8 листопада 2022 р. – KB5020005 (лише оновлення системи безпеки)

Застосовується до
Windows Server 2008 Datacenter ESU Windows Server 2008 Standard ESU Windows Server 2008 Enterprise ESU

Зведення

Дізнайтеся більше про це оновлення системи безпеки, зокрема про покращення, відомі проблеми та способи отримання оновлення.

Примітка.

  • НАГАДУВАННЯ Windows Server 2008 р. з пакетом оновлень 2 (SP2) завершилася базова підтримка, і зараз надається розширена підтримка. Починаючи з липня 2020 р., для цієї операційної системи більше не надаватимуться додаткові випуски, що не стосуються безпеки (відомі як випуски "C"). Операційні системи, для яких надається розширена підтримка, мають лише сукупні щомісячні оновлення системи безпеки (так званий випуск "B" або "Оновлення у вівторок").
  • Переконайтеся, що інстальовано всі необхідні оновлення в розділі " Отримання оновлення ", перш ніж інсталювати це оновлення.
  • Клієнти, які придбали подовжене оновлення системи безпеки (ESU) для локальних версій цієї ОС, повинні дотримуватися процедур, описаних у KB4522133 , щоб і надалі отримувати оновлення системи безпеки після завершення розширеної підтримки 14 січня 2020 року. Докладні відомості про подовжене оновлення системи безпеки та випуски, які підтримуються, наведено в статті KB4497181.
  • Оскільки подовжене оновлення системи безпеки доступне як окремий обліковий номер для кожного року, протягом якого вони пропонуються (2020, 2021 і 2022), а також оскільки подовжене оновлення системи безпеки можна придбати лише протягом певних 12-місячних періодів, ви повинні придбати третій рік покриття подовженого оновлення системи безпеки окремо та активувати новий ключ на кожному відповідному пристрої, щоб ваші пристрої продовжували отримувати оновлення системи безпеки в 2022 році.
  • Якщо ваша організація не придбала третій рік дії програми подовженого оновлення системи безпеки, вам потрібно придбати подовжене оновлення системи безпеки протягом 1-го, 2-го й 3-го років для відповідних пристроїв Windows Server 2008 із пакетом оновлень 2 (SP2), перш ніж інсталювати й активувати ключі мультиактиваційного ключа для 3-го року користування для отримання оновлень. Кроки з встановлення, активації та розгортання подовжених оновлень системи безпеки однакові для першого, другого та третього років покриття. Докладні відомості див. в статтях "Отримання Оновлення розширеної безпеки для відповідних пристроїв Windows для процесу корпоративного ліцензування "Volume Licensing" і "Придбання подовжених оновлень системи безпеки Windows 7 як постачальника хмарних рішень" для процесу CSP. Щоб отримати відомості про вбудовані пристрої, зверніться до виробника оригінального обладнання (OEM).
  • Для отримання додаткової інформації перегляньте блог ESU.

Примітка.

Примітка Відомості про різні типи оновлень Windows, як-от критично важливі оновлення, оновлення системи безпеки, оновлення драйверів, пакети оновлень тощо, див. в наступній статті. Щоб переглянути інші нотатки та повідомлення для Windows Server 2008 із пакетом оновлень 2 (SP2), відвідайте таку домашню сторінку журналу оновлень.

Покращення

Це оновлення лише системи безпеки містить основні зміни, передбачені нижче.

Докладні відомості про усунуті вразливості системи безпеки див. в розділі "Розгортання" | Посібник з оновлень системи безпеки та Оновлення системи безпеки за листопад 2022 р.

Відомі проблеми в цьому оновленні

Ознака Наступний крок
Після інсталяції цього оновлення та перезапуску пристрою може з’явитися повідомлення про помилку "Не вдалося налаштувати оновлення Windows. Скасування змін. Не вимикайте комп'ютер", і оновлення може відображатися як "Помилка" в журналі оновлень. Це очікується в описаних нижче випадках.

  • Якщо ви інсталюєте це оновлення на пристрій, що працює під керуванням випуску, який не підтримується для подовженого оновлення системи безпеки. Повний список підтримуваних випусків див. в розділі KB4497181.
  • Якщо у вас немає інстальованого та активованого ключа додаткового компонента MAK програми подовженого оновлення системи безпеки.
Якщо ви придбали ключ програми подовженого оновлення системи безпеки та зіткнулися з цією проблемою, переконайтеся, що ви виконали всі передумови та ваш ключ активовано. Щоб отримати відомості про активацію, перегляньте цей запис блоґу. Докладніші відомості про вимоги див. в розділі "Отримання оновлення" цієї статті.
Після інсталяції цього оновлення Windows або пізнішої версії операції приєднання до домену можуть бути невдалими та траплятися помилка "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Крім того, додано текст "У службі Active Directory існує обліковий запис із таким самим іменем. Повторне використання облікового запису заблоковано політикою безпеки".
До сценаріїв, яких це стосується, належать деякі операції з приєднання до домену або повторного створення зображень, коли обліковий запис комп'ютера було створено або попередньо інстальовано на основі іншого посвідчення, ніж посвідчення, що використовується для приєднання або повторного приєднання комп'ютера до домену.
Докладні відомості про цю проблему див. в статті KB5020276– Netjoin: зміни посилення об'єднання доменів.
Примітка Ця проблема навряд чи виникатиме у споживацьких настільних ПК.		 Докладні відомості про цю проблему див. в KB5020276 .
Після інсталяції оновлень Windows, випущених 8 листопада 2022 року або пізніше, на серверах Windows, які використовують роль контролера домену, можуть виникнути проблеми з автентифікацією Kerberos. Ця проблема може вплинути на будь-яку автентифікацію Kerberos у вашому середовищі. Нижче наведено деякі сценарії, які можуть зазнати впливу:

  • Вхід користувача домену може завершитися помилкою. Це також може вплинути на автентифікацію Служба об'єднання AD FS (AD FS).
  • Керовані групою облікові записи служб (gMSA), які використовуються для таких служб, як Інформаційні служби Інтернету (IIS Web Server), можуть не пройти автентифікацію.
  • Підключення до віддаленого робочого стола за допомогою користувачів домену може завершитися помилкою.
  • Можливо, не вдасться отримати доступ до спільних папок на робочих станціях і серверах.
  • Друк, для виконання якого потрібна автентифікація користувача домену, може завершитися помилкою.
Коли виникає ця проблема, ви можете отримати подію помилки Microsoft-Windows-Kerberos-Key-Distribution-Center ID у розділі "Система" журналу подій на контролері домену з наведеним нижче текстом.

Примітка Події, на які вплинула проблема, міститимуть рядок " відсутній ключ має ідентифікатор 1":

Під час обробки запиту AS на цільову послугу <>в імені> облікового запису облікового запису <не було відповідного ключа для створення запиту Kerberos (відсутній ключ має ідентифікатор 1). Запитувані типи : 18 3. Доступні рахунки: 23 18 17. Змінення або скидання пароля імені <> облікового запису призведе до створення правильного ключа.
Примітка Ця проблема не є очікуваним наслідком посилення безпеки для Netlogon і Kerberos, починаючи з оновлення системи безпеки за листопад 2022 року. Вам усе одно доведеться дотримуватися наведених у цих статтях указівок, навіть після вирішення цієї проблеми.

Ця проблема не впливає на пристрої Windows, якими споживачі користуються вдома, або пристрої, які не є частиною локального домену. Azure середовища Active Directory, які не є гібридними та не мають локальна служба Active Directory серверів.		 Цю проблему вирішено в оновленні KB5021657.
Після інсталяції цього або пізнішого оновлення на контролері домену може статися витік пам'яті в службі підсистеми локального центра безпеки (LSASS,exe). Залежно від завантаженості контролера домену та часу від останнього перезавантаження сервера LSASS може постійно збільшувати обсяг використання пам'яті з часом роботи сервера, а сервер може припинити реагувати або автоматично перезавантажуватися.
Примітка Ця проблема може вплинути на позачергові оновлення для контролерів домену, випущені 17 та 18 листопада 2022 року.		 Щоб зменшити цю проблему, відкрийте командний рядок від імені адміністратора та за допомогою наведеної нижче команди встановіть 0 для розділу реєстру KrbtgtFullPacSignature:
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Примітка Після вирішення цієї відомої проблеми слід встановити для параметра KrbtgtFullPacSignature вищий параметр, залежно від того, що дозволятиме ваше середовище. Радимо ввімкнути режим примусового застосування, щойно середовище буде готове.
Докладні відомості про цей розділ реєстру див. в статті KB5020805: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37967.
Ми працюємо над вирішенням цієї проблеми та надамо оновлення в наступному випуску.
Після інсталяції цього оновлення програми, які використовують підключення ODBC через драйвер Microsoft ODBC SQL Server драйвер (sqlsrv32.dll) для доступу до баз даних, можуть не підключатися. Крім того, ви можете отримати повідомлення про помилку в програмі або від SQL Server. Ви можете отримати такі повідомлення про помилку:

  • Сталася помилка в системі EMS.
    Повідомлення: [Драйвер Microsoft ODBC] [для SQL Server] Помилка протоколу в потоці табличних даних.
  • Сталася помилка в системі EMS.
    Повідомлення: [Драйвер Microsoft ODBC] [для SQL Server] Від SQL Server отримано невідомий маркер.
Примітка для розробників: Програми, на які вплинула ця проблема, можуть не бути знатними отримати дані, наприклад, якщо використовується функція SQLFetch. Ця проблема може виникнути під час виклику функції SQLBindCol перед SQLF або виклику функції SQLGetData після SQLF і коли для аргументу 'BufferLength' для фіксованих типів даних, розмір яких перевищує 4 байти (наприклад, SQL_C_FLOAT, надається значення 0 (нуль).

Щоб визначити, чи ви використовуєте програму, на яку впливає проблема, відкрийте програму, яка підключається до бази даних. Відкрийте вікно командного рядка, введіть наведену нижче команду та натисніть клавішу Enter:

tasklist /m sqlsrv32.dll
Якщо команда повертає завдання, це може вплинути на програму.		 Щоб пом’якшити наслідки цієї проблеми, виконайте одну з наведених нижче дій.

