสิทธิ์การใช้งานได้ถ้าผู้โจมตีเรียกใช้แอปพลิเคชันที่สร้างขึ้นเป็นพิเศษบนระบบที่เข้าร่วมโดเมน

เมื่อต้องการเรียนรู้เพิ่มเติมเกี่ยวกับช่องโหว่ดูกระดานข่าวความปลอดภัยของ MICROSOFT MS16-101

ข้อมูลเพิ่มเติม

สิ่งสำคัญ

• การอัปเดตที่ไม่เกี่ยวข้องกับการรักษาความปลอดภัยและการรักษาความปลอดภัยในอนาคตทั้งหมดสำหรับ Windows ๘.๑และ Windows Server ๒๐๑๒ R2 จำเป็นต้องมีการอัปเดต๒๙๑๙๓๕๕ ที่จะติดตั้ง เราขอแนะนำให้คุณติดตั้งการอัปเดต ๒๙๑๙๓๕๕บนคอมพิวเตอร์ที่ใช้ windows ๘.๑หรือ windows Server ๒๐๑๒ R2 ของคุณเพื่อที่คุณจะได้รับการอัปเดตในอนาคต

• ถ้าคุณติดตั้งแพคภาษาหลังจากที่คุณติดตั้งการอัปเดตนี้คุณต้องติดตั้งการอัปเดตนี้ใหม่ ดังนั้นเราขอแนะนำให้คุณติดตั้งแพคภาษาใดก็ตามที่คุณต้องการก่อนที่คุณจะติดตั้งโปรแกรมอัปเดตนี้ สำหรับข้อมูลเพิ่มเติมให้ดูเพิ่มชุดภาษาลงใน Windows
  

ปัญหาที่ทราบแล้วในการอัปเดตความปลอดภัยนี้

• ปัญหาที่ทราบ 1
  
  การอัปเดตการรักษาความปลอดภัยที่มีให้ในMS16-101และการอัปเดตที่ใหม่กว่าจะปิดใช้งานความสามารถของกระบวนการเจรจาเพื่อให้กลับไปเป็น NTLM เมื่อมีการรับรองความถูกต้อง Kerberos ล้มเหลวสำหรับการดำเนินการเปลี่ยนแปลงรหัสผ่านที่มีรหัสข้อผิดพลาด STATUS_NO_LOGON_SERVERS (0xc000005e) ในสถานการณ์นี้คุณอาจได้รับรหัสข้อผิดพลาดอย่างใดอย่างหนึ่งต่อไปนี้
  
  

  ฐานสิบหก	ทศนิยม	สัญลักษณ์	มิตร
  0xc0000388	๑๐๗๓๗๔๐๙๒๐	STATUS_DOWNGRADE_DETECTED	ระบบตรวจพบความพยายามที่เป็นไปได้ในการประนีประนอมความปลอดภัย โปรดตรวจสอบให้แน่ใจว่าคุณสามารถติดต่อเซิร์ฟเวอร์ที่รับรองความถูกต้องของคุณได้
  0x4f1	๑๒๖๕	ERROR_DOWNGRADE_DETECTED	ระบบตรวจพบความพยายามที่เป็นไปได้ในการประนีประนอมความปลอดภัย โปรดตรวจสอบให้แน่ใจว่าคุณสามารถติดต่อเซิร์ฟเวอร์ที่รับรองความถูกต้องของคุณได้

  
  
  วิธีแก้ไขปัญหาชั่วคราว
  
  ถ้าการเปลี่ยนแปลงรหัสผ่านที่ล้มเหลวก่อนหน้านี้ล้มเหลวหลังจากการติดตั้ง MS16-101 อาจเป็นไปได้ว่าการเปลี่ยนแปลงรหัสผ่านถูกนำไปใช้กับ NTLM fallback ก่อนหน้านี้เนื่องจาก Kerberos ล้มเหลว เมื่อต้องการเปลี่ยนรหัสผ่านเสร็จเรียบร้อยแล้วโดยใช้โพรโทคอล Kerberos ให้ทำตามขั้นตอนต่อไปนี้:
  
