8 листопада 2022 р. – KB5020003 (лише оновлення системи безпеки)

Застосовується до
Windows Server 2012 Windows Embedded 8 Standard

Зведення

Дізнайтеся більше про це оновлення системи безпеки, зокрема про покращення, відомі проблеми та способи отримання оновлення.

Примітка.

  • НАГАДУЄМО Windows Server що завершилася базова підтримка версії 2012 і зараз надається розширена підтримка. Починаючи з липня 2020 р., для цієї операційної системи більше не будуть виходити додаткові випуски (відомі як "C" або "D"). Операційні системи, для яких надається розширена підтримка, мають лише сукупні щомісячні оновлення системи безпеки (так званий випуск "B" або "Оновлення у вівторок").
  • Переконайтеся, що інстальовано всі потрібні оновлення, зазначені в розділі " Отримання оновлення ", перш ніж інсталювати це оновлення.

Примітка.

Примітка Відомості про різні типи оновлень Windows, як-от критично важливі оновлення, оновлення системи безпеки, оновлення драйверів, пакети оновлень тощо, див. в наступній статті. Щоб переглянути інші нотатки та повідомлення, див. домашню сторінку журналу оновлень Windows Server 2012.

Покращення

Це оновлення лише системи безпеки містить основні зміни, передбачені нижче.

Докладні відомості про усунуті вразливості системи безпеки див. в розділі "Розгортання" | Посібник з оновлень системи безпеки та Оновлення системи безпеки за листопад 2022 р.

Відомі проблеми в цьому оновленні

Ознака Наступний крок
Після інсталяції цього оновлення Windows або пізнішої версії операції приєднання до домену можуть бути невдалими та траплятися помилка "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Крім того, додано текст "У службі Active Directory існує обліковий запис із таким самим іменем. Повторне використання облікового запису заблоковано політикою безпеки".
До сценаріїв, яких це стосується, належать деякі операції з приєднання до домену або повторного створення зображень, коли обліковий запис комп'ютера було створено або попередньо інстальовано на основі іншого посвідчення, ніж посвідчення, що використовується для приєднання або повторного приєднання комп'ютера до домену.
Докладні відомості про цю проблему див. в статті KB5020276– Netjoin: зміни посилення об'єднання доменів.
Примітка Ця проблема навряд чи виникатиме у споживацьких настільних ПК.		 Докладні відомості про цю проблему див. в KB5020276 .
Після інсталяції оновлень Windows, випущених 8 листопада 2022 року або пізніше, на серверах Windows, які використовують роль контролера домену, можуть виникнути проблеми з автентифікацією Kerberos. Ця проблема може вплинути на будь-яку автентифікацію Kerberos у вашому середовищі. Нижче наведено деякі сценарії, які можуть зазнати впливу:

  • Вхід користувача домену може завершитися помилкою. Це також може вплинути на автентифікацію Служба об'єднання AD FS (AD FS).
  • Керовані групою облікові записи служб (gMSA), які використовуються для таких служб, як Інформаційні служби Інтернету (IIS Web Server), можуть не пройти автентифікацію.
  • Підключення до віддаленого робочого стола за допомогою користувачів домену може завершитися помилкою.
  • Можливо, не вдасться отримати доступ до спільних папок на робочих станціях і серверах.
  • Друк, для виконання якого потрібна автентифікація користувача домену, може завершитися помилкою.
Коли виникає ця проблема, ви можете отримати подію помилки Microsoft-Windows-Kerberos-Key-Distribution-Center ID у розділі "Система" журналу подій на контролері домену з наведеним нижче текстом.

Примітка Події, на які вплинула проблема, міститимуть рядок " відсутній ключ має ідентифікатор 1":

Під час обробки запиту AS на цільову послугу <>в імені> облікового запису облікового запису <не було відповідного ключа для створення запиту Kerberos (відсутній ключ має ідентифікатор 1). Запитувані типи : 18 3. Доступні рахунки: 23 18 17. Змінення або скидання пароля імені <> облікового запису призведе до створення правильного ключа.
Примітка Ця проблема не є очікуваним наслідком посилення безпеки для Netlogon і Kerberos, починаючи з оновлення системи безпеки за листопад 2022 року. Вам усе одно доведеться дотримуватися наведених у цих статтях указівок, навіть після вирішення цієї проблеми.

Ця проблема не впливає на пристрої Windows, якими споживачі користуються вдома, або пристрої, які не є частиною локального домену. Azure середовища Active Directory, які не є гібридними та не мають локальна служба Active Directory серверів.		 Цю проблему вирішено в оновленні KB5021652.
Після інсталяції цього або пізнішого оновлення на контролері домену може статися витік пам'яті в службі підсистеми локального центра безпеки (LSASS,exe). Залежно від завантаженості контролера домену та часу від останнього перезавантаження сервера LSASS може постійно збільшувати обсяг використання пам'яті з часом роботи сервера, а сервер може припинити реагувати або автоматично перезавантажуватися.
Примітка Ця проблема може вплинути на позачергові оновлення для контролерів домену, випущені 17 та 18 листопада 2022 року.		 Щоб зменшити цю проблему, відкрийте командний рядок від імені адміністратора та за допомогою наведеної нижче команди встановіть 0 для розділу реєстру KrbtgtFullPacSignature:
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -tREG_DWORD Примітка Після вирішення цієї відомої проблеми слід встановити для параметра KrbtgtFullPacSignature вищий параметр, залежно від того, що дозволяє ваше середовище. Радимо ввімкнути режим примусового застосування, щойно середовище буде готове.
Докладні відомості про цей розділ реєстру див. в статті KB5020805: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37967.
Ми працюємо над вирішенням цієї проблеми та надамо оновлення в наступному випуску.
Після інсталяції цього оновлення програми, які використовують підключення ODBC через драйвер Microsoft ODBC SQL Server драйвер (sqlsrv32.dll) для доступу до баз даних, можуть не підключатися. Крім того, ви можете отримати повідомлення про помилку в програмі або від SQL Server. Ви можете отримати такі повідомлення про помилку:

