8 листопада 2022 р. – KB5019964 (збірка ОС 14393.5501)

Після інсталяції оновлень, випущених 8 листопада 2022 року або пізніше, на серверах Windows із роллю контролера домену можуть виникнути проблеми з Kerberos. Ця проблема може вплинути на будь-яку автентифікацію Kerberos у вашому середовищі. Нижче наведено деякі сценарії, які можуть зазнати впливу:

• Вхід користувача домену може завершитися помилкою. Це також може вплинути на автентифікацію служб об’єднання Active Directory.

• Облікові записи групових керованих служб, які використовуються для таких служб, як Інформаційні служби Інтернету (веб-сервер IIS), можуть не пройти автентифікацію.

• Підключення до віддаленого робочого стола за допомогою користувачів домену може завершитися помилкою.

• Можливо, не вдасться отримати доступ до спільних папок на робочих станціях і серверах.

• Друк, для виконання якого потрібна автентифікація користувача домену, може завершитися помилкою.

Якщо виникає ця проблема, у розділі "Система" журналу подій на контролері домену може з’явитися помилка Microsoft-Windows-Windows-Kerberos-Key-Distribution-Center з ідентифікатором події 14 і наведеним нижче текстом. Примітка. Події, на які вплинула проблема, міститимуть повідомлення "відсутній ключ має ідентифікатор 1":

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Примітка. Ця проблема не є очікуваним наслідком посилення безпеки для Netlogon і Kerberos, починаючи з оновлення системи безпеки за листопад 2022 року. Вам усе одно доведеться дотримуватися наведених у цих статтях указівок, навіть після вирішення цієї проблеми.

Ця проблема не впливає на пристрої Windows, якими споживачі користуються вдома, або пристрої, які не є частиною локального домену. Проблема не впливає на середовища Azure Active Directory, які не є гібридними та не мають локальних серверів Active Directory.

Цю проблему вирішено в сторонніх оновленнях, випущених 17 листопада 2022 року, для інсталяції на всіх контролерах домену у вашому середовищі. Щоб вирішити цю проблему, не потрібно інсталювати оновлення або вносити зміни до інших серверів чи клієнтських пристроїв у вашому середовищі. Якщо ви використовували обхідний шлях або зведення ризиків до мінімуму для вирішення цієї проблеми, вони більше не потрібні. Радимо їх вилучити.

Щоб отримати автономний пакет для цих нестандартних оновлень, виконайте пошук за номером бази знань у Каталозі Microsoft Update. Ви можете вручну імпортувати ці оновлення до служб WSUS і Microsoft Endpoint Configuration Manager. Інструкції щодо WSUS див. в статті Служби WSUS і сайт каталогу. Інструкції щодо Microsoft Endpoint Configuration Manager див. в статті Імпорт оновлень із каталогу Microsoft Update.

Примітка. Наведені нижче оновлення недоступні у Windows Update і не інсталюватимуться автоматично.

Сукупний пакет оновлень:

• Windows Server 2022: KB5021656

• Windows Server 2019: KB5021655

• Windows Server 2016: KB5021654

Примітка. Вам не потрібно застосовувати жодних попередніх оновлень, перш ніж інсталювати цей сукупний пакет оновлень. Якщо ви вже інсталювали оновлення, випущені 8 листопада 2022 року, не потрібно видаляти оновлення, на які впливає проблема, перш ніж інсталювати пізніші оновлення, зокрема наведені вище.

Автономні оновлення:

• Windows Server 2012 R2: KB5021653

• Windows Server 2012: KB5021652

• Windows Server 2008 R2 з пакетом оновлень 1 (SP1): це оновлення ще не доступне. Щоб дізнатися більше, поверніться сюди наступного тижня.

• Windows Server 2008 із пакетом оновлень 2 (SP2): KB5021657

Примітка. Якщо ви використовуєте лише оновлення системи безпеки для цих версій Windows Server, потрібно інсталювати ці автономні оновлення тільки за листопад 2022 року. Оновлення лише системи безпеки не є сукупними, тому вам також потрібно буде інсталювати всі попередні оновлення системи безпеки. Щомісячні зведені оновлення є сукупними та містять оновлення системи безпеки й усі покращення. Якщо ви використовуєте щомісячні зведені оновлення, потрібно буде інсталювати вказані вище автономні оновлення, щоб вирішити цю проблему, а також щомісячні зведені оновлення, випущені 8 листопада 2022 року, щоб отримати покращення за листопад 2022 року. Якщо ви вже інсталювали оновлення, випущені 8 листопада 2022 року, не потрібно видаляти оновлення, на які впливає проблема, перш ніж інсталювати пізніші оновлення, зокрема наведені вище.

Після інсталяції цього або пізніших оновлень на контролерах домену може статися витік пам’яті в службі перевірки автентичності локальної системи безпеки (LSASS.exe). Залежно від завантаженості контролерів домену та часу від останнього перезавантаження сервера LSASS може постійно збільшувати обсяг використання пам’яті під час роботи сервера. Можливо, сервер не відповідає або автоматично перезавантажується.

Примітка. Ця проблема може вплинути на позачергові оновлення для контролерів домену, випущені 17 та 18 листопада 2022 року.

Цю проблему вирішено в оновленні KB5021235.

Після інсталяції цього оновлення програми, які використовують для доступу до баз даних підключення ODBC через драйвер Microsoft ODBC для SQL Server (sqlsrv32.dll), можуть не підключатися. У програмі може з’явитися повідомлення про помилку або повідомлення про помилку від SQL Server, наприклад "У системі EMS виникла проблема" з "Повідомлення: [Microsoft][ODBC SQL Server driver] Помилка протоколу в TDS Stream" або "Повідомлення: [Microsoft][ODBC SQL Server Driver] Від SQL Server отримано невідомий маркер".

Примітка для розробників Програми, на які вплинула ця проблема, можуть не бути знатними отримати дані, наприклад, якщо використовується функція SQLFetch. Ця проблема може виникнути під час виклику функції SQLBindCol перед SQLF або виклику функції SQLGetData після SQLFetch і коли для аргументу для фіксованих типів даних, розмір яких перевищує 4 байти (наприклад, SQL_C_FLOAT) 'BufferLength' надається значення 0 (нуль).

Якщо ви не впевнені, чи використовуєте ви програми, на які це могло вплинути, відкрийте будь-які програми, які використовують базу даних, а потім відкрийте Командний рядок (виберіть Початок потім введіть командний рядок , виберіть його) і введіть таку команду:  

tasklist /m sqlsrv32.dll

Цю проблему вирішено в оновленні KB5022289.

Канал випуску

Доступно

Наступний крок

Windows Update і Microsoft Update

Так

Немає. Це оновлення автоматично завантажиться й інсталюється з Windows Update.

Оновлення Windows для бізнесу

Так

Немає. Це оновлення буде автоматично завантажено та інстальовано з Windows Update відповідно до настроєних політик.

Каталог Microsoft Update

Так

Щоб отримати автономний пакет для цього оновлення, перейдіть на веб-сайт каталогу корпорація Майкрософт Update.

Служби Windows Server Update Services (WSUS)

Так

Це оновлення автоматично синхронізується зі службами WSUS, якщо ви налаштуєте продукти та класифікації таким чином:

Продукт: Windows 10

Класифікація: оновлення системи безпеки