  
  

  1. กำหนดค่าการติดต่อสื่อสารที่เปิดอยู่บนพอร์ต TCP ๔๖๔ระหว่างไคลเอ็นต์ที่มีการติดตั้ง MS16-101 และตัวควบคุมโดเมนที่ใช้ในการตั้งค่ารหัสผ่านใหม่
     
     ตัวควบคุมโดเมนแบบอ่านอย่างเดียว (RODCs) สามารถตั้งค่ารหัสผ่านบริการตนเองได้ถ้าผู้ใช้ได้รับอนุญาตโดยนโยบายการจำลองแบบรหัสผ่าน RODCs ผู้ใช้ที่ไม่ได้รับอนุญาตโดยนโยบายรหัสผ่านของ RODC จำเป็นต้องมีการเชื่อมต่อเครือข่ายไปยังตัวควบคุมโดเมนแบบอ่าน/เขียน (RWDC) ในโดเมนบัญชีผู้ใช้
     
     หมายเหตุเมื่อต้องการตรวจสอบว่าพอร์ต TCP ๔๖๔เปิดอยู่หรือไม่ให้ทำตามขั้นตอนต่อไปนี้:
     
     
     

     1. การสร้างตัวกรองการแสดงผลที่เทียบเท่ากันสำหรับตัวแบ่งหน้าจอภาพบนเครือข่ายของคุณ ตัวอย่างเช่น:
        

        ที่อยู่ ipv4 = = = <ที่อยู่ ip ของไคลเอ็นต์> && tcp พอร์ต = = 464

     2. ในผลลัพธ์ให้มองหาเฟรม "TCP: [SynReTransmit"
        
        

  2. ตรวจสอบให้แน่ใจว่าชื่อ Kerberos ของเป้าหมายถูกต้อง (ที่อยู่ IP ไม่ถูกต้องสำหรับโพรโทคอล Kerberos Kerberos สนับสนุนชื่อย่อและชื่อโดเมนที่มีคุณสมบัติครบถ้วน)

  3. ตรวจสอบให้แน่ใจว่าชื่อหลักของบริการ (SPNs) ได้รับการลงทะเบียนอย่างถูกต้อง
     
     สำหรับข้อมูลเพิ่มเติมให้ดูที่Kerberos และ Self-Service การตั้งค่ารหัสผ่านใหม่

• ปัญหาที่ทราบ 2
  
  เราทราบเกี่ยวกับปัญหาที่การตั้งค่ารหัสผ่านใหม่โดยทางโปรแกรมของบัญชีผู้ใช้โดเมนล้มเหลวและส่งกลับรหัสข้อผิดพลาด STATUS_DOWNGRADE_DETECTED (0x800704F1) ถ้าความล้มเหลวที่คาดไว้เป็นหนึ่งในรายการต่อไปนี้:
  
  

  • ERROR_INVALID_PASSWORD

  • ERROR_PWD_TOO_SHORT (ไม่ค่อยส่งกลับ)

  • STATUS_WRONG_PASSWORD

  • STATUS_PASSWORD_RESTRICTION

  
  ตารางต่อไปนี้แสดงการแมปข้อผิดพลาดทั้งหมด
  
  

