摘要
深入了解此累積安全性更新，包括改善功能、任何已知問題，以及如何取得更新。
注意
- 提醒：Windows Server 2012 已結束主流支援，現在處於擴充支援中。 自 2020 年 7 月開始，此作業系統將不再有選用版本 (稱為 "C" 或 "D" 版本)。 處於延伸支援期間的作業系統每月僅有累積安全性更新 (稱為 "B" 或星期二更新版本)。
- 安裝此更新前，請先確認已安裝如何取得此更新一節所列出的必要更新。
注意
如需有關重大、安全性、驅動程式、Service Pack 等不同類型的 Windows 更新的詳細資訊，請參閱下列文章。 若要檢視其他附註與訊息，請參閱 Windows Server 2012 更新記錄首頁。
改善
此累積安全性更新包含屬於 2022 年 10 月 11 日發行之更新 KB5017370 () 部分的改善，並包含下列主要變更：
解決分散式元件物件模型 (DCOM) 驗證強化問題，以自動提高來自 DCOM 用戶端的所有非匿名啟用要求的驗證層級。 如果驗證等級小於 RPC_C_AUTHN_LEVEL_PKT_INTEGRITY，就會發生這種情況。
匯報約旦的日光節約時間 (DST) ，以防止時鐘在 2022 年 10 月 28 日向後移動 1 小時。 此外，將約旦標準時間的顯示名稱從「 (UTC+02：00) 安曼」變更為「 (UTC+03：00) 安曼」。
解決 Microsoft Azure Active Directory (AAD) 應用程式 Proxy 連接器由於下列一般 API 錯誤而無法代表使用者擷取 Kerberos 票證的問題：「指定的控制碼無效 (0x80090301) 。」
解決安裝 2022 年 1 月 11 日或更新版本的更新之後，樹系信任建立程序無法將 DNS 名稱尾碼填入信任資訊屬性的問題。
解決 CVE-2022-38023、 CVE-2022-37966 和 CVE-2022-37967 中所述的 Kerberos 和 Netlogon 通訊協定中的安全性弱點。 如需部署指導方針，請參閱下列文章：
- KB5020805：如何管理與 CVE-2022-37967 相關的 Kerberos 通訊協定變更
- KB5021130：如何管理與 CVE-2022-38023 相關的 Netlogon 通訊協定變更
- KB5021131：如何管理與 CVE-2022-37966 相關的 Kerberos 通訊協定變更
如需有關已解決之安全性弱點的詳細資訊，請參閱部署 |安全性更新指南和 2022 年 11 月安全性匯報。
如需有關已解決之安全性弱點的詳細資訊，請參閱部署 |安全性更新指南和 2022 年 11 月安全性匯報。
此更新中的已知問題
| 徵兆 | 後續步驟 |
|---|---|
| 安裝此更新或以後的 Windows 更新之後，網域加入操作可能會失敗，並出現錯誤「0xaac (2732) ： NERR_AccountReuseBlockedByPolicy」。 此外，說明「Active Directory 中存在相同名稱的帳戶。 重新使用帳戶遭安全性原則封鎖」的錯誤訊息。 受影響的案例包括一些網域加入或重新映像處理作業，其中電腦帳戶是由不同於用來加入或重新加入網域的身分識別所建立或預先暫存的電腦帳戶。 如需此問題的詳細資訊，請參閱 KB5020276 - Netjoin：網域加入強化變更。 備註 Windows 消費者桌面版本不太可能遇到此問題。 |
請參閱 KB5020276 以取得此問題的指引。 |
在使用網域控制站角色的 Windows 伺服器上安裝 2022 年 11 月 8 日或之後發佈的 Windows 更新之後，Kerberos 驗證可能有問題。 此問題可能會影響您環境中的任何 Kerberos 驗證。 可能會受到影響的一些案例：
備註 受影響的事件將包含「 遺失的金鑰識別碼為 1」字串： 處理目標服務<>服務的 AS 請求時，帳戶<帳戶名稱>沒有適合產生 Kerberos 票證的金鑰， (遺失的金鑰具有 1) 。 要求的類型：18 3. 可用賬戶 etypes ： 23 18 17. 更改或重置帳戶名稱>的<密碼將生成正確的密鑰。 備註 從 2022 年 11 月安全性更新開始，此問題不是 Netlogon 和 Kerberos 安全性強化的預期部分。 即使此問題解決之後，您仍必須遵循這些文章中的指引。 消費者或不是內部部署網域一部分之裝置在家使用的 Windows 裝置不受此問題影響。 非混合式且沒有內部部署 Active Directory 伺服器的 Azure Active Directory 環境不受影響。 |
