2022年11月8日——KB5020005 (僅安全性更新)

套用到
Windows Server 2008 Datacenter ESU Windows Server 2008 Standard ESU Windows Server 2008 Enterprise ESU

摘要

了解更多關於此僅限安全更新的資訊，包括改進、已知問題及如何取得更新。

注意

  • 提醒Windows Server 2008 服務包 2 (SP2) 已結束主流支援，現正進入延長支援階段。 自 2020 年 7 月起，此作業系統將不再有可選的非安全版本 (稱為「C」版本) 。 處於延伸支援期間的作業系統每月僅有累積安全性更新 (稱為 "B" 或星期二更新版本)。
  • 安裝此更新前，請先確認已安裝 [如何取得此更新] 一節中的必要更新。
  • 已購買 ESU) 擴展安全更新 ( 的客戶，必須依 照 KB4522133 程序，在延長支援於 2020 年 1 月 14 日結束後繼續接收安全更新。 如需有關 ESU 和支援哪些版本的詳細資訊，請參閱 KB4497181。
  • 由於 ESU 在 2020、2021 和 2022) 提供 (年度作為獨立 SKU 提供，且 ESU 只能在 特定 12 個月期間內購買，您必須另購第三年的 ESU 覆蓋，並在每個適用裝置上啟用新金鑰，才能在 2022 年繼續接收安全更新。
  • 如果您的組織未購買第三年ESU覆蓋，您必須先為您的適用的Windows Server 2008 SP2裝置購買第一年、第二年及第三年ESU，才能安裝並啟用第三年MAK金鑰以接收更新。 安裝、啟用及部署ESU的步驟在第一、第二及第三年保障中相同。 欲了解更多資訊，請參閱「為符合資格的 Windows 裝置取得擴展安全匯報，進行批量授權流程，以及作為雲端解決方案提供者購買 Windows 7 ESU，作為 CSP 流程。 如果是內嵌裝置，請連絡原始設備製造商 (OEM)。
  • 欲了解更多資訊，請參閱 ESU部落格。

注意

註 關於各種 Windows 更新類型的資訊，如關鍵更新、安全性更新、驅動程式、服務包等，請參閱以下 文章。 欲查看 Windows Server 2008 SP2 的其他備註與訊息，請參閱以下更新歷史首頁。

改善

此僅安全更新包含以下關鍵變更：

欲了解更多已解決安全漏洞的資訊，請參閱部署 |安全更新指南及2022年11月安全匯報。

此更新中的已知問題

徵兆 後續步驟
安裝此更新並重新啟動設備後，您可能會收到錯誤「無法設定 Windows 更新」。 正在還原變更。 請勿關機」，更新紀錄中可能會顯示「失敗」。 在下列情況中會發生此狀況：

  • 如果要在執行 ESU 不支援的版本的設備上安裝此更新。 有關支援哪些版本的完整清單，請參閱 KB4497181。
  • 如果您沒有安裝並啟用 ESU MAK 附加金鑰。
如果您已購買 ESU 金鑰並遇到此問題，請驗證您已套用所有先決條件，並且金鑰已啟用。 有關啟動的說明，請參閱此部落格文章。 有關先決條件的說明，請參閱本文的「如何獲取此更新」部分。
安裝此更新或後續 Windows 更新後，網域加入操作可能失敗，並出現錯誤「0xaac (2732) ： NERR_AccountReuseBlockedByPolicy」。 此外，還會看到文字寫著「Active Directory 中存在同名帳號。 可能會顯示「重複使用帳號被安全政策阻擋」。
受影響的情境包括某些網域加入或重映像操作，當電腦帳號是由與用於加入或重新加入該網域的身份不同的身份所建立或預先設置的。
欲了解更多此問題，請參見 KB5020276—Netjoin：網域連接強化變更。
註 消費者桌面版的 Windows 不太可能遇到這個問題。		 請參閱 KB5020276 相關指引。
在使用網域控制站角色的 Windows 伺服器上安裝 2022 年 11 月 8 日或之後發佈的 Windows 更新之後，Kerberos 驗證可能有問題。 此問題可能會影響您環境中的任何 Kerberos 驗證。 可能會受到影響的一些案例：

發生此問題時，您可能會在網域控制站的事件記錄中的系統區段收到 Microsoft-Windows-Kerberos-Key-Distribution-Center 事件識別碼 4 錯誤事件，並包含下列文字。

註 受影響的事件會包含「 遺失的金鑰的 ID 為 1“ 字串：

在處理目標服務 <服務>的 AS 請求時，帳戶 <名稱> 沒有合適的金鑰來產生 Kerberos 工單， (缺少的金鑰 ID 為 1) 。 請求的電子類型：18 3。 可用帳戶類型：23 18 17。 更改或重設帳號名稱>的<密碼會產生正確的金鑰。
註 此問題並非 Netlogon 與 Kerberos 自 2022 年 11 月安全更新起實施的安全強化計畫中預期的一部分。 即使此問題解決之後，您仍必須遵循這些文章中的指引。

消費者或不是內部部署網域一部分之裝置在家使用的 Windows 裝置不受此問題影響。 非混合式且沒有內部部署 Active Directory 伺服器的 Azure Active Directory 環境不受影響。		 這個問題在更新 KB5021657中被解決。
在網域控制器 (DC) 安裝此更新或後續更新後，你可能會遇到 LSASS，exe) (Local Security Authority 子系統服務的記憶體洩漏。 根據你的資料中心的工作負載以及自上次重啟以來的時間長短，LSASS 可能會隨著伺服器的運作時間持續增加記憶體使用，導致伺服器變得無反應或自動重啟。
註 2022 年 11 月 17 日及 2022 年 11 月 18 日發布的 DC 外頻段更新可能會受到此問題影響。		 為了減輕此問題，請以管理員身份開啟命令提示字元，並使用以下指令將登錄鍵 KrbtgtFullPacSignature 設為 0：
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
註 解決這個已知問題後，你應該根據環境允許，將 KrbtgtFullPacSignature 設定為更高。 我們建議你在環境準備好後立即啟用執行模式。
欲了解更多關於此登錄金鑰的資訊，請參閱 KB5020805：如何管理與 CVE-2022-37967 相關的 Kerberos 協定變更。
我們正努力研究解決方法，並會在即將推出的版本中提供更新。
安裝此更新後，使用 ODBC 連線的 ODBC SQL Server驅動程式Microsoft (sqlsrv32.dll) 的應用程式可能無法連線。 此外，您可能會在應用程式中收到錯誤訊息，或者您可能會收到來自 SQL Server 的錯誤訊息。 您可能會收到的錯誤包括下列訊息：

  • EMS 系統發生問題。
    訊息：TDS Stream 中的 [Microsoft][ODBC SQL Server 驅動程式] 通訊協定錯誤。
  • EMS 系統發生問題。
    訊息：[Microsoft][ODBC SQL Server 驅動程式] 從 SQL Server 收到的不明權杖。
給開發者注意： 受此問題影響的應用程式可能無法擷取資料，例如使用 SQLFetch 函式時。 此問題可能發生在呼叫 SQLBindCol 函 式後，或在 SQLFetch 後呼叫 SQLGetData 函式 ，且固定資料型別大於 4 位元組 (如 SQL_C_FLOAT) 的「BufferLength」參數給出 0 (0) 。

要判斷你是否使用受影響的應用程式，請開啟連接資料庫的應用程式。 請開啟 [命令提示字元] 視窗，輸入下列命令，然後按 Enter：

tasklist /m sqlsrv32.dll
如果指令回傳任務，應用程式可能會受到影響。		 若要減輕此問題，您可以執行下列其中一個動作：

  • 如果您的應用程式已使用或能使用 DSN) (資料來源名稱來選擇 ODBC 連線，請安裝 Microsoft ODBC 驅動程式 17 for SQL Server，並選擇它搭配 DSN 搭配應用程式使用。

    註：我們推薦SQL Server Microsoft ODBC Driver 17 最新版本，因為它與Microsoft目前使用 ODBC SQL Server 驅動程式 (sqlsrv32.dll) 的應用程式更相容，Microsoft ODBC Driver 18 for SQL Server。
  • 如果您的應用程式無法使用 DSN，則需要修改應用程式以允許 DSN，或使用較 Microsoft ODBC SQL Server Driver (sqlsrv32.dll) 還新的 ODBC 驅動程式。
這個問題在 KB5022353年解決了。 如果你已經實作了上述的變通方法，建議繼續使用該變通方案中的設定。

如何取得此更新

安裝此更新之前

重要 已購買 ESU) 擴展安全更新 ( 本地版本的客戶，必須依 照 KB4522133 中的程序繼續接收安全更新，因為延長支援於 2020 年 1 月 14 日結束。

有關 ESU 以及支援哪些版本的詳細資訊，請參閱 KB4497181。

語言套件

如果您在安裝此更新之後安裝語言套件，您必須重新安裝此更新。 因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。 如需詳細資訊，請參閱將語言套件新增到 Windows (英文)。

先決條件

在安裝最新彙總套件之前，您必須先安裝下列更新並重新啟動您的裝置。 安裝這些更新有助於在安裝彙總套件和套用 Microsoft 安全性修正程式時，提高更新程序的可靠性並防範潛在問題。

  1. 2019 年 4 月 9 日服務堆疊更新 (SSU) (KB4493730)。 要取得此 SSU 的獨立套件，請在 Microsoft Update Catalog 中搜尋。 務必要安裝此更新，才能安裝僅以 SHA-2 簽署的更新。
  2. 2019 年 10 月 8 日發行的最新 SHA-2 更新 (KB4474419)。 如果使用 Windows Update，最新的 SHA-2 更新將會自動提供給您。 務必要安裝此更新，才能安裝僅以 SHA-2 簽署的更新。 如需有關 SHA-2 更新的詳細資訊，請參閱 2019 年 Windows 和 WSUS 的 SHA-2 程式碼簽署支援需求。
  3. 延伸安全更新 (ESU) 授權準備套件 (KB4538484) 或延伸安全更新 (ESU) 授權準備套件的更新 (KB4575904)。 ESU 授權準備套件將會從 WSUS 提供給您。 要取得 ESU 授權準備套件的獨立套件，請在 Microsoft Update Catalog 中搜尋。

安裝上述項目後，我們強烈建議您安裝最新的 SSU (KB5016129) 。 使用 Windows Update 時，若您是 ESU 顧客，則會自動為您提供最新的 SSU。 若要取得最新 SSU 的獨立套件，請在 Microsoft Update Catalog 中搜尋。 如需有關 SSU 的一般資訊，請參閱服務堆疊更新和服務堆疊更新 (SSU)：常見問題集。

注意

提醒 如果你使用的是僅安全性的更新，還需要安裝所有先前的安全性專用更新，以及 Internet Explorer (KB5019958) 的最新累積更新。

安裝此更新

發行管道 可取得 下一步
Windows Update 和 Microsoft Update 否 請參閱下列其他選項。
Microsoft Update Catalog 是 若要取得此更新的獨立套件，請前往 Microsoft Update Catalog 網站。
Windows Server Update Services (WSUS) 是 如果您依下列所示設定 [產品和分類]，此更新將會自動與 WSUS 同步：
產品：Windows Server 2008 Service Pack 2
分類：安全性更新

檔案詳細資訊

如需本次更新所提供的檔案清單，請下載 更新KB5020005的檔案資訊。

參考

了解用來說明 Microsoft 軟體更新的標準術語。