Microsoft Juli 2017 Patchday: Offene Probleme und Fragen

Bereits mit den Juni 2017 Updates hat Microsoft teilweise den Grundstein für diverse Probleme gelegt, die auch im Juli 2017 noch für Verwirrung und Fragen sorgen. Daher heute ein Überblick, was bisher in Office und Windows nicht wirklich gefixt wurde oder irgendwie offen ist. Es gibt ja auch hier im Blog immer mal wieder Kommentare mit der Frage 'ist das inzwischen behoben?'.

Update KB4033428 – keine Details

Microsoft hat ja am 18. Juli 2017 das Update KB4033428 für Windows Server 2012 R 2 freigegeben. Die einzige Information, die man als interessierter Administrator erhält, ist:

This article describes an update for the reliability of processor generation detection and hardware support on Windows Server 2012 R2. This update is dated July 18, 2017.

MVP Kollegin Susan Bradley hat Microsoft im Partner Net die Frage: Why should we install KB4033428? (Link gebrochen) gestellt, ohne eine wirklich erhellende Antwort zu bekommen. Auch bei AskWoody gibt es einen Post zum Thema, der aber keine wirklichen Details liefert. Mein Ratschlag: Blockt das optionale Update auf den Maschinen, bis Microsoft Details publiziert, warum man das Update braucht.

Update KB4025335 brickt NAP

Zu diesem Update hatte ich den Artikel Windows 8.1 Preview Rollup Update KB4025335 hier im Blog. Von GB kam der folgende Kommentar:

Unter Server 2012 R2 legt das Update die zertifikatsbasierte Computerauthentifizierung des NAP lahm. Leider lässt es sich auch nicht deinstallieren.

Zum Network Access Protection (NAP) schreibt Microsoft: Network Access Protection (NAP) is designed to help administrators maintain the health of the computers on the network, which in turns helps maintain the overall integrity of the network.  Ein Artikel zum Thema findet sich bei Tecchannel. In Windows 10 ist der NAP-Client aber entfernt worden (siehe z.B. hier).

Ein Workaround ist verfügbar

Das Problem ist auch in Technet in diesem Forenthread beschrieben. Im Forenthread ist vor wenigen Stunden ein Fix von Microsoft beschrieben worden:

As a workaround, create the following registry on your server:

Create DWORD registry key under:
SYSTEM\CurrentControlSet\Services\RasMan\PPP\EAP\13\
New_DWORD: DisableEndEntityClientCertCheck
and set value to 0

Der Registrierungseintrag behebt das Problem, wie man an ersten Rückmeldungen nachlesen kann.

Updates KB4025336 und KB4025331 bricken WSUS

Wer einen Windows Sever Update Service (WSUS) unter Windows Server 2012 (und R2) betreibt, bekommt mit den beiden Updates KB4025336 und KB4025331 Ärger. Diese blocken die Update-Suche in den Clients. Die Details habe ich im Blog-Beitrag Microsofts Juli 2017-Updates KB4025336/KB4025331 als WSUS-Killer beschrieben. Abhilfe schafft nur die Deinstallation der Updates – bzw. möglicherweise (beim Windows Server 2012) ein Workaround in Form der Verwendung anderer Ports.

Outlook-Bugs vom Juni-Update ungefixt

Bereits am 13. Juni 2017 rollte Microsoft umfangreiche Office Sicherheitsupdates aus. Nutzer stellten danach fest, dass insbesondere in Outlook zahlreiche Fehler auftragen. Von einer kaputten Suche über fehlende Synchronisierung bei iCloud-Konten bis hin zu blockierten RTF-Anhängen war alles dabei. Ich hatte die diversen Bugs im Blog-Beitrag Office/Outlook und Windows Patchday-Probleme aufgeführt.

Ich habe mich hier im Blog in verschiedenen Beiträgen an diesen Bugs abgearbeitet und einiges konnte gefixt werden. Aber manche Reparaturversuche seitens Microsoft schlugen fehl und am 12. Juli 2017 wurden Korrektur-Updates komplett zurückgezogen. Ich habe das im Blog-Beitrag Updates für Outlook 2010/2013/2016: Fixes zurückgezogen thematisiert. Bis heute (25.7.2017) gibt es keinen Fix.

