Novemberuppdateringar kan göra att Windows Server hänger sig och startar om

Efter installation av novemberuppdateringarna för Windows Server kan en minnesläcka uppstå i LSASS-tjänsten, vilket så småningom kan få domänkontrollanter att hänga sig och starta om. LSASS-tjänsten (förkortning för Local Security Authority Subsystem Service) ansvarar för upprätthålla säkerhetspolicyer, hantera tokenskapande, lösenordsändringar och användarauktorisering i systemet.
Microsoft uppgav det följande.

Efter installation av KB5019966 eller senare uppdateringar på domänkontrollanter (DC) kan du uppleva en minnesläcka med Local Security Authority Subsystem Service (LSASS, exe). Beroende på din DCs arbetsbelastning och hur lång tid sedan den senaste omstarten av servern kan LSASS ständigt öka minnesanvändningen med uppetiden för din server och servern kan sluta svara eller startas om automatiskt. Obs: Out-of-band-uppdateringarna för DCs som släpptes 17 november 2022 och 18 november 2022 kan påverkas av det här problemet.

Problemet påverkar Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 SP1 och Windows Server 2008 SP2. Att installera out-of-band-uppdateringar som släpptes för att lösa behörighetsproblem på domänkontrollanter åtgärdar inte minnesläckan. Microsoft arbetar fortfarande på en lösning.

Som en lösning kan du ställa in KrbtgtFullPacSignature Registry-värdet till 0 med följande kommando:
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Ge det som administratör.
Efter lanseringen av snabbkorrigeringen måste du ställa in ett högre värde för nyckeln KrbtgtFullPacSignature, enligt referenstabellen nedan.

• 0 - Inaktiverad
• 1 – Nya signaturer läggs till, men verifieras inte. (Standardinställning)
• 2 - Revisionsläge. Nya signaturer läggs till och verifieras om de finns. Om signaturen antingen saknas eller är ogiltig, tillåts autentisering och granskningsloggar skapas.
• 3 - Verkställighetsläge. Nya signaturer läggs till och verifieras om de finns. Om signaturen antingen saknas eller är ogiltig, nekas autentisering och granskningsloggar skapas.