8 листопада 2022 р. – KB5020010 (лише оновлення системи безпеки)

Проблема

Наступний крок

Після інсталяції цього оновлення або пізнішої версії оновлення Windows операції об'єднання домену можуть виявитися невдалими, а помилка "0xaac (2732): NERR_AccountReuseBlockedByPolicy". Крім того, текст про те, що "Обліковий запис із таким самим іменем існує в Active Directory. Повторне використання облікового запису заблоковано політикою безпеки" може відображатися.

Сценарії, на які впливає проблема, включають деякі операції з приєднання до домену або повторного відтворення, під час яких обліковий запис комп'ютера створено або попередньо поставлено іншим посвідченням, ніж посвідчення, що використовується для підключення комп'ютера до домену або повторного підключення до нього.

Докладні відомості про цю проблему див. в статті KB5020276 – Netjoin: зміни, пов'язані з приєднанням до домену.

Нотатка У випусках Windows для настільних комп'ютерів для споживачів навряд чи виникатить ця проблема.

Цю проблему вирішено в оновленні KB5023764.

Після інсталяції оновлень Windows, випущених 8 листопада 2022 року або пізніше, на серверах Windows, на яких використовується роль контролера домену, можуть виникнути проблеми з автентифікацією Kerberos. Ця проблема може вплинути на будь-яку автентифікацію Kerberos у вашому середовищі. Деякі сценарії, які можуть вплинути на:

• Можливо, не вдасться ввійти в домен. Це також може вплинути на автентифікацію Служба об'єднання AD FS (AD FS).

• Облікові записи керованих служб групи (gMSA), які використовуються для таких служб, як Інформаційні служби Інтернету (IIS Web Server), можуть не пройти автентифікацію.

• Підключення до віддаленого робочого стола, що використовують користувачів домену, може не підключитися.

• Можливо, не вдасться отримати доступ до спільних папок на робочих станціях і спільних папках на серверах.

• Можливо, не вдасться виконати друк, для якого потрібна автентифікація користувача домену.

Під час виникнення цієї проблеми може з'явитися подія помилки Microsoft-Windows-Windows-Kerberos-Key-Distribution-Center Event ID 4 в розділі Система журналу подій на контролері домену з текстом нижче.

Нотатка Події, на які впливає проблема, міститимуть рядок "відсутній ключ має ідентифікатор 1":

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Нотатка Ця проблема не є очікуваною частиною посилення безпеки для Netlogon і Kerberos, починаючи з оновлення системи безпеки за листопад 2022 року. Ви все одно будете змушені дотримуватися вказівок у цих статтях, навіть коли цю проблему буде вирішено.

Ця проблема не впливає на пристрої Windows, які використовуються вдома споживачами або пристроями, які не входять до локального домену. Середовища Azure Active Directory, які не є гібридними та не мають локальна служба Active Directory серверів, не впливають.

Цю проблему вирішено в оновленні KB5021653.

Після інсталяції цього оновлення або пізнішого оновлення на контролері домену може стався витік пам'яті зі службою підсистеми локального центру безпеки (LSASS,exe). Залежно від навантаження постійного струму та часу після останнього перезавантаження сервера, LSASS може постійно збільшувати обсяг пам'яті під час роботи сервера, а сервер може припинити або автоматично перезавантажитися.

Нотатка Ця проблема може вплинути на застарілі оновлення для DCs, випущених 17 листопада 2022 року та 18 листопада 2022 року.

Щоб зменшити цю проблему, відкрийте командний рядок із правами адміністратора та використайте таку команду, щоб установити для розділу реєстру KrbtgtFullPacSignatureзначення 0:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Примітка Після вирішення цієї відомої проблеми слід установити для параметра KrbtgtFullPacSignature значення вищого значення залежно від того, що дозволить ваше середовище. Радимо ввімкнути режим примусового застосування, щойно середовище буде готове.

Докладні відомості про цей розділ реєстру див. в статті KB5020805: Керування змінами протоколу Kerberos, пов'язаними з CVE-2022-37967.

Ми працюємо над вирішенням цієї проблеми та надамо відповідне оновлення в наступному випуску.

Після інсталяції цього оновлення програми, які використовують підключення ODBC через microsoft ODBC SQL Server Driver (sqlsrv32.dll) для доступу до баз даних, можуть не підключатися. Крім того, у програмі може з'явитися повідомлення про помилку або повідомлення про помилку від SQL Server. Можуть з'явитися такі повідомлення:

• Сталася помилка системи EMS.
  Повідомлення: [Microsoft][ODBC SQL Server Driver] Protocol error in TDS Stream.

• Сталася помилка системи EMS.
  Повідомлення: [Microsoft][Драйвер SQL Server ODBC] Невідомий маркер, отриманий від SQL Server.

Примітка для розробників: Програмам, на які впливає ця проблема, може не вдатися отримати дані, наприклад під час використання функції SQLFetch. Ця проблема може виникнути під час виклику функції SQLBindCol до sqlFetch або виклику функції SQLGetData після SQLFetch, а значення 0 (нуль) для аргументу "BufferLength" для фіксованих типів даних, розмір яких перевищує 4 байти (наприклад, SQL_C_FLOAT).

Щоб вирішити, чи використовуєте ви відповідну програму, відкрийте програму, яка підключається до бази даних. Відкрийте вікно командного рядка, введіть таку команду та натисніть клавішу Enter:

tasklist /m sqlsrv32.dll

Якщо команда повертає завдання, це може вплинути на програму.

Щоб зменшити цю проблему, виконайте одну з таких дій:

• Якщо програма вже використовує або може використовувати ім'я джерела даних (DSN), щоб вибрати підключення ODBC, інсталюйте драйвер Microsoft ODBC Driver 17 для SQL Server і виберіть його для використання з програмою за допомогою DSN.
  
  Примітка: Ми радимо найновішу версію драйвера Microsoft ODBC Driver 17 для SQL Server, оскільки вона сумісніша з програмами, які наразі використовують застарілий драйвер microsoft ODBC SQL Server (sqlsrv32.dll), ніж драйвер Microsoft ODBC 18 для SQL Server.

• Якщо програмі не вдається використовувати DSN, програму потрібно буде змінити, щоб дозволити DSN, або використовувати новіший драйвер ODBC, ніж Драйвер SQL Server Microsoft ODBC (sqlsrv32.dll).

Цю проблему вирішено в оновленні KB5022346. Якщо ви впровадили наведений вище спосіб вирішення, радимо продовжити використовувати конфігурацію, щоб вирішити цю проблему.

Канал випуску

Доступно

Наступний крок

Windows Update і Microsoft Update

Ні

Інші варіанти наведено нижче.

Каталог Microsoft Update

Так

Щоб отримати автономний пакет для цього оновлення, перейдіть на веб-сайт Каталог Microsoft Update.

Служби Windows Server Update Services (WSUS)

Так

Це оновлення автоматично синхронізується зі службами WSUS, якщо ви налаштуєте продукти та класифікації таким чином:

Продукт: Windows 8.1, Windows Server 2012 R2, Windows Embedded 8.1 Industry Enterprise, Windows Embedded 8.1 Industry Pro

Класифікація: оновлення системи безпеки