Das IE 11-Druckproblem: Pest oder Cholera

Und es gibt noch eine heikle Geschichte, die Administratoren in Firmenumgebungen in eine Zwickmühle bringt. Das Ganze resultiert noch aus Sicherheits-Updates (KB402155), die bereits im Juni 2017 verteilt wurden, um eine kritische Lücke zu fixen. Danach konnten keine Frames und IFrames mehr im Internet Explorer gedruckt werden. Das Thema ist im Blog-Beitrag Internet Explorer 11-Druckprobleme durch Juni 2017 Updates beschrieben.

Microsoft hat dann versucht, das Ganze nachzubessern. Ich hatte das in diversen Blog-Beiträgen angesprochen:

Microsoft Security Update Releases wg. IE 11 Druckproblem (KB4032782)
Achtung: KB4032782 kann IE11-Crashes verursachen
IE11-Druckprobleme in Windows behoben – nun Abstürze (Juni 2017)

Im letztgenannten Blog-Beitrag von Ende Juni schrieb ich, dass das Internet Explorer 11-Druckproblem zwar durch neue Updates behoben sei. Nun kommt es aber zu Abstürzen des Browsers. Wer auf den IE 11 in Firmenumgebungen angewiesen ist, steht vor einem Dilemma: Er kann Sicherheitslücken schließen lassen, muss aber auf das Drucken verzichten. Entscheidet er sich fürs Drucken, müssen die Sicherheitslücken offen bleiben.

Auch Ende Juli 2017 ist mir noch kein Fix bekannt. Woody Leonhard hat das vor ein paar Tagen in diesem ComputerWorld-Artikel aufgegriffen und die Historie der Patches näher beleuchtet. Microsoft hat zwar wie ein Weltmeister nachgebessert und einen Fix für die IE 11-Abstürze rausgebracht. Woody schreibt aber (ich habe es nicht untersucht), dass dieses Reparatur-Update quasi den Code zum Schließend der ursprünglich zu fixenden Sicherheitslücke im IE schlicht deaktiviert. Die betreffende Diskussion findet sich hier und dort stößt man auf diesen Link zum Microsoft CVE-2017-8529-Advisory. Im Nachtrag zum 07/11/2017 (Revision 4.2) heißt es:

Please note that the protection for CVE-2017-8529 is not yet available with the release of the July security updates, as we continue to work on a solution for the known issue customers may experience when printing from Internet Explorer or Microsoft Edge after installing Internet Explorer Cumulative update 4021558. Customers who receive automatic updates will not be protected from this CVE. Microsoft is continuing to investigate a solution for this known issue and will notify customers as soon as an update is available.

Also die Wahl zwischen Pest oder Cholera – denn bisher ist mir (Stand 25. Juli 2017) kein neues Update zum Beheben des Problems bekannt. Aber ich gestehe, ich habe inzwischen auch etwas den Überblick verloren, was wo von Microsoft in den diversen Windows-Versionen diesbezüglich gepatcht wurde. Wenn dann noch ein Patch herauskommt, wo man dann an anderer Stelle die Info findet, dass die Sicherheitslücke CVE-2017-8529 wieder offen ist, empfinde ich es als 'etwas schwierig, da noch den Überblick zu behalten' – aber möglicherweise seid ihr da fitter.

Probleme mit der Excel Schnellzugriffsleiste

Zum Schluss noch eine ganz kurzer Informationssplitter: In diesem Artikel berichtet Woody Leonhard über einen Benutzer, der Probleme mit der Excel Schnellzugriffsleiste habe. Das sollte inzwischen aber in Windows 10 Version 1706 (Build 8229.2103) mit einem Update behoben sein (siehe diesen Thread) und der Entdecker des Bugs, Bill Jelen, hat wohl auch einen Workaround gefunden.

Langweilig dürfte es den Administratoren im Juli 2017 bei der Betreuung von Produkten im Microsoft Umfeld wohl nicht geworden sein. Oder habt ihr da andere Erfahrungen gemacht?

Ähnliche Artikel:
Microsoft Outlook: Juni 2017-Update-Bugs teilweise gefixt
IE11-Druckprobleme in Windows behoben – nun Abstürze (Juni 2017)
Office/Outlook und Windows Patchday-Probleme
Microsofts Juli 2017-Updates KB4025336/KB4025331 als WSUS-Killer
Windows 10 Fall Creators Update (V1709): Das fliegt raus …
Windows 10 V1607: Updates für Clover Trail-Systeme bis 2023
Inoffizielle Windows Vista Updates (11. Juli 2017)