8 листопада 2022 р. – KB5020003 (лише оновлення системи безпеки)
Дата випуску:
08.11.2022
Версія:
Оновлення лише для системи безпеки
Зведення
Дізнайтеся більше про це оновлення лише системи безпеки, зокрема про покращення, відомі проблеми та способи отримання оновлення.
НАГАДУВАННЯ . Підтримка Windows Server 2012 завершилася після завершення базової підтримки. Тепер надається розширена підтримка. Починаючи з липня 2020 р., для цієї операційної системи більше не буде необов'язкових випусків (відому як "C" або "D". Операційні системи в розширеній підтримці мають лише сукупні щомісячні оновлення системи безпеки (відомі як "B" або "Оновити вівторок".
Переконайтеся, що інстальовано необхідні оновлення, перелічені в розділі Отримання цього оновлення перед інсталяцією цього оновлення.
Нотатка Відомості про різні типи оновлень Windows, як-от критично важливі оновлення, безпека, драйвери, пакети оновлень тощо, див. в цій статті. Щоб переглянути інші нотатки та повідомлення, див. домашню сторінку журналу оновлень Windows Server 2012.
Поліпшень
Це оновлення лише системи безпеки містить основні зміни для таких елементів:
-
Оновлення перехід на літній або зимовий час для Йорданії, щоб запобігти переміщенню годинника назад на 1 годину 28 жовтня 2022 року. Крім того, змінює коротке ім'я Йорданії стандартний час з "(UTC+02:00) Amman" на "(UTC+03:00) Amman".
-
Вирішено проблему, через яку після інсталяції оновлення від 11 січня 2022 р. або пізнішої версії процес створення довіри лісу не вдається заповнити суфікси імен DNS в атрибути відомостей про довіру.
-
Вирішено проблему вразливості системи безпеки в протоколах Kerberos і Netlogon, як зазначено в CVE-2022-38023, CVE-2022-37966 і CVE-2022-37967. Відомості про розгортання див. в таких статтях:
-
KB5020805: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37967
-
KB5021130: керування змінами протоколу Netlogon, пов'язаними з CVE-2022-38023
-
KB5021131: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37966
Докладні відомості про усунуті вразливості системи безпеки див. в статті Розгортання | Посібник з оновлення системи безпеки та Оновлення системи безпеки за листопад 2022 р.
-
Докладні відомості про усунуті вразливості системи безпеки див. в статті Розгортання | Посібник з оновлення системи безпеки та Оновлення системи безпеки за листопад 2022 р.
Відомі проблеми в цьому оновленні
Проблема |
Наступний крок |
Після інсталяції цього оновлення або пізнішої версії оновлення Windows операції об'єднання домену можуть виявитися невдалими, а помилка "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Крім того, текст про те, що "Обліковий запис із таким самим іменем існує в Active Directory. Повторне використання облікового запису заблоковано політикою безпеки" може відображатися. Сценарії, на які впливає проблема, включають деякі операції з приєднання до домену або повторного відтворення, під час яких обліковий запис комп'ютера створено або попередньо поставлено іншим посвідченням, ніж посвідчення, що використовується для підключення комп'ютера до домену або повторного підключення до нього. Докладні відомості про цю проблему див. в статті KB5020276 – Netjoin: зміни, пов'язані з приєднанням до домену. Нотатка У випусках Windows для настільних комп'ютерів для споживачів навряд чи виникатить ця проблема. |
Докладні відомості про цю проблему див. в статті KB5020276 . |
Після інсталяції оновлень Windows, випущених 8 листопада 2022 року або пізніше, на серверах Windows, на яких використовується роль контролера домену, можуть виникнути проблеми з автентифікацією Kerberos. Ця проблема може вплинути на будь-яку автентифікацію Kerberos у вашому середовищі. Деякі сценарії, які можуть вплинути на:
Під час виникнення цієї проблеми може з'явитися подія помилки Microsoft-Windows-Windows-Kerberos-Key-Distribution-Center Event ID 4 в розділі Система журналу подій на контролері домену з текстом нижче. Нотатка Події, на які впливає проблема, міститимуть рядок "відсутній ключ має ідентифікатор 1":
Нотатка Ця проблема не є очікуваною частиною посилення безпеки для Netlogon і Kerberos, починаючи з оновлення системи безпеки за листопад 2022 року. Ви все одно будете змушені дотримуватися вказівок у цих статтях, навіть коли цю проблему буде вирішено. Ця проблема не впливає на пристрої Windows, які використовуються вдома споживачами або пристроями, які не входять до локального домену. Середовища Azure Active Directory, які не є гібридними та не мають локальна служба Active Directory серверів, не впливають. |
