摘要
了解有关此累积安全更新的更多信息，包括改进、任何已知问题以及如何获取更新。
注意
- 提醒：Windows 8.1 将于 2023 年 1 月 10 日终止支持，届时将不再提供技术协助和软件更新。 如果你的设备运行 Windows 8.1，建议将它们升级到更新的、正在使用的和受支持的 Windows 版本。 如果设备不符合运行更新版本 Windows 的技术要求，建议将其替换为支持 Windows 11 的设备。
- Microsoft 将不会为 Windows 8.1 提供延长安全更新 (ESU) 计划。 如果在 2023 年 1 月 10 日之后继续使用 Windows 8.1，可能会增加组织面临的安全风险或影响其履行合规性义务的能力。
- 有关详细信息，请参阅 Windows 8.1 支持将于 2023 年 1 月 10 日结束。
- Windows Server 2012 R2 将于 2023 年 10 月 10 日终止对 Datacenter、Essentials、Embedded Systems、Foundation 和 Standard 的支持。
注意
备注 有关各种类型的 Windows 更新（如关键、安全、驱动程序、Service Pack 等）的信息，请参阅以下 文章。 若要查看其他备注和消息，请参阅 Windows 8.1 和 Windows Server 2012 R2 更新历史记录主页。
改进
此累积安全更新包括作为 2022 年 10 月 11 日) 发布的更新 KB5018474 (的一部分的改进，包括以下方面的关键更改：
解决分布式组件对象模型 (DCOM) 身份验证强化问题，以自动提高来自 DCOM 客户端的所有非匿名激活请求的身份验证级别。 如果身份验证级别低于 RPC_C_AUTHN_LEVEL_PKT_INTEGRITY，则会发生这种情况。
汇报约旦的夏令时 (DST) ，以防止在 2022 年 10 月 28 日将时钟向后移动 1 小时。 此外，将约旦标准时间的显示名称从“ (UTC+02：00) 安曼”更改为“ (UTC+03：00) 安曼”。
解决了 AAD) 应用程序代理 连接器由于以下常规 API 错误Microsoft Azure Active Directory (无法代表用户检索 Kerberos 票证的问题：“指定的句柄 (0x80090301) 无效。”
解决了安装 2022 年 1 月 11 日或更高版本更新后，林信任创建过程无法将 DNS 名称后缀填充到信任信息属性中的问题。
解决了启用受保护进程轻型 (PPL) 时，Microsoft Visual C++ 可再发行运行时无法加载到本地安全机构服务器服务 (LSASS) 的问题。
修复了 CVE-2022-38023、 CVE-2022-37966 和 CVE-2022-37967 中概述的 Kerberos 和 Netlogon 协议中的安全漏洞。 有关部署指南，请参阅以下文章：
- KB5020805：如何管理与 CVE-2022-37967 相关的 Kerberos 协议更改
- KB5021130：如何管理与 CVE-2022-38023 相关的 Netlogon 协议更改
- KB5021131：如何管理与 CVE-2022-37966 相关的 Kerberos 协议更改
有关已解决的安全漏洞的详细信息，请参阅部署 |安全更新指南和 2022 年 11 月安全汇报。
有关已解决的安全漏洞的详细信息，请参阅部署 |安全更新指南和 2022 年 11 月安全汇报。
此更新中的已知问题
| 问题 | 下一步 |
|---|---|
| 安装此更新或更高版本的 Windows 更新后，域加入操作可能不会成功，并出现错误“0xaac (2732) ：NERR_AccountReuseBlockedByPolicy”。 此外，文本指出“Active Directory 中存在同名帐户。 可能会显示“安全策略已阻止重用帐户”。 受影响的方案包括一些域加入或重新映像操作，其中计算机帐户是由不同于用于将计算机加入域或重新加入域的标识创建或预暂存的。 有关此问题的更多信息，请参阅 KB5020276 - Netjoin：域加入强化更改。 备注 Windows 消费者桌面版不太可能遇到此问题。 |
此问题已在 KB5023765 中得到解决。 |
在使用域控制器角色的 Windows Server 上安装 2022 年 11 月 8 日或之后发布的 Windows 更新后，可能会出现 Kerberos 身份验证问题。 此问题可能会影响环境中的任何 Kerberos 身份验证。 一些可能受到影响的方案：
