Windows Server 2016 LSASS Handle Leak causing logon failure and RPC Busy

Question

Windows Server 2016 LSASS Handle Leak causing logon failure and RPC Busy

Wang, Jennie [EMR/CSS/PSS/SHNG] 0

Environment:

Dell PowerEdge R750
Windows Server 2016
Domain joined server
SQL Server installed

Issue:

Server periodically becomes unable to accept logons.

Symptoms:

User enters password and returns to logon screen
Switch User hangs
SMB administrative shares unavailable
Event Viewer remote connection fails
RPC Server Too Busy (1723)
Server recovers only after reboot

Evidence:

Event ID 40960 (LsaSrv)

"The Security System detected an authentication error"

NTLM Authentication

0xC000009A

Insufficient system resources exist to complete the API

Event ID 4625

Status: 0xC0000017

STATUS_NO_MEMORY

PerfMon collected over several weeks shows:

LSASS Handle Count:

71,534（20260702）

16,711,679（20260721）

Handle Count is increasing linearly without dropping.

Paged Pool:

541 MB（20260702）

28 GB（20260721）

PID of lsass remains constant (1200).

Private Bytes remain low (~160 MB).

Available Memory before failure:~16 GB

Domain trust verification: nltest /sc_verify successful

Storage and RAID healthy.

Request:

Need assistance identifying LSASS handle leak source and determining object type responsible for handle growth.

0 个注释

1 个答案

你的答案

Answer 1

您好 Wang, Jennie [EMR/CSS/PSS/SHNG]，

根据您描述的情况，LSASS 句柄（Handle）数量持续增长，这高度表明存在与 LSASS 加载的某个身份验证包（Authentication Package）或扩展相关的句柄泄漏（Handle Leak）。由于 Private Bytes 保持较低，而句柄数量却急剧增加，这说明问题更可能是对象句柄泄漏，而不是内存本身的泄漏。

建议首先使用 Process Explorer 或 handle.exe 等工具检查 LSASS 进程，确定是哪一类对象正在消耗这些句柄。在许多情况下，与身份验证提供程序（例如 NTLM 或第三方安全包）相关的**注册表项（Registry Keys）或命名管道（Named Pipes）**可能是导致问题的原因。

由于您同时遇到了 Event ID 40960 和 NTLM 错误，因此建议检查系统中是否安装了任何自定义 SSP（Security Support Provider，安全支持提供程序）或与 SQL 相关的身份验证模块，这些组件可能未能正确释放句柄。

此外，还应确认服务器是否已安装所有最新补丁，因为在某些版本的 Windows Server 2016 中，Microsoft 曾发布过用于修复 LSASS 句柄泄漏问题的热修复（Hotfix）。您还可以运行以下命令：

nltest /dsgetdc:<domain>

并检查 Active Directory 复制（Replication）健康状态，以排除域信任（Domain Trust）方面的问题。不过，根据您提供的日志来看，此问题更有可能与某条特定的身份验证路径有关，而不是域信任本身。

如果希望进一步确定泄漏的是哪种对象，可以启用 Object Manager Auditing（对象管理器审核），或使用 Windows Performance Recorder（WPR）并重点捕获句柄分配（Handle Allocation）相关数据。确定对象类型后，便可以进一步追踪到负责创建这些句柄的模块。

在某些环境中，禁用未使用的身份验证包或更新 SQL 客户端库，已经成功解决了类似的句柄泄漏问题。

希望以上回复能够为您提供一些有帮助的参考。如果您觉得此回答对您有所帮助，请点击 “接受答案（Accept Answer）”，这样我就知道它解决了您的问题。

Jason