2022 年 11 月 8 — 日 KB5020003 (僅限安全性更新)

套用到
Windows Server 2012 Windows Embedded 8 Standard

摘要

深入了解此僅限安全性更新，包括改善功能、任何已知問題，以及如何取得更新。

注意

  • 提醒：Windows Server 2012 已結束主流支援，現在處於擴充支援中。 自 2020 年 7 月開始，此作業系統將不再有選用版本 (稱為 "C" 或 "D" 版本)。 處於延伸支援期間的作業系統每月僅有累積安全性更新 (稱為 "B" 或星期二更新版本)。
  • 安裝此更新前，請先確認已安裝如何取得此更新一節所列出的必要更新。

注意

備註 如需有關重大、安全性、驅動程式、Service Pack 等不同類型的 Windows 更新的詳細資訊，請參閱下列 文章。 若要檢視其他附註與訊息，請參閱 Windows Server 2012 更新記錄首頁。

改善

此僅限安全性更新包含下列主要變更：

如需有關已解決之安全性弱點的詳細資訊，請參閱部署 |安全性更新指南和 2022 年 11 月安全性匯報。

此更新中的已知問題

徵兆 後續步驟
安裝此更新或以後的 Windows 更新之後，網域加入操作可能會失敗，並出現錯誤「0xaac (2732) ： NERR_AccountReuseBlockedByPolicy」。 此外，說明「Active Directory 中存在相同名稱的帳戶。 重新使用帳戶遭安全性原則封鎖」的錯誤訊息。
受影響的案例包括一些網域加入或重新映像處理作業，其中電腦帳戶是由不同於用來加入或重新加入網域的身分識別所建立或預先暫存的電腦帳戶。
如需此問題的詳細資訊，請參閱 KB5020276 - Netjoin：網域加入強化變更。
備註 Windows 消費者桌面版本不太可能遇到此問題。		 請參閱 KB5020276 以取得此問題的指引。
在使用網域控制站角色的 Windows 伺服器上安裝 2022 年 11 月 8 日或之後發佈的 Windows 更新之後，Kerberos 驗證可能有問題。 此問題可能會影響您環境中的任何 Kerberos 驗證。 可能會受到影響的一些案例：

發生此問題時，您可能會在網域控制站的事件記錄中的系統區段收到 Microsoft-Windows-Kerberos-Key-Distribution-Center 事件識別碼 4 錯誤事件，並包含下列文字。

備註 受影響的事件將包含「 遺失的金鑰識別碼為 1」字串：

處理目標服務<>服務的 AS 請求時，帳戶<帳戶名稱>沒有適合產生 Kerberos 票證的金鑰， (遺失的金鑰具有 1) 。 要求的類型：18 3. 可用賬戶 etypes ： 23 18 17. 更改或重置帳戶名稱>的<密碼將生成正確的密鑰。
備註 從 2022 年 11 月安全性更新開始，此問題不是 Netlogon 和 Kerberos 安全性強化的預期部分。 即使此問題解決之後，您仍必須遵循這些文章中的指引。

消費者或不是內部部署網域一部分之裝置在家使用的 Windows 裝置不受此問題影響。 非混合式且沒有內部部署 Active Directory 伺服器的 Azure Active Directory 環境不受影響。		 這個問題已在更新 KB5021652 中解決。
在網域控制站 (DC) 安裝此更新或較新的更新之後，您可能會遇到本機安全性授權子系統服務 (LSASS，exe) 記憶體流失。 根據您的 DC 工作負載以及上次重新開機伺服器後的時間量而定，LSASS 可能會隨著伺服器的上一段時間持續增加記憶體使用量，而且伺服器可能會變得無回應或自動重新啟動。
備註 2022 年 11 月 17 日和 2022 年 11 月 18 日發佈的 DCS 頻外更新可能會受到此問題影響。		 若要緩解此問題，請以系統管理員身分開啟命令提示字元，並使用下列命令將登錄機碼 KrbtgtFullPacSignature 設定為 0：
reg add “HKLM\System\CurrentControlSet\services\KDC” -v “KrbtgtFullPacSignature” -d 0 -t REG_DWORD注意 ：解決此已知問題之後，應視您的環境允許，將 KrbtgtFullPacSignature 設定為較高的設定。 建議您在環境準備就緒時，立即啟用 [強制] 模式。
如需有關此登錄機碼的詳細資訊，請參閱 KB5020805：如何管理與 CVE-2022-37967 相關的 Kerberos 通訊協定變更。
我們正努力研究解決方法，並會在即將推出的版本中提供更新。
安裝此更新之後，透過 ODBC SQL Server驅動程式 (sqlsrv32.dll) 使用 ODBC 連線Microsoft應用程式可能無法連線。 此外，您可能會在應用程式中收到錯誤訊息，或者您可能會收到來自 SQL Server 的錯誤訊息。 您可能會收到的錯誤包括下列訊息：