  • Сталася помилка в системі EMS.
    Повідомлення: [Драйвер Microsoft ODBC] [для SQL Server] Помилка протоколу в потоці табличних даних.
  • Сталася помилка в системі EMS.
    Повідомлення: [Драйвер Microsoft ODBC] [для SQL Server] Від SQL Server отримано невідомий маркер.
Примітка для розробників: Програми, на які вплинула ця проблема, можуть не бути знатними отримати дані, наприклад, якщо використовується функція SQLFetch. Ця проблема може виникнути під час виклику функції SQLBindCol перед SQLF або виклику функції SQLGetData після SQLF і коли для аргументу 'BufferLength' для фіксованих типів даних, розмір яких перевищує 4 байти (наприклад, SQL_C_FLOAT, надається значення 0 (нуль).

Щоб визначити, чи ви використовуєте програму, на яку впливає проблема, відкрийте програму, яка підключається до бази даних. Відкрийте вікно командного рядка, введіть наведену нижче команду та натисніть клавішу Enter:

Список завдань /m sqlsrv32.dll
Якщо команда повертає завдання, це може вплинути на програму.		 Щоб пом’якшити наслідки цієї проблеми, виконайте одну з наведених нижче дій.

  • Якщо програма вже використовує або може використовувати ім'я джерела даних (DSN) для вибору підключень ODBC, інсталюйте драйвер Microsoft ODBC 17 для SQL Server і виберіть його для використання з програмою, яка використовує DSN.

    Примітка. Рекомендуємо найновішу версію драйвера Microsoft ODBC 17 для SQL Server, оскільки вона забезпечує кращу сумісність із програмами, які наразі використовують застарілий драйвер Microsoft ODBC SQL Server (sqlsrv32.dll), ніж драйвер Microsoft ODBC 18 для SQL Server.
  • Якщо програма не може використовувати DSN, потрібно змінити її таким чином, щоб дозволити використання DSN, або застосувати новіший драйвер ODBC, ніж драйвер Microsoft ODBC для SQL Server (sqlsrv32.dll).
Цю проблему вирішено в KB5022343. Якщо ви реалізували наведений вище спосіб вирішення, радимо продовжити використовувати конфігурацію в цьому тимчасовому шляху.

Отримання оновлення

Перед інсталяцією цього оновлення

Наполегливо рекомендуємо інсталювати останнє оновлення стека обслуговування (SSU) для операційної системи перед інсталяцією останнього зведеного оновлення. Оновлення стека обслуговування (SSU) підвищують надійність процесу оновлення для зменшення потенційних проблем під час інсталяції останнього зведеного оновлення та застосування виправлень системи безпеки корпорації Майкрософт. Загальні відомості див. в статтях Оновлення стека обслуговування та Оновлення стека обслуговування (SSU): запитання й відповіді.

Якщо ви використовуєте Windows Update, останнє оновлення SSU (KB5016263) буде запропоновано вам автоматично. Щоб отримати автономний пакет для останнього оновлення SSU, виконайте пошук у Каталозі Microsoft Update.

Примітка.

НАГАДУВАННЯ Якщо ви використовуєте лише оновлення системи безпеки, також потрібно інсталювати всі попередні оновлення системи безпеки та останній сукупний пакет оновлень для Internet Explorer (KB5019958).

Мовні пакети

Якщо після інсталяції цього оновлення ви встановили мовний пакет, потрібно повторно інсталювати це оновлення. Тому ми рекомендуємо встановити всі необхідні мовні пакети, перш ніж інсталювати це оновлення. Докладнішу інформацію див. у розділі Додавання мовних пакетів до Windows.

Інсталювати це оновлення

Канал випуску Доступно Наступний крок
Windows Update і Microsoft Update Ні Інші варіанти наведено нижче.
Каталог Microsoft Update Так Щоб отримати автономний пакет для цього оновлення, перейдіть на веб-сайт Каталог Microsoft Update.
Служби Windows Server Update Services (WSUS) Так Це оновлення автоматично синхронізується зі службами WSUS, якщо ви налаштуєте продукти та класифікації таким чином:
Продукт: Windows Server 2012, Windows Embedded 8 Standard
Класифікація: оновлення системи безпеки

Відомості про файли

Щоб отримати список файлів, які містить це оновлення, завантажте відомості про файл для сукупного оновлення KB5020003.

Список літератури

Дізнайтеся, якими стандартними термінами описуються оновлення програмного забезпечення Microsoft.