  • Якщо програма вже використовує або може використовувати ім'я джерела даних (DSN) для вибору підключень ODBC, інсталюйте драйвер Microsoft ODBC 17 для SQL Server і виберіть його для використання з програмою, яка використовує DSN.

    Примітка. Рекомендуємо найновішу версію драйвера Microsoft ODBC 17 для SQL Server, оскільки вона забезпечує кращу сумісність із програмами, які наразі використовують застарілий драйвер Microsoft ODBC SQL Server (sqlsrv32.dll), ніж драйвер Microsoft ODBC 18 для SQL Server.
  • Якщо програма не може використовувати DSN, потрібно змінити її таким чином, щоб дозволити використання DSN, або застосувати новіший драйвер ODBC, ніж драйвер Microsoft ODBC для SQL Server (sqlsrv32.dll).
Цю проблему вирішено в KB5022353. Якщо ви реалізували наведений вище спосіб вирішення, радимо продовжити використовувати конфігурацію в цьому тимчасовому шляху.

Отримання оновлення

Перед інсталяцією цього оновлення

ВАЖЛИВО Клієнти, які придбали подовжене оновлення системи безпеки (ESU) для локальних версій цієї ОС, повинні дотримуватися процедур, описаних у KB4522133 , щоб і надалі отримувати оновлення системи безпеки, оскільки розширену підтримку завершено 14 січня 2020 року.

Докладні відомості про подовжене оновлення системи безпеки і випуски, які підтримуються, наведено в статті KB4497181.

Мовні пакети

Якщо після інсталяції цього оновлення ви встановили мовний пакет, потрібно повторно інсталювати це оновлення. Тому ми рекомендуємо встановити всі необхідні мовні пакети, перш ніж інсталювати це оновлення. Докладнішу інформацію див. у розділі Додавання мовних пакетів до Windows.

Обов’язкова умова

Вам необхідно інсталювати зазначені нижче оновлення й перезапустити пристрій перед інсталяцією останнього зведеного оновлення. Інсталяція цих оновлень підвищує надійність процесу оновлення та зменшує потенційні проблеми під час інсталяції останнього зведеного оновлення та застосування виправлень системи безпеки корпорації Майкрософт.

  1. Оновлення стека обслуговування (SSU) від 9 квітня 2019 року (KB4493730). Щоб отримати автономний пакет для цього оновлення стека обслуговування, виконайте пошук у Каталозі Microsoft Update. Це оновлення має інсталювати лише оновлення з алгоритмом SHA-2.
  2. Останнє оновлення SHA-2 (KB4474419) випущено 8 жовтня 2019 р. Якщо ви використовуєте Windows Update, останнє оновлення SHA-2 буде запропоновано вам автоматично. Це оновлення має інсталювати лише оновлення з алгоритмом SHA-2. Щоб отримати додаткові відомості про оновлення SHA-2, див. статтю Вимоги підтримки підписування коду SHA-2 2019 Windows і WSUS.
  3. Пакет підготовки до ліцензування Extended Security Оновлення (ESU) (KB4538484) або оновлення для Пакета підготовки до ліцензування Extended Security Оновлення (ESU) (KB4575904). Пакет підготовки до ліцензування ESU буде запропоновано вам у службі WSUS. Щоб отримати окремий пакет для пакета підготовки до ліцензування ESU, виконайте пошук у Каталозі Microsoft Update.

Після інсталяції наведених вище елементів настійно рекомендуємо інсталювати останнє оновлення SSU (KB5016129). Якщо ви використовуєте Windows Update, останнє оновлення SSU буде запропоновано вам автоматично. Щоб отримати автономний пакет для останнього оновлення SSU, виконайте пошук у Каталозі Microsoft Update. Загальні відомості див. в статтях Оновлення стека обслуговування та Оновлення стека обслуговування (SSU): запитання й відповіді.

Примітка.

НАГАДУВАННЯ Якщо ви використовуєте лише оновлення системи безпеки, також потрібно інсталювати всі попередні оновлення системи безпеки та останній сукупний пакет оновлень для Internet Explorer (KB5019958).

Інсталювати це оновлення

Канал випуску Доступно Наступний крок
Windows Update і Microsoft Update Ні Інші варіанти наведено нижче.
Каталог Microsoft Update Так Щоб отримати автономний пакет для цього оновлення, перейдіть на веб-сайт Каталог Microsoft Update.
Служби Windows Server Update Services (WSUS) Так Це оновлення автоматично синхронізується зі службами WSUS, якщо ви налаштуєте продукти та класифікації таким чином:
Продукт: Windows Server 2008 із пакетом оновлень 2
Класифікація: оновлення системи безпеки

Відомості про файли

Щоб отримати список файлів, які містить це оновлення, завантажте відомості про файл для сукупного оновлення KB5020005.

Список літератури

Дізнайтеся, якими стандартними термінами описуються оновлення програмного забезпечення Microsoft.