备注 受影响的事件将包含“ 缺少的密钥的 ID 为 1”字符串： 在处理目标服务<>的 AS 请求时，帐户<帐户名>没有用于生成 Kerberos 票证的合适密钥， (缺少的密钥的 ID 为 1) 。 请求的 etypes ： 18 3. 可用的帐户 etypes ： 23 18 17. 更改或重置帐户名称>的<密码将生成正确的密钥。 备注从 2022 年 11 月安全更新开始，此问题不是 Netlogon 和 Kerberos 安全强化的预期部分。 即使此问题得到解决，仍必须遵循这些文章中的指南。 用户在家中使用的 Windows 设备或不属于本地域的设备不受此问题的影响。 非混合且没有本地 Active Directory 服务器的 Azure Active Directory 环境不受影响。 |
此问题已在更新 KB5021653 中得到解决。 |
| 在域控制器 (DC) 上安装此更新或更高更新后，本地安全机构子系统服务 (LSASS，exe) 可能会遇到内存泄漏。 根据 DC 的工作负载和自上次重启服务器以来的时间量，LSASS 可能会随着服务器的运行时间持续增加内存使用量，并且服务器可能会无响应或自动重启。 备注 2022 年 11 月 17 日和 2022 年 11 月 18 日发布的 DC 带外更新可能会受到此问题的影响。 |
若要缓解此问题，请以管理员身份打开命令提示符，并使用以下命令将注册表项 KrbtgtFullPacSignature 设置为 0： reg add “HKLM\System\CurrentControlSet\services\KDC” -v “KrbtgtFullPacSignature” -d 0 -t REG_DWORD注意 ：解决此已知问题后，应将 KrbtgtFullPacSignature 设置为更高的设置，具体取决于环境允许的设置。 我们建议你在环境准备就绪后立即启用强制模式。 有关此注册表项的详细信息，请参阅 KB5020805：如何管理与 CVE-2022-37967 相关的 Kerberos 协议更改。 我们正在努力研究解决方案，并将在即将发布的版本中提供更新。 |
安装此更新后，通过 ODBC SQL Server 驱动程序 (sqlsrv32.dll) 使用 ODBC 连接来访问数据库Microsoft应用可能无法连接。 此外，你可能会在应用中收到错误，或者可能会收到来自 SQL Server 的错误。 你可能会收到的错误包括以下消息：
若要确定是否在使用受影响的应用，请打开连接到数据库的应用。 打开命令提示符窗口，键入以下命令，然后按 Enter： tasklist /m sqlsrv32.dll 如果该命令返回任务，则应用可能会受到影响。 |
要缓解此问题，可以执行下列操作之一：
|
如何获取此更新
在安装此更新之前
我们强烈建议你在安装最新的汇总之前为操作系统安装最新的服务堆栈更新 (SSU) 。 SSU 提高了更新过程的可靠性，以便在安装汇总和应用 Microsoft 安全修补程序时缓解潜在的问题。 有关 SSU 的一般信息，请参阅服务堆栈更新和服务堆栈更新 (SSU)：常见问题解答
如果你使用 Windows 更新，则将自动为你提供最新的 SSU (KB5018922) 。 若要获取最新 SSU 的独立程序包，请在 Microsoft 更新目录中进行搜索。
语言包
若在安装此更新后安装语言包，则必须重新安装此更新。 因此，我们建议先安装所需的全部语言包，然后再安装此更新。 有关更多信息，请参阅添加语言包至 Windows。
安装此更新
| 发布渠道 | 可用 | 下一步 |
|---|---|---|
| Windows 更新和 Microsoft 更新 | 是 | 无。 此更新会通过 Windows 更新自动下载并安装。 |
| Microsoft 更新目录 | 是 | 若要获取此更新的独立程序包，请转到 Microsoft 更新目录网站。 |
| Windows Server Update Services (WSUS) | 是 | 如果按照以下方式配置“产品和分类”，此更新将自动与 WSUS 同步： 产品：Windows 8.1、Windows Server 2012 R2、Windows Embedded 8.1 Industry Enterprise、Windows Embedded 8.1 Industry Pro 分类：安全更新 |
文件信息
有关此更新中提供的文件列表，请下载 更新KB5020023的文件信息。
参考
了解用于描述 Microsoft 软件更新的标准术语。