  ฐานสิบหก	ทศนิยม	สัญลักษณ์	มิตร
  0x56	๘๖	ERROR_INVALID_PASSWORD	รหัสผ่านเครือข่ายที่ระบุไม่ถูกต้อง
  0x267	๖๑๕	ERROR_PWD_TOO_SHORT	รหัสผ่านที่มีอยู่สั้นเกินไปที่จะให้ตรงกับนโยบายของบัญชีผู้ใช้ของคุณ โปรดใส่รหัสผ่านที่ยาวขึ้น
  0xc000006a	-๑๐๗๓๗๔๑๗๑๘	STATUS_WRONG_PASSWORD	เมื่อคุณพยายามอัปเดตรหัสผ่านสถานะส่งกลับนี้จะระบุว่าค่าที่ระบุเป็นรหัสผ่านปัจจุบันไม่ถูกต้อง
  0xc000006c	-๑๐๗๓๗๔๑๗๑๖	STATUS_PASSWORD_RESTRICTION	เมื่อคุณพยายามอัปเดตรหัสผ่านสถานะส่งกลับนี้จะระบุว่ากฎการอัปเดตรหัสผ่านบางกฎถูกละเมิด ตัวอย่างเช่นรหัสผ่านอาจไม่ตรงตามเกณฑ์ความยาว
  0x800704F1	๑๒๖๕	STATUS_DOWNGRADE_DETECTED	ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการการร้องขอการรับรองความถูกต้อง โปรดลองอีกครั้งในภายหลัง
  0xc0000388	-๑๐๗๓๗๔๐๙๒๐	STATUS_DOWNGRADE_DETECTED	ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการการร้องขอการรับรองความถูกต้อง โปรดลองอีกครั้งในภายหลัง

  
  
  ความละเอียด
  
  MS16-101ได้รับการเผยแพร่ใหม่เพื่อแก้ไขปัญหานี้ ติดตั้งการอัปเดตประจำเวอร์ชันล่าสุดสำหรับบูเลทีนรักษานี้เพื่อแก้ไขปัญหานี้
  
  

• ปัญหาที่ทราบ
  
  แล้วที่3เรารู้เกี่ยวกับปัญหาในการรีเซ็ตรหัสผ่านของบัญชีผู้ใช้ภายในโดยทางโปรแกรมอาจล้มเหลวและส่งกลับรหัสข้อผิดพลาดของ STATUS_DOWNGRADE_DETECTED (0x800704F1)
  
  ตารางต่อไปนี้แสดงการแมปข้อผิดพลาดทั้งหมด
  
  

  ฐานสิบหก	ทศนิยม	สัญลักษณ์	มิตร
  0x4f1	๑๒๖๕	ERROR_DOWNGRADE_DETECTED	ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการการร้องขอการรับรองความถูกต้อง โปรดลองอีกครั้งในภายหลัง

  
  
  ความละเอียด
  
  MS16-101ได้รับการเผยแพร่ใหม่เพื่อแก้ไขปัญหานี้ ติดตั้งการอัปเดตประจำเวอร์ชันล่าสุดสำหรับบูเลทีนรักษานี้เพื่อแก้ไขปัญหานี้
  
  

• ปัญหาที่ทราบ
  
  แล้ว4รหัสผ่านสำหรับบัญชีผู้ใช้ที่ถูกปิดใช้งานและปิดใช้งานไม่สามารถเปลี่ยนแปลงได้โดยใช้แพคเกจเจรจา
  
  การเปลี่ยนแปลงรหัสผ่านสำหรับบัญชีผู้ใช้ที่ปิดใช้งานและบัญชีผู้ใช้ที่ถูกล็อกจะยังคงทำงานเมื่อใช้วิธีอื่นๆเช่นเมื่อใช้การดำเนินการปรับเปลี่ยน LDAP โดยตรง ตัวอย่างเช่น cmdlet PowerShell Set-ADAccountPassword ใช้การดำเนินการ "การปรับเปลี่ยน LDAP" เพื่อเปลี่ยนรหัสผ่านและยังคงไม่ได้รับผลกระทบ
  
  วิธีแก้ไขปัญหาชั่วคราว
  
  บัญชีผู้ใช้เหล่านี้จำเป็นต้องมีผู้ดูแลระบบเพื่อทำการตั้งค่ารหัสผ่านใหม่ ลักษณะการทำงานนี้จะได้รับการออกแบบหลังจากที่คุณติดตั้ง MS16-101 และการแก้ไขที่ใหม่กว่า
  
