עדכוני נובמבר עלולים לגרום ל-Windows Server להיתקע ולהפעיל מחדש

לאחר התקנת עדכוני נובמבר עבור Windows Server, עלולה להתרחש דליפת זיכרון בשירות LSASS, אשר בסופו של דבר עלולה לגרום לבקרי תחום להיתקע ולאתחל. שירות LSASS (קיצור של Local Security Authority Subsystem Service) אחראי על אכיפת מדיניות אבטחה, טיפול ביצירת אסימון, שינויי סיסמאות והרשאת משתמש ב המערכת.
מיקרוסופט נָקוּב הבאים.

לאחר התקנת עדכונים KB5019966 או מאוחרים יותר על בקרי דומיין (DCs), ייתכן שתחווה דליפת זיכרון עם שירות המשנה של רשות האבטחה המקומית (LSASS, exe). בהתאם לעומס העבודה של ה-DCs שלך ומשך הזמן מאז ההפעלה מחדש האחרונה של השרת, LSASS עשוי הגדל ללא הרף את השימוש בזיכרון עם זמן הפעולה של השרת שלך והשרת עלול להפסיק להגיב או הפעלה מחדש אוטומטית. הערה: העדכונים מחוץ לפס עבור DCs שפורסמו ב-17 בנובמבר 2022 וב-18 בנובמבר 2022 עשויים להיות מושפעים מהבעיה הזו.

הבעיה משפיעה על Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 SP1 ו-Windows Server 2008 SP2. התקנת עדכונים מחוץ לפס שפורסמו כדי לפתור בעיות הרשאה בבקרי תחום אינה מתקנת את דליפת הזיכרון. מיקרוסופט עדיין עובדת על פתרון.

כדרך לעקיפת הבעיה, אתה יכול להגדיר את ערך הרישום KrbtgtFullPacSignature ל-0 עם הפקודה הבאה:
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
הנפק אותו כמנהל.
לאחר שחרורו של התיקון החם, עליך להגדיר ערך גבוה יותר עבור מפתח KrbtgtFullPacSignature, בהתאם לטבלת ההתייחסות למטה.

• 0 – נכים
• 1 - חתימות חדשות מתווספות, אך אינן מאומתות. (הגדרת ברירת מחדל)
• 2 - מצב ביקורת. חתימות חדשות מתווספות, ומאומתות אם קיימות. אם החתימה חסרה או לא חוקית, אימות מותר ויומני ביקורת נוצרים.
• 3 - מצב אכיפה. חתימות חדשות מתווספות, ומאומתות אם קיימות. אם החתימה חסרה או לא חוקית, האימות נדחה ויומני ביקורת נוצרים.