MS16-101: Windows kimlik doğrulama yöntemleri için güvenlik güncelleştirmesi: 9 Ağustos 2016

Uygulandığı Öğe

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Önemli: Bu makale, bir bilgisayarın güvenlik ayarlarını düşürmenize veya güvenlik özelliklerini devre dışı bırakmanıza yardımcı olacak bilgiler içermektedir. Belirli bir sorunu çözmek için bu değişiklikleri yapabilirsiniz. Bu değişiklikleri yapmadan önce, bu geçici çözümü kendi ortamınızda uygulamanın beraberinde getirdiği riskleri değerlendirmenizi öneririz. Bu geçici çözümü uygularsanız, bilgisayarınızın korunmasına yardımcı olabilecek ek adımları da gerçekleştirin.

Özet

Bu güvenlik güncelleştirmesi Microsoft Windows'taki birden fazla güvenlik açığını giderir. Bir saldırganın etki alanına katılmış bir sistemde özel hazırlanmış bir uygulama çalıştırması durumunda güvenlik açıkları ayrıcalıkların yükseltilmesine izin verebilir.

Güvenlik açığı hakkında daha fazla bilgi edinmek için bkz. Microsoft Güvenlik Bülteni MS16-101.

Daha Fazla Bilgi

Önemli

Windows 8.1 ve Windows Server 2012 R2 için gelecekteki tüm güvenlik güncelleştirmeleri ve güvenlikle ilgili olmayan güncelleştirmeler, güncelleştirme 2919355 yüklenmesini gerektirir. Gelecekteki güncelleştirmeleri alabilmek için Windows 8.1 veya Windows Server 2012 R2 tabanlı bilgisayarınıza güncelleştirme 2919355 yüklemenizi öneririz.
Bu güncelleştirmeyi yükledikten sonra bir dil paketi yüklerseniz bu güncelleştirmeyi yeniden yüklemeniz gereklidir. Bu nedenle, bu güncelleştirmeyi yüklemeden önce ihtiyacınız olan tüm dil paketlerini yüklemenizi öneririz. Daha fazla bilgi için Windows'a dil paketi ekleme bölümüne bakın.

Bu güvenlik güncelleştirmesinde yer alan güvenlikle ilgili olmayan düzeltmeler

Bu güvenlik güncelleştirmesi, aşağıdaki güvenlikle ilgili olmayan sorunları da düzeltir:

Etki alanı olmayan bir kümede etki alanına katılmış bir Genişleme Dosya Sunucusu'nda (SoFS), Windows 8.1 veya Windows Server 2012 R2 çalıştıran bir SMB istemcisi kapalı bir düğüme bağlandığında kimlik doğrulaması başarısız olur. Bu sorun oluştuğunda, aşağıdakine benzer bir hata iletisi alabilirsiniz:

Not

STATUS_NO_TGT_REPLY

Bu güvenlik güncelleştirmesi hakkında ek bilgiler

Aşağıdaki makaleler, tek tek ürün sürümleriyle ilgili olarak bu güvenlik güncelleştirmesi hakkında ek bilgiler içerir. Makaleler bilinen sorun bilgilerini içerebilir.

3177108 MS16-101: Windows kimlik doğrulama yöntemlerine yönelik güvenlik güncelleştirmesinin açıklaması: 9 Ağustos 2016
3167679 MS16-101: Windows kimlik doğrulama yöntemlerine yönelik güvenlik güncelleştirmesinin açıklaması: 9 Ağustos 2016
3192392 Ekim 2016 Windows 8.1 ve Windows Server 2012 R2 için yalnızca güvenlikle ilgili kalite güncelleştirmesi
3185331 Ekim 2016 Windows 8.1 ve Windows Server 2012 R2 için güvenlik aylık kalite toplaması
3192393 Ekim 2016 Windows Server 2012 için yalnızca güvenlikle ilgili kalite güncelleştirmesi
3185332 Ekim 2016 Windows Server 2012 için Güvenlik Aylık Kalite Toplaması
3192391 Ekim 2016 Windows 7 SP1 ve Windows Server 2008 R2 SP1 için yalnızca güvenlik kalite güncelleştirmesi
3185330 Ekim 2016 Windows 7 SP1 ve Windows Server 2008 R2 SP1 için güvenlik aylık kalite toplaması
3192440 Windows 10 toplu güncelleştirmesi: 11 Ekim 2016
Windows 10 Sürüm 1607 ve Windows Server 2016 için 3194798 toplu güncelleştirme: 11 Ekim 2016
Windows 10 Sürüm 1511 için 3192441 toplu güncelleştirme: 11 Ekim 2016