Цю проблему вирішено в оновленні KB5021652. |
Після інсталяції цього оновлення або пізнішого оновлення на контролері домену може стався витік пам'яті зі службою підсистеми локального центру безпеки (LSASS,exe). Залежно від навантаження постійного струму та часу після останнього перезавантаження сервера, LSASS може постійно збільшувати обсяг пам'яті під час роботи сервера, а сервер може припинити або автоматично перезавантажитися. Нотатка Ця проблема може вплинути на застарілі оновлення для DCs, випущених 17 листопада 2022 року та 18 листопада 2022 року. |
Щоб зменшити цю проблему, відкрийте командний рядок із правами адміністратора та використайте таку команду, щоб установити для розділу реєстру KrbtgtFullPacSignatureзначення 0:
Примітка Після вирішення цієї відомої проблеми слід установити для параметра KrbtgtFullPacSignature значення вищого значення залежно від того, що дозволить ваше середовище. Радимо ввімкнути режим примусового застосування, щойно середовище буде готове. Докладні відомості про цей розділ реєстру див. в статті KB5020805: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37967. Ми працюємо над вирішенням цієї проблеми та надамо відповідне оновлення в наступному випуску. |
Після інсталяції цього оновлення програми, які використовують підключення ODBC через microsoft ODBC SQL Server Driver (sqlsrv32.dll) для доступу до баз даних, можуть не підключатися. Крім того, у програмі може з'явитися повідомлення про помилку або повідомлення про помилку від SQL Server. Можуть з'явитися такі повідомлення:
Примітка для розробників: Програмам, на які впливає ця проблема, може не вдатися отримати дані, наприклад під час використання функції SQLFetch. Ця проблема може виникнути під час виклику функції SQLBindCol до sqlFetch або виклику функції SQLGetData після SQLFetch, а значення 0 (нуль) для аргументу "BufferLength" для фіксованих типів даних, розмір яких перевищує 4 байти (наприклад, SQL_C_FLOAT). Щоб вирішити, чи використовуєте ви відповідну програму, відкрийте програму, яка підключається до бази даних. Відкрийте вікно командного рядка, введіть таку команду та натисніть клавішу Enter:
Якщо команда повертає завдання, це може вплинути на програму. |
Щоб зменшити цю проблему, виконайте одну з таких дій:
Цю проблему вирішено в оновленні KB5022343. Якщо ви впровадили наведений вище спосіб вирішення, радимо продовжити використовувати конфігурацію, щоб вирішити цю проблему. |
Отримання оновлення
Перед інсталяцією цього оновлення
Ми наполегливо рекомендуємо інсталювати останнє оновлення стека обслуговування (SSU) для своєї операційної системи перед інсталяцією останнього зведеного оновлення. Оновлення стека обслуговування (SSU) підвищують надійність процесу оновлення для зменшення потенційних проблем під час інсталяції останнього зведеного оновлення та застосування виправлень системи безпеки корпорації Майкрософт. Загальні відомості про оновлення стека обслуговування (SSU) див. в статті Оновлення стека обслуговування та Стек обслуговування Оновлення (SSU): запитання й відповіді.
Якщо ви використовуєте Windows Update, останнє оновлення SSU (KB5016263) буде запропоновано вам автоматично. Щоб отримати автономний пакет для останнього оновлення SSU, виконайте пошук у Каталозі Microsoft Update.
НАГАДУВАННЯ Якщо ви використовуєте лише оновлення системи безпеки, потрібно також інсталювати всі попередні оновлення лише системи безпеки та останнє сукупне оновлення для Internet Explorer (KB5019958).
Мовні пакети
Якщо після інсталяції цього оновлення інстальовано мовний пакет, потрібно повторно інсталювати це оновлення. Тому радимо інсталювати всі потрібні мовні пакети, перш ніж інсталювати це оновлення. Докладні відомості див. в статті Додавання мовних пакетів до Windows.
Інсталювати це оновлення
Канал випуску |
Доступно |
Наступний крок |
Windows Update і Microsoft Update |
Ні |
Інші варіанти наведено нижче. |
Каталог Microsoft Update |
Так |
Щоб отримати автономний пакет для цього оновлення, перейдіть на веб-сайт Каталог Microsoft Update. |
Служби Windows Server Update Services (WSUS) |
Так |
Це оновлення автоматично синхронізується зі службами WSUS, якщо ви налаштуєте продукти та класифікації таким чином: Продукт: Windows Server 2012, Windows Embedded 8 Standard Класифікація: оновлення системи безпеки |
Відомості про файл
Щоб отримати список файлів, які містить це оновлення, завантажте відомості про файл для сукупного оновлення KB5020003.
Посилання
Дізнайтеся про стандартну термінологію , яка використовується для опису оновлень програмного забезпечення Microsoft.