這個問題已在更新 KB5021652 中解決。 |
| 在網域控制站 (DC) 安裝此更新或較新的更新之後，您可能會遇到本機安全性授權子系統服務 (LSASS，exe) 記憶體流失。 根據您的 DC 工作負載以及上次重新開機伺服器後的時間量而定，LSASS 可能會隨著伺服器的上一段時間持續增加記憶體使用量，而且伺服器可能會變得無回應或自動重新啟動。 備註 2022 年 11 月 17 日和 2022 年 11 月 18 日發佈的 DCS 頻外更新可能會受到此問題影響。 |
若要緩解此問題，請以系統管理員身分開啟命令提示字元，並使用下列命令將登錄機碼 KrbtgtFullPacSignature 設定為 0：reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD備註 解決這個已知問題之後，您應該根據您的環境允許，將 KrbtgtFullPacSignature 設定為較高的設定。 建議您在環境準備就緒時，立即啟用 [強制] 模式。 如需有關此登錄機碼的詳細資訊，請參閱 KB5020805：如何管理與 CVE-2022-37967 相關的 Kerberos 通訊協定變更。 我們正努力研究解決方法，並會在即將推出的版本中提供更新。 |
安裝此更新之後，透過 ODBC SQL Server驅動程式 (sqlsrv32.dll) 使用 ODBC 連線Microsoft應用程式可能無法連線。 此外，您可能會在應用程式中收到錯誤訊息，或者您可能會收到來自 SQL Server 的錯誤訊息。 您可能會收到的錯誤包括下列訊息：
若要判斷您是否正在使用受影響的應用程式，請開啟連線至資料庫的應用程式。 請開啟 [命令提示字元] 視窗，輸入下列命令，然後按 Enter： tasklist /m sqlsrv32.dll如果命令傳回工作，則應用程式可能會受到影響。 |
若要減輕此問題，您可以執行下列其中一個動作：
|
如何取得此更新
安裝此更新之前
Microsoft 強烈建議您，在安裝最新彙總套件之前，先為您的作業系統安裝最新服務堆疊更新 (SSU)。 SSU 有助於在安裝彙總套件和套用 Microsoft 安全性修正程式時，提高更新程序防範潛在問題的可靠性。 如需有關 SSU 的一般資訊，請參閱服務堆疊更新和服務堆疊更新 (SSU)：常見問題集。
如果使用 Windows Update，最新的 SSU (KB5016263) 將會自動提供給您。 若要取得最新 SSU 的獨立套件，請在 Microsoft Update Catalog 中搜尋。
語言套件
如果您在安裝此更新之後安裝語言套件，您必須重新安裝此更新。 因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。 如需詳細資訊，請參閱將語言套件新增到 Windows (英文)。
安裝此更新
| 發行管道 | 可用 | 後續步驟 |
|---|---|---|
| Windows Update 和 Microsoft Update | 是 | 無。 此更新將從 Windows Update 自動下載並安裝。 |
| Microsoft Update Catalog | 是 | 若要取得此更新的獨立套件，請前往 Microsoft Update Catalog 網站。 |
| Windows Server Update Services (WSUS) | 是 | 如果您依下列所示設定 [產品和分類]，此更新將會自動與 WSUS 同步： 產品： Windows Server 2012、Windows Embedded 8 Standard 分類：安全性更新 |
檔案詳細資訊
如需此更新中提供的檔案清單，請下載 更新KB5020009的檔案資訊。
參考
了解用來說明 Microsoft 軟體更新的標準術語。