Değiştirilen güvenlik güncelleştirmeleriAşağıdaki güvenlik güncelleştirmeleri değiştirilmiştir:

3176492 Windows 10 toplu güncelleştirmesi: 9 Ağustos 2016
Windows 10 Sürüm 1511 için 3176493 toplu güncelleştirme: 9 Ağustos 2016
3176495 Windows 10 Sürüm 1607 toplu güncelleştirmesi: 9 Ağustos 2016

Aşağıdakiler, daha önce bahsedilen güvenlik güncelleştirmelerinin yerini alan yeni güvenlik güncelleştirmeleridir:

3192440 Windows 10 toplu güncelleştirmesi: 11 Ekim 2016
Windows 10 Sürüm 1607 ve Windows Server 2016 için 3194798 toplu güncelleştirme: 11 Ekim 2016
Windows 10 Sürüm 1511 için 3192441 toplu güncelleştirme: 11 Ekim 2016

Bu güvenlik güncelleştirmesindeki bilinen sorunlar

Bilinen sorun 1

MS16-101 ve daha yeni güncelleştirmelerde sağlanan güvenlik güncelleştirmeleri, STATUS_NO_LOGON_SERVERS (0xc000005e) hata koduyla parola değiştirme işlemleri için Kerberos kimlik doğrulaması başarısız olduğunda Anlaşma işleminin NTLM'ye geri dönme özelliğini devre dışı bırakır. Bu durumda, aşağıdaki hata kodlarından birini alabilirsiniz.

Onaltılık	Decimal	Sembolik	Dost canlısı
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Sistem, güvenliği tehlikeye atmaya yönelik olası bir girişim algıladı. Lütfen kimliğinizi doğrulayan sunucuyla bağlantı kurabildiğinizden emin olun.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem, güvenliği tehlikeye atmaya yönelik olası bir girişim algıladı. Lütfen kimliğinizi doğrulayan sunucuyla bağlantı kurabildiğinizden emin olun.

Geçici çözüm

MS16-101 yüklendikten sonra daha önce başarılı olan parola değişiklikleri başarısız olursa, daha önce Kerberos başarısız olduğu için parola değişiklikleri NTLM geri dönüşüne bağlı olabilir. Kerberos protokollerini kullanarak parolaları başarılı şekilde değiştirmek için şu adımları izleyin:

MS16-101 yüklü istemciler ile parola sıfırlamalarına hizmet veren etki alanı denetleyicisi arasındaki TCP bağlantı noktası 464'te açık iletişimi yapılandırın.

Kullanıcıya RODC'nin parola çoğaltma ilkesi izin veriyorsa, salt okunur etki alanı denetleyicileri (RODC'ler) self servis parola sıfırlama hizmeti verebilir. RODC parola ilkesi tarafından izin verilmeyen kullanıcıların, kullanıcı hesabı etki alanındaki bir okuma/yazma etki alanı denetleyicisine (RWDC) ağ bağlantısı olması gerekir.

Not 464 numaralı TCP bağlantı noktasının açık olup olmadığını denetlemek için şu adımları izleyin:
1. Ağ monitörü ayrıştırıcınız için eşdeğer bir görüntü filtresi oluşturun. Örneğin:
  IPv4.Address== <İstemcinin> IP adresi && TCP.Port==464
2. Sonuçlarda, "TCP:[SynReTransmit" çerçevesini arayın.
Hedef Kerberos adlarının geçerli olduğundan emin olun. (IP adresleri Kerberos protokolü için geçerli değildir. Kerberos kısa adları ve tam etki alanı adlarını destekler.)
Hizmet asıl adlarının (SPN) doğru kaydedildiğinden emin olun.

Daha fazla bilgi için bkz. Kerberos ve Self-Service Parola Sıfırlama.

Bilinen sorun 2

Etki alanı kullanıcı hesaplarında program aracılığıyla parola sıfırlama işleminin başarısız olduğu ve beklenen hata aşağıdakilerden biriyse STATUS_DOWNGRADE_DETECTED (0x800704F1) hata kodunu döndürdüğü bir sorun olduğunu biliyoruz:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (nadiren döndürülür)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

Aşağıdaki tabloda tam hata eşlemesi gösterilmektedir.

