Windows 8.1 Update kann WSUS 3.2 blockieren

Das am 8.4.2014 ausgerollte Windows 8.1 Update (KB 2919355) kann in Server-Umgebungen dazu führen, dass Windows 8.1 Update-Clients keinen Zugriff mehr auf WSUS 3.2 erhalten. Microsoft hat das Problem bestätigt und einen Workaround veröffentlicht.

WSUS macht Ärger – Microsoft warnt

Ich hatte es gestern schon auf dem Radar: Einige Nutzer beschwerten sich, dass der WSUS-Dienst, über den Updates zentral über das Netzwerk verteilt werden können, nach der Installation von Windows 8.1 Update streike. Da ich das nicht so als Grundfunktion für meine Umgebung sehe, habe ich es links liegen lassen.

Nun hat das WSUS Produktteam reagiert und im Blog diesen Artikel veröffentlicht (hier ist ein Eintrag bei MS-Answers und heise.de sowie andere Sites berichteten). Windows 8.1 Update (KB 2919355) verhindert die Interaktion der Clients mit WSUS 3.2 über eine SSL-verschlüsselte Verbindung. Das gilt für folgendes Szenario, wenn alle Randbedingungen zutreffen.

Wann klemmt es?

Das Verbindungsproblem tritt in folgenden Szenarios auf, wenn alle genannten Randbedingungen zutreffen.

1. Auf den Client PC wurde Windows 8.1 Update (KB 2919355) installiert 
2. Windows 8.1 versucht mit Windows 8.1 Update (KB 2919355) den WSUS 3.2-Dienst abzufragen und WSUS läuft auf folgenden Plattformen:
   
   • Windows Server 2003 SP2,
   • Windows Server 2003 R2 SP2,
   • Windows Server 2008 SP2, 
   • Windows Server 2008 R2 SP1
3. Auf dem WSUS-Server sind HTTPS und Secure Sockets Layer (SSL) aktiviert
4. TLS 1.2 ist auf dem Server nicht aktiviert

Ziemlich viele Kriterien, aber es gibt Leute, die genau das eingestellt haben, als HTTPS als Verschlüsselung, aber TLS 1.2 abgeschaltet und WSUS 3.2 auf dem Server, sind betroffen.

Ein Workaround, bis Microsoft nachbessert

Die Lösung ist auch einfach und wird vom WSUS-Team vorgeschlagen: HTTPS auf dem betreffenden Server ab, und die TLS 1.2-Verschlüsselung einschalten. Hier gibt es einen MS-KB-Artikel, der sich mit der Thematik (noch bezogen auf Windows XP) beschäftigt. Sobald Microsoft ein Update für KB 2919355 freigibt, kann man HTTPS wieder freigeben.

Die Alternative: Man verzögert das Ausrollen von Update KB 2919355 – bis Anfang Mai 2014 hat man ja noch Zeit, denn erst beim Mai Patchtag ist das Update für Windows 8.1 ja verpflichtend. Bis zu diesem Zeitpunkt sind möglicherweise revidierte Update-Pakete verfügbar. Der Schaden durch diesen Bug hält sich imho in Grenzen, da wohl noch nicht zu viele Windows 8.1-Systeme in WSUS-Umgebungen in Betrieb sind.