  

• ปัญหาที่ทราบแล้ว 5
  
  แอปพลิเคชันที่ใช้ API NetUserChangePassword และที่ส่งผ่าน servername ในพารามิเตอร์domainnameจะไม่ทำงานหลังจาก MS16-101 และการอัปเดตในเวอร์ชันที่ใหม่กว่าจะได้รับการติดตั้งอีกต่อไป
  
  เอกสารประกอบของ Microsoft ระบุว่าให้ชื่อเซิร์ฟเวอร์ระยะไกลในพารามิเตอร์ domainname ของฟังก์ชัน NetUserChangePassword ได้รับการสนับสนุน ตัวอย่างเช่นหัวข้อNetUserChangePassword ฟังก์ชันMSDN ระบุดังต่อไปนี้:
  
  domainname [in]
  

  ตัวชี้ไปยังสตริงที่คงที่ที่ระบุชื่อ DNS หรือ NetBIOS ของเซิร์ฟเวอร์ระยะไกลหรือโดเมนที่ฟังก์ชันนี้จะดำเนินการ ถ้าพารามิเตอร์นี้เป็น NULL โดเมนการเข้าสู่ระบบของผู้โทรจะถูกใช้งาน อย่างไรก็ตามคำแนะนำนี้ถูกแทนที่ด้วย MS16-101 เว้นแต่ว่าการตั้งค่ารหัสผ่านใหม่สำหรับบัญชีผู้ใช้ภายในเครื่องบนคอมพิวเตอร์เครื่องนี้ โพสต์ MS16-101 เพื่อให้การเปลี่ยนแปลงรหัสผ่านของผู้ใช้โดเมนทำงานคุณจะต้องส่งชื่อโดเมน DNS ที่ถูกต้องไปยัง NetUserChangePassword API

• ปัญหาที่ทราบแล้ว 6
  
  หลังจากที่คุณติดตั้งการอัปเดตความปลอดภัยที่อธิบายไว้ในMS16-101, remote, การเปลี่ยนแปลงโดยทางโปรแกรมของรหัสผ่านบัญชีผู้ใช้ภายในเครื่องและการเปลี่ยนแปลงรหัสผ่านในฟอเรสต์ที่ไม่น่าเชื่อถือล้มเหลว
  
  
  การดำเนินการนี้ล้มเหลวเนื่องจากการดำเนินการนี้จะไม่ได้รับการสนับสนุนสำหรับบัญชีผู้ใช้ nonlocal อีกต่อไปหลังจากที่มีการติดตั้ง MS16-101
  
  
  รายการรีจิสทรีมีไว้เพื่อให้คุณสามารถใช้เพื่อปิดใช้งานการเปลี่ยนแปลงนี้ได้
  
  คำเตือนวิธีแก้ไขปัญหาชั่วคราวนี้อาจทำให้คอมพิวเตอร์หรือเครือข่ายเสี่ยงต่อการถูกโจมตีโดยผู้ใช้ที่เป็นอันตรายหรือซอฟต์แวร์ที่เป็นอันตรายเช่นไวรัส เราไม่แนะนำให้ใช้วิธีแก้ไขปัญหาชั่วคราวนี้แต่จะให้ข้อมูลนี้เพื่อให้คุณสามารถใช้วิธีแก้ไขปัญหานี้ตามดุลยพินิจของคุณเอง ใช้วิธีแก้ไขปัญหาชั่วคราวนี้ความเสี่ยงของคุณเอง
  