Onaltılık	Decimal	Sembolik	Dost canlısı
0x56	86	ERROR_INVALID_PASSWORD	Belirtilen ağ parolası doğru değil.
0x267	615	ERROR_PWD_TOO_SHORT	Verilen parola kullanıcı hesabınızın ilkesine uymayacak kadar kısa. Lütfen daha uzun bir parola girin.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Parolayı güncelleştirmeye çalıştığınızda, bu dönüş durumu geçerli parola olarak sağlanan değerin yanlış olduğunu gösterir.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	When you try to update a password, this returns status indicates that be reason for some password update rules ihlal edilmiştir. Örneğin, parola uzunluk ölçütüne uymuyor olabilir.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Sistem, kimlik doğrulama isteğine hizmet vermek için bir etki alanı denetleyicisiyle bağlantı kuramaz. Lütfen daha sonra yeniden deneyin.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Sistem, kimlik doğrulama isteğine hizmet vermek için bir etki alanı denetleyicisiyle bağlantı kuramaz. Lütfen daha sonra yeniden deneyin.

Çözüm

MS16-101 , bu sorunu çözmek için yeniden yayınlanmıştır. Bu sorunu gidermek için bu bültenle ilgili güncelleştirmelerin en son sürümünü yükleyin.

Bilinen sorun 3

Yerel kullanıcı hesabı parola değişikliklerinin programlı olarak sıfırlanmasının başarısız olduğu ve STATUS_DOWNGRADE_DETECTED (0x800704F1) hata kodu döndürdüğü bir sorun olduğunu biliyoruz.

Aşağıdaki tabloda tam hata eşlemesi gösterilmektedir.

Onaltılık	Decimal	Sembolik	Dost canlısı
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Sistem, kimlik doğrulama isteğine hizmet vermek için bir etki alanı denetleyicisiyle bağlantı kuramaz. Lütfen daha sonra yeniden deneyin.

Çözüm

MS16-101 , bu sorunu çözmek için yeniden yayınlanmıştır. Bu sorunu gidermek için bu bültenle ilgili güncelleştirmelerin en son sürümünü yükleyin.

Bilinen sorun 4

Devre dışı bırakılmış ve kilitlenmiş kullanıcı hesaplarının parolaları anlaşma paketi kullanılarak değiştirilemez.

Devre dışı bırakılmış ve kilitlenmiş hesapların parola değişiklikleri, doğrudan LDAP değiştirme işlemini kullanma gibi diğer yöntemler kullanıldığında çalışmaya devam eder. Örneğin, PowerShell cmdlet Set-ADAccountPassword parolayı değiştirmek için bir "LDAP Değiştir" işlemi kullanır ve bundan etkilenmez.

Geçici çözüm

Bu hesaplar, parola sıfırlama işlemi için bir yönetici gerektirir. Bu davranış, MS16-101 ve sonraki düzeltmeler yüklendikten sonra tasarım gereğidir.
Bilinen sorun 5

NetUserChangePassword API'sini kullanan ve domainname parametresinde servername geçiren uygulamalar, MS16-101 ve sonraki güncelleştirmeler yüklendikten sonra artık çalışmayacaktır.

Microsoft belgeleri, NetUserChangePassword işlevinin domainname parametresinde bir uzak sunucu adı sağlamanın desteklendiğini belirtir. Örneğin, NetUserChangePassword işlevi MSDN konusunda aşağıdakiler belirtilir:

domainname [in]

İşlevin yürütüleceği uzak sunucunun veya etki alanının DNS veya NetBIOS adını belirten sabit dizenin işaretçisi. Bu parametre NULL ise, arayanın oturum açma etki alanı kullanılır. Durum

Parola sıfırlama yerel bilgisayardaki yerel bir hesaba yönelik olmadığı sürece bu kılavuzun yerini MS16-101 almıştır.

MS16-101 sonrası, etki alanı kullanıcı parolası değişikliklerinin çalışması için, NetUserChangePassword API'sine geçerli bir DNS Etki Alanı Adı geçirmeniz gerekir.

Bilinen sorun 6

MS16-101'de açıklanan güvenlik güncelleştirmelerini yükledikten sonra, yerel kullanıcı hesabı parolasının uzak, programlı değişiklikleri ve güvenilmeyen ormanlardaki parola değişiklikleri başarısız olur.

Bu işlem, MS16-101 yüklendikten sonra yerel olmayan hesaplar için artık desteklenmeyen NTLM geri dönüşüne bağlı olduğundan başarısız olur.

