2022년 11월 8일 - KB5020013(보안 전용 업데이트)

증상

다음 단계

이 업데이트를 설치하고 장치를 다시 시작한 후 "Windows 업데이트를 구성하지 못했습니다. 변경 내용을 되돌리는 중. 컴퓨터를 끄지 마세요." 업데이트 기록에서 업데이트가 실패로 표시될 수 있습니다.

이것은 다음과 같은 상황에서 발생합니다.

• ESU에서 지원되지 않는 버전을 실행하는 장치에 이 업데이트를 설치하는 경우. 지원되는 버전에 대한 전체 목록은 KB4497181을 참조하세요.

• ESU MAK 추가 기능 키가 설치 및 활성화되어 있지 않은 경우.

• ESU 키를 구입하였는데도 이 문제가 발생한 경우 모든 필수 구성 요소를 적용했으며 키가 활성화되었는지 확인하세요. 활성화에 대한 자세한 내용은 이 블로그 게시물을 참조하세요. 필수 구성 요소에 대한 자세한 내용은 이 문서의 이 업데이트를 가져오는 방법 섹션을 참조하세요.

이 업데이트 또는 이후 Windows 업데이트가 설치되면 도메인 조인 작업이 실패하고 "0xaac(2732): NERR_AccountReuseBlockedByPolicy" 오류가 발생할 수 있습니다. 또한 "이름이 같은 계정이 Active Directory에 있습니다. 보안 정책에 의해 차단된 계정 다시 사용"이 표시될 수 있습니다.

영향을 받는 시나리오에는 컴퓨터를 도메인에 조인하거나 다시 조인하는 데 사용되는 ID와 다른 ID로 컴퓨터 계정을 만들거나 미리 준비한 일부 도메인 조인 또는 재이미징 작업이 포함됩니다.

이 문제에 대한 자세한 내용은 KB5020276 —Netjoin: 도메인 조인 강화 변경 내용을 참조하세요.

참고 Windows의 Consumer Desktop 버전에서는 이 문제가 발생하지 않을 수 있습니다.

이 문제에 대한 지침은 KB5020276 을 참조하세요.

도메인 컨트롤러 역할을 사용하는 Windows Server에 2022년 11월 8일 및 이후에 릴리스된 Windows 업데이트를 설치한 후 Kerberos 인증에 문제가 있을 수 있습니다. 이 문제는 사용자 환경의 모든 Kerberos 인증에 영향을 줄 수 있습니다. 영향을 받을 수 있는 몇 가지 시나리오:

• 도메인 사용자 로그인이 실패할 수 있습니다. AD FS(Active Directory Federation Services) 인증에도 영향을 미칠 수 있습니다.

• gMSA(그룹 관리 서비스 계정)는 인터넷 정보 서비스(IIS 웹 서버)와 같은 서비스에 사용되어 인증하지 못할 수 있습니다.

• 도메인 사용자를 사용하는 원격 데스크톱 연결이 연결되지 않을 수 있습니다.

• 워크스테이션의 공유 폴더와 서버의 파일 공유에 액세스하지 못할 수 있습니다.

• 도메인 사용자 인증이 필요한 인쇄는 실패할 수 있습니다.

이 문제가 발생하면 도메인 컨트롤러의 이벤트 로그의 시스템 섹션에 아래 텍스트와 함께 Microsoft-Windows-Kerberos-Key-Distribution-Center 이벤트 ID 4 오류 이벤트가 수신될 수 있습니다.

참고 영향을 받는 이벤트에는 "누락된 키의 ID는 1입니다." 문자열이 포함됩니다.

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

참고 이 문제는 2022년 11월 보안 업데이트를 시작으로 Netlogon 및 Kerberos에 대한 보안 강화에서 예상되는 부분이 아닙니다. 이 문제가 해결된 후에도 이 문서의 지침을 따라야 합니다.

소비자가 가정에서 사용하는 Windows 장치 또는 온-프레미스 도메인에 속하지 않는 장치는 이 문제의 영향을 받지 않습니다. 하이브리드가 아니며 온-프레미스 Active Directory 서버가 없는 Azure Active Directory 환경은 영향을 받지 않습니다.

이 문제는 업데이트 KB5021651에서 해결되었습니다.

이 업데이트 또는 이후 업데이트를 DC(도메인 컨트롤러)에 설치한 후 LSASS,exe(로컬 보안 기관 하위 시스템 서비스)로 메모리 누수가 발생할 수 있습니다. DC의 워크로드 및 서버를 마지막으로 다시 시작한 이후의 시간에 따라 LSASS는 서버의 최대 시간으로 메모리 사용량이 지속적으로 증가할 수 있으며 서버가 응답하지 않거나 자동으로 다시 시작될 수 있습니다.

