Heute noch ein kurzer Überblick über den Stand beim Patchen der Windows-System gegen die Meltdown- und Spectre-Lücken. Microsoft hat sich sowohl zur AMD-Problematik als auch zum Thema Antivirus-Software als Problembär geäußert. Einfach mal zusammengefasst, was wichtig sein könnte.
Anzeige
Die Windows-Sicherheitsupdates zum Abschwächen der Meltdown- und Spectre-