2022 年 11 月 8 日 — KB5020003 (セキュリティのみの更新)

現象

次の手順

この更新プログラムまたはそれ以降の Windows 更新プログラムがインストールされると、ドメイン参加操作が失敗し、"0xaac (2732): NERR_AccountReuseBlockedByPolicy" というエラーが発生する可能性があります。 さらに、"同じ名前のアカウントが Active Directory に存在します。 セキュリティ ポリシーによってブロックされたアカウントの再利用" が表示される場合があります。

影響を受けるシナリオには、コンピューター アカウントがドメインへの参加または再参加に使用される ID とは異なる ID によって作成または事前にステージングされた、一部のドメイン参加または再イメージング操作が含まれます。

この問題の詳細については、「 KB5020276 - Netjoin: ドメイン参加の強化の変更」を参照してください。

注 Windows のコンシューマー デスクトップ エディションでは、この問題が発生する可能性は低いです。

この問題のガイダンスについては 、KB5020276 を参照してください。

2022 年 11 月 8 日以降にリリースされた Windows 更新プログラムを、ドメイン コントローラーの役割を使用する Windows サーバーにインストールすると、Kerberos 認証で問題が発生する場合があります。 この問題は、環境内のすべての Kerberos 認証に影響を与える可能性があります。 影響を受ける可能性のあるいくつかのシナリオ:

• ドメイン ユーザーのサインインが失敗する可能性があります。 これは、Active Directory フェデレーション サービス (AD FS) 認証にも影響する可能性があります。

• グループ管理サービス アカウント (gMSA) は、認証に失敗する可能性があります。

• ドメイン ユーザーを使用したリモート デスクトップ接続は、接続に失敗する可能性があります。

• ワークステーション上の共有フォルダーとサーバー上のファイル共有にアクセスできない可能性があります。

• ドメイン ユーザー認証を必要とする印刷が失敗する可能性があります。

この問題が発生すると、ドメイン コントローラーのイベント ログの [システム] セクションで、次のテキストを含む Microsoft-Windows-Kerberos-Key-Distribution-Center イベント ID 4 エラー イベントを受信することがあります。

注 影響を受けるイベントには、"欠落しているキーの ID は 1" という文字列が含まれます。

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

注 この問題は、2022 年 11 月のセキュリティ更新プログラム以降の、Netlogon と Kerberos のセキュリティ強化の一部として想定されていません。  この問題が解決した後でも、これらの記事のガイダンスに従う必要があります。

コンシューマーが自宅で使用する Windows デバイスまたはオンプレミス ドメインの一部ではないデバイスは、この問題の影響を受けることはありません。 ハイブリッドではなく、オンプレミスの Active Directory サーバーがない Azure Active Directory 環境は影響を受けません。

この問題は、更新プログラム KB5021652 で解決されます。

この更新プログラムまたは後の更新プログラムをドメイン コントローラー (DC) にインストールすると、ローカル セキュリティ機関サブシステム サービス (LSASS,exe) でメモリ リークが発生する可能性があります。 DC のワークロードと、サーバーの最後の再起動後の時間によっては、LSASS はサーバーのアップタイムに伴ってメモリ使用量を継続的に増加させ、サーバーが応答しなくなるか、自動的に再起動する可能性があります。

注 2022 年 11 月 17 日および 2022 年 11 月 18 日にリリースされた DC の帯域外更新プログラムは、この問題の影響を受ける可能性があります。

この問題を軽減するには、管理者としてコマンド プロンプトを開き、次のコマンドを使用してレジストリ キー KrbtgtFullPacSignature を 0 に設定します。

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

注この既知の問題が解決されたら、環境で許可される内容に応じて、 KrbtgtFullPacSignature を高い設定に設定する必要があります。 環境の準備ができたらすぐに強制モードを有効にすることをお勧めします。

このレジストリ キーの詳細については、「 KB5020805: CVE-2022-37967 に関連する Kerberos プロトコルの変更を管理する方法」を参照してください。

マイクロソフトは解決方法に取り組んでおり、今後のリリースで更新プログラムを提供します。

この更新プログラムをインストールした後、Microsoft ODBC SQL Server Driver (sqlsrv32.dll) を介して ODBC 接続を使用してデータベースにアクセスするアプリが接続されない可能性があります。 さらに、アプリでエラーが発生する場合や、SQL Serverからエラーが発生する場合があります。 発生する可能性があるエラーには、次のメッセージが含まれます。

• EMS システムで問題が発生しました。
  メッセージ: TDS Stream の [Microsoft][ODBC SQL Server Driver] プロトコル エラー。

• EMS システムで問題が発生しました。
  メッセージ: [Microsoft][ODBC SQL Server Driver] SQL Serverから受信した不明なトークン。

開発者向けの注意事項: この問題の影響を受けるアプリは、 SQLFetch 関数を使用する場合など、データのフェッチに失敗する可能性があります。 この問題は、SQLFetch の前に SQLBindCol 関数 を呼び出すか、SQLFetch の後に SQLGetData 関数 を呼び出すとき、および 4 バイトより大きい固定データ型 (SQL_C_FLOAT など) の 'BufferLength' 引数に値 0 (ゼロ) が指定されている場合に発生する可能性があります。

影響を受けるアプリを使用しているかどうかを判断するには、データベースに接続するアプリを開きます。 コマンド プロンプト ウィンドウを開き、次のコマンドを入力し、Enter キーを押します。

tasklist /m sqlsrv32.dll

コマンドがタスクを返した場合、アプリが影響を受ける可能性があります。

この問題を軽減するには、次のいずれかの操作を行います。

• アプリで既にデータ ソース名 (DSN) を使用している場合、またはデータ ソース名 (DSN) を使用して ODBC 接続を選択できる場合は、SQL Server用の Microsoft ODBC Driver 17 をインストールし、DSN を使用してアプリで使用するために選択します。
  
  メモ：Microsoft ODBC Driver 17 for SQL Serverの最新バージョンをお勧めします。これは、現在、microsoft ODBC Driver 18 for SQL Serverよりも従来の Microsoft ODBC SQL Server Driver (sqlsrv32.dll) を使用しているアプリと互換性があるためです。

• アプリで DSN を使用できない場合は、アプリを変更して DSN を許可するか、Microsoft ODBC SQL Server Driver (sqlsrv32.dll) よりも新しい ODBC ドライバーを使用できるようにする必要があります。

この問題は KB5022343 で解決されました。 上記の回避策を実装している場合は、回避策で構成を引き続き使用することをお勧めします。

リリース チャネル

使用可能

次の手順

Windows Update および Microsoft Update

いいえ

他のオプションについては以下を参照してください。

Microsoft Update カタログ

はい

この更新プログラムのスタンドアロン パッケージを取得するには、Microsoft Update Catalog Web サイトにアクセスします。

Windows Server Update Services (WSUS)

はい

次のように [製品と分類] を構成すると、この更新プログラムは WSUS と自動的に同期します。

製品: Windows Server 2012、Windows Embedded 8 Standard

分類: セキュリティ更新プログラム