Bu değişikliği devre dışı bırakmak için kullanabileceğiniz bir kayıt defteri girdisi sağlanmıştır.

Uyarı: Bu geçici çözüm, bilgisayarın veya ağın kötü niyetli kullanıcılar veya virüsler gibi kötü amaçlı yazılımlar tarafından gerçekleştirilecek saldırılara karşı daha savunmasız kalmasına neden olabilir. Bu geçici çözüm önerilmez, ancak gerekli olduğunu düşünürseniz kullanabilmeniz amacıyla bu bilgiler sağlanmaktadır. Bu geçici çözümden doğabilecek riskler sizin sorumluluğunuzdadır.

ÖnemliBu bölüm, yöntem veya görev, kayıt defterini nasıl değiştireceğinizin anlatıldığı adımları içermektedir. Ancak kayıt defterinde yanlış bir değişiklik yaparsanız, ciddi sorunlar oluşabilir. Bu nedenle, adımları dikkatle izlediğinizden emin olun. Ek koruma için, değiştirmeden önce kayıt defterinizi yedekleyin Böylece bir sorun oluşursa kayıt defterini geri yükleyebilirsiniz. Kayıt defterini yedekleme ve geri yükleme hakkında daha fazla bilgi için Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere aşağıdaki makale numarasına tıklayın:
322756 Windows'ta kayıt defterini yedekleme ve geri yükleme

Bu değişikliği devre dışı bırakmak için NegoAllowNtlmPwdChangeFallback DWORD girdisini 1 (bir) değerini kullanacak şekilde ayarlayın.

Önemli: NegoAllowNtlmPwdChangeFallback kayıt defteri girdisinin 1 değerine ayarlanması bu güvenlik düzeltmesini devre dışı bırakacaktır:

Kayıt defteri değeri	Açıklama
0	Varsayılan değer. Geri dönüş önlenir.
1	Geri dönüşe her zaman izin verilir. Güvenlik düzeltmesi kapatıldı. Uzak yerel hesaplarla veya güvenilmeyen orman senaryolarıyla ilgili sorunları olan müşteriler kayıt defterini bu değere ayarlayabilir.

Bu kayıt defteri değerlerini eklemek için şu adımları izleyin:

Başlat’a ve ardından Çalıştır’a tıklayarak Aç kutusuna regedit yazın ve Tamam’a tıklayın.
Kayıt defterinde aşağıdaki alt anahtarı bulup buna tıklayın:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Düzenle menüsünde, Yeni’nin üzerine gelin ve DWORD Değeri’ne tıklayın.
DWORD adı olarak NegoAllowNtlmPwdChangeFallback yazın ve ENTER tuşuna basın.
NegoAllowNtlmPwdChangeFallback'e sağ tıklayın ve ardından Değiştir'e tıklayın.
Bu değişikliği devre dışı bırakmak için Değer verisi kutusuna 1 yazın ve Tamam'a tıklayın.

Not Varsayılan değeri geri yüklemek için 0 (sıfır) yazın ve Tamam'a tıklayın.

Durum

Bu sorunun temel nedeni anlaşılmaktadır. Bu makale, kullanılabilir hale geldikçe ek ayrıntılarla güncelleştirilecektir.

Güncelleştirmeyi edinme ve yükleme

Yöntem 1: Windows Update

Bu güncelleştirme, Windows Update aracılığıyla sunulmaktadır. Otomatik güncelleştirmeyi açtığınızda, bu güncelleştirme otomatik olarak indirilir ve yüklenir. Otomatik güncelleştirmeleri açma hakkında daha fazla bilgi için bkz.
Güvenlik güncelleştirmelerini otomatik olarak edinin.

Yöntem 2: Microsoft Update Kataloğu

Bu güncelleştirmenin tek başına paketini edinmek için Microsoft Update Kataloğu web sitesine gidin.

Yöntem 3: Microsoft İndirme Merkezi

Tek başına güncelleştirme paketini Microsoft İndirme Merkezi aracılığıyla edinebilirsiniz. Güncelleştirmeyi yüklemek için indirme sayfasındaki yükleme yönergelerini izleyin.

Çalıştırdığınız Windows sürümüne karşılık gelen Microsoft Güvenlik Bülteni MS16-101'deki indirme bağlantısına tıklayın.

Daha Fazla Bilgi

Güvenlik güncelleştirmesi dağıtım bilgileri

Windows Vista (tüm sürümler)Başvuru Tablosu