  สำคัญส่วนวิธีการหรืองานประกอบด้วยขั้นตอนที่บอกให้คุณทราบวิธีการปรับเปลี่ยนรีจิสทรี อย่างไรก็ตามปัญหาร้ายแรงอาจเกิดขึ้นถ้าคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ดังนั้นตรวจสอบให้แน่ใจว่าคุณได้ทำตามขั้นตอนเหล่านี้อย่างระมัดระวัง สำหรับการป้องกันเพิ่มเติมให้สำรองข้อมูลรีจิสทรีก่อนที่คุณจะปรับเปลี่ยน จากนั้นคุณสามารถคืนค่ารีจิสทรีได้ถ้ามีปัญหาเกิดขึ้น สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการสำรองและคืนค่ารีจิสทรีให้คลิกหมายเลขบทความต่อไปนี้เพื่อดูบทความในฐานความรู้ของ Microsoft:

  ๓๒๒๗๕๖วิธีการสำรองและคืนค่ารีจิสทรีใน Windows
  
  เมื่อต้องการปิดใช้งานการเปลี่ยนแปลงนี้ให้ตั้งค่ารายการ DWORD NegoAllowNtlmPwdChangeFallback เพื่อใช้ค่า 1 (หนึ่ง)
  
  
  การตั้งค่าที่สำคัญรายการรีจิสทรี NegoAllowNtlmPwdChangeFallback เป็นค่า1จะปิดใช้งานการแก้ไขการรักษาความปลอดภัยนี้:
  

  ค่ารีจิสทรี	คำอธิบาย
  0	ค่าเริ่มต้น ย้อนกลับจะถูกป้องกัน
  1	การย้อนกลับจะได้รับอนุญาตเสมอ การแก้ไขการรักษาความปลอดภัยถูกปิดใช้งาน ลูกค้าที่มีปัญหากับบัญชีภายในเครื่องระยะไกลหรือสถานการณ์ที่ไม่น่าเชื่อถือของฟอเรสต์สามารถตั้งค่ารีจิสทรีเป็นค่านี้ได้

  เมื่อต้องการเพิ่มค่ารีจิสทรีเหล่านี้ให้ทำตามขั้นตอนต่อไปนี้:
  

  1. คลิก เริ่ม คลิก เรียกใช้ พิมพ์ regedit ในกล่อง เปิด จากนั้นคลิก ตกลง

  2. ค้นหาแล้วคลิกคีย์ย่อยต่อไปนี้ในรีจิสทรี:
     

     HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
     

  3. บนเมนูแก้ไขให้ชี้ไปที่ใหม่แล้วคลิกค่า DWORD

  4. พิมพ์ NegoAllowNtlmPwdChangeFallback สำหรับชื่อของ DWORD แล้วกด ENTER

  5. คลิกขวาที่NegoAllowNtlmPwdChangeFallbackแล้วคลิกปรับเปลี่ยน

  6. ในกล่องข้อมูลค่าให้พิมพ์1เพื่อปิดใช้งานการเปลี่ยนแปลงนี้แล้วคลิกตกลง
     
     
     หมายเหตุเมื่อต้องการคืนค่าเริ่มต้นให้พิมพ์ 0 (ศูนย์) แล้วคลิกตกลง

  สถานะ
  
  สาเหตุรากของปัญหานี้จะเข้าใจ บทความนี้จะได้รับการอัปเดตด้วยรายละเอียดเพิ่มเติมขณะที่พร้อมใช้งาน

วิธีการขอรับและติดตั้งการอัปเดต

วิธีที่ 1: Windows Update

การอัปเดตนี้พร้อมใช้งานผ่าน Windows Update เมื่อคุณเปิดการอัปเดตอัตโนมัติการอัปเดตนี้จะได้รับการดาวน์โหลดและติดตั้งโดยอัตโนมัติ สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการเปิดใช้งานการอัปเดตอัตโนมัติให้ดูที่
รับการอัปเดตความปลอดภัยโดยอัตโนมัติ

วิธีที่ 2: แค็ตตาล็อก Microsoft Update

เมื่อต้องการรับแพคเกจแบบสแตนด์อโลนสำหรับการอัปเดตนี้ให้ไปที่เว็บไซต์แค็ตตาล็อกของ Microsoft update

ข้อมูลเพิ่มเติม

ข้อมูลไฟล์