KB3161949 Juni 2016-Update killt Netzwerkfreigaben

Das im Juni für Windows 7 und Windows 8.1 von Microsoft herausgegebene Update KB3161949 scheint in manchen Netzwerkkonstellationen zu Problemen mit Freigaben zu führen.

Blog-Leser Jörg hat mich Ende Juli auf das Thema hingewiesen, ich komme aber erst jetzt dazu, das hier im Blog kurz zu thematisieren. Jörg schrieb:

Es geht um das Sicherheitsupdate KB3161949, das am 14.Juni 2016 von MS bereitgestellt wurde.

Es gibt einen Technet-Foreneintrag KB3161949 June 2016 Update Causes Network File Shares to Become Unavailable

Die im Artikel genannte Problematik ist im Pilot bei uns (komplexes LAN/WAN-Netz) auf getreten, sodass wir das Update zunächst NICHT ausgerollt haben.

Nach näherer Betrachtung stellt sich für uns nun die Frage, ob wir dieses Sicherheitsupdate einfach auslassen sollen oder es im nachhinein ausrollen und den beschriebenen Registry-Key auf alle Server und PCs im Netz entsprechend anpassen?

Vielleicht könnten sie uns dazu aus ihrer Erfahrung einen Tipp geben.

Im verlinkten KB-Artikel sowie im verlinkten Technet-Foren-Thread findet sich folgende Erklärung:

After you install this security update, the following changes are applied:

• NETBIOS communication outside of the local subnet is hardened. Therefore, by default, some features that depend on NETBIOS (such as SMB over NETBIOS) will not work outside the local subnet.
• To change this new default behavior, create the following registry entry:

  SUBKEY: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters
  Value Name: AllowNBToInternet
  Type: Dword
  Value: 1
  Default value of the flag: 0

• By default, WPAD resolution for auto proxy detection will not use NETBIOS. Therefore, if proxy detection depends on NETBIOS alone for WPAD resolution, it may fail. We recommend that you use the DHCP option or DNS for WPAD resolution instead of NETBIOS. To change this new default behavior, create the following registry entry.
  Note This registry entry only applies for Windows 8.1 and earlier versions of Windows.

  SUBKEY: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp
  Value Name: AllowOnlyDNSQueryForWPAD
  Type: DWORD
  Value: 0
  Default value of the flag: 1

• The default behavior of PAC file download is changed so that the client's domain credentials are not automatically sent in response to an NTLM or Negotiate Authentication challenge when WinHTTP requests the PAC file. This occurs regardless of the value of the fAutoLogonIfChallenged flag that is specified in WINHTTP_AUTOPROXY_OPTIONS. To change this new default behavior, create the following registry entry:
  Note This registry entry only applies for Windows 8.1 and earlier versions of Windows.

  SUBKEY: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp
  Value Name: AutoProxyAutoLogonIfChallenged
  Type: DWORD
  Value: 1
  Default value of the flag: 0

Wenn man also in die beschriebenen Probleme läuft, bleibt nur, das Verhalten über die beschriebenen Registrierungseinträge wieder zu ändern.

PS: Um Nachfragen zuvor zu kommen – in euren privaten Netzwerken braucht ihr nix zu machen – und wenn es in Firmennetzwerken keine Probleme gibt, auch nicht.

Links
Diskussion bei administrator.de
Diskussion bei reddit.com
Diskussion bei reddit.com