참고 2022년 11월 17일과 2022년 11월 18일 릴리스된 DC에 대한 대역 외 업데이트는 이 문제의 영향을 받을 수 있습니다.

이 문제를 완화하려면 관리자 권한으로 명령 프롬프트를 열고 다음 명령을 사용하여 레지스트리 키 KrbtgtFullPacSignature 를 0으로 설정합니다.

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

참고 이 알려진 문제가 해결되면 환경에 허용되는 항목 에 따라 KrbtgtFullPacSignature 를 더 높은 설정으로 설정해야 합니다. 환경이 준비되는 즉시 적용 모드를 사용하도록 설정하는 것이 좋습니다.

이 레지스트리 키에 대한 자세한 내용은 KB5020805: CVE-2022-37967과 관련된 Kerberos 프로토콜 변경 내용을 관리하는 방법을 참조하세요.

Microsoft는 이 문제를 해결하기 위해 노력하고 있으며 다음 릴리스에서 업데이트를 제공할 예정입니다.

이 업데이트를 설치한 후 Microsoft ODBC SQL Server 드라이버(sqlsrv32.dll)를 통해 ODBC 연결을 사용하여 데이터베이스에 액세스하는 앱이 연결되지 않을 수 있습니다. 또한 앱에서 오류가 발생하거나 SQL Server 오류가 발생할 수 있습니다. 받을 수 있는 오류에는 다음 메시지가 포함됩니다.

• EMS 시스템에 문제가 발생했습니다.
  메시지: [Microsoft][ODBC SQL Server 드라이버] TDS Stream의 프로토콜 오류입니다.

• EMS 시스템에 문제가 발생했습니다.
  메시지: [Microsoft][ODBC SQL Server 드라이버] SQL Server 받은 알 수 없는 토큰입니다.

개발자를 위한 참고 사항: 이 문제의 영향을 받는 앱은 SQLFetch 함수를 사용하는 경우와 같이 데이터를 가져오지 못할 수 있습니다. 이 문제는 SQLFetch 이전에 SQLBindCol 함수 를 호출하거나 SQLFetch 이후 SQLGetData 함수 를 호출할 때와 4바이트(예: SQL_C_FLOAT)보다 큰 고정 데이터 형식에 대해 'BufferLength' 인수에 대해 0 값이 지정된 경우에 발생할 수 있습니다.

영향을 받는 앱을 사용할지 여부를 결정하려면 데이터베이스에 연결되는 앱을 엽니다. 명령 프롬프트 창을 열고 다음 명령을 입력한 다음 Enter 키를 누릅니다.

tasklist /m sqlsrv32.dll

명령이 작업을 반환하는 경우 앱이 영향을 받을 수 있습니다.

이 문제를 완화하기 위해 다음 중 하나를 수행할 수 있습니다.

• 앱이 이미 DSN(데이터 원본 이름)을 사용하여 ODBC 연결을 선택할 수 있는 경우 SQL Server Microsoft ODBC Driver 17을 설치하고 DSN을 사용하여 앱에서 사용하도록 선택합니다.
  
  참고: SQL Server 위해 Microsoft ODBC Driver 18보다 레거시 Microsoft ODBC SQL Server 드라이버(sqlsrv32.dll)를 사용하는 앱과 더 호환되므로 최신 버전의 SQL Server 사용하는 것이 좋습니다.

• 앱에서 DSN을 사용할 수 없는 경우 DSN을 허용하거나 Microsoft ODBC SQL Server 드라이버(sqlsrv32.dll)보다 최신 ODBC 드라이버를 사용하도록 앱을 수정해야 합니다.

이 문제는 KB5022339에서 해결되었습니다. 위의 해결 방법을 구현한 경우 해결 방법에서 구성을 계속 사용하는 것이 좋습니다.

출시 채널

사용 가능

이후 수행할 단계

Windows 업데이트 및 Microsoft 업데이트

아니요

아래의 기타 옵션을 참조하세요.

Microsoft 업데이트 카탈로그

예

이 업데이트에 대한 독립 실행형 패키지를 얻으려면 Microsoft 업데이트 카탈로그 웹 사이트로 이동합니다.

WSUS(Windows Server Update Services)

예

이 업데이트는 제품 및 등급을 다음과 같이 구성할 경우 WSUS를 통해 자동으로 동기화됩니다.

제품: Windows 7 서비스 팩 1, Windows Server 2008 R2 서비스 팩 1, Windows Embedded Standard 7 서비스 팩 1, Windows Embedded POSReady 7

분류: 보안 업데이트