  • EMS 系統發生問題。
    訊息：TDS Stream 中的 [Microsoft][ODBC SQL Server 驅動程式] 通訊協定錯誤。
  • EMS 系統發生問題。
    訊息：[Microsoft][ODBC SQL Server 驅動程式] 從 SQL Server 收到的不明權杖。
開發人員注意事項： 受此問題影響的應用程式可能無法擷取資料，例如使用 SQLFetch 函數時。 在 SQLFetch 之前呼叫 SQLBindCol 函數 或在 SQLFetch 之後呼叫 SQLGetData 函數 時，以及對於大於 4 位元組的固定資料類型，例如 SQL_C_FLOAT) 的固定資料類型， ('BufferLength' 引數提供 0 (零) 值時，可能會發生此問題。

若要判斷您是否正在使用受影響的應用程式，請開啟連線至資料庫的應用程式。 請開啟 [命令提示字元] 視窗，輸入下列命令，然後按 Enter：

tasklist /m sqlsrv32.dll
如果命令傳回工作，則應用程式可能會受到影響。		 若要減輕此問題，您可以執行下列其中一個動作：

  • 如果您的應用程式已經在使用或能夠使用 DSN) (資料來源名稱來選取 ODBC 連線，請安裝 Microsoft ODBC Driver 17 for SQL Server，然後選取它以搭配使用 DSN 的應用程式。

    注意：建議您使用最新版本的 Microsoft ODBC Driver 17 for SQL Server，因為它比Microsoft ODBC Driver 18 for SQL Server 更能與目前使用舊版 Microsoft ODBC SQL Server 驅動程式 (sqlsrv32.dll) 的應用程式相容。
  • 如果您的應用程式無法使用 DSN，則需要修改應用程式以允許 DSN，或使用較 Microsoft ODBC SQL Server Driver (sqlsrv32.dll) 還新的 ODBC 驅動程式。
此問題已在 KB5022343 年解決。 如果您已實作上述因應措施，建議繼續使用因應措施中的設定。

如何取得此更新

安裝此更新之前

Microsoft 強烈建議您，在安裝最新彙總套件之前，先為您的作業系統安裝最新服務堆疊更新 (SSU)。 SSU 有助於在安裝彙總套件和套用 Microsoft 安全性修正程式時，提高更新程序防範潛在問題的可靠性。 如需有關 SSU 的一般資訊，請參閱服務堆疊更新和服務堆疊更新 (SSU)：常見問題集。

如果使用 Windows Update，最新的 SSU (KB5016263) 將會自動提供給您。 若要取得最新 SSU 的獨立套件，請在 Microsoft Update Catalog 中搜尋。

注意

提醒 如果使用僅限安全性更新，還需要安裝所有先前的僅限安全性更新和最新的 Internet Explorer (KB5019958) 累積更新。

語言套件

如果您在安裝此更新之後安裝語言套件，您必須重新安裝此更新。 因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。 如需詳細資訊，請參閱將語言套件新增到 Windows (英文)。

安裝此更新

發行管道 可用 後續步驟
Windows Update 和 Microsoft Update 否 請參閱下列其他選項。
Microsoft Update Catalog 是 若要取得此更新的獨立套件，請前往 Microsoft Update Catalog 網站。
Windows Server Update Services (WSUS) 是 如果您依下列所示設定 [產品和分類]，此更新將會自動與 WSUS 同步：
產品： Windows Server 2012、Windows Embedded 8 Standard
分類：安全性更新

檔案詳細資訊

如需此更新中提供的檔案清單，請下載 更新KB5020003的檔案資訊。

參考

了解用來說明 Microsoft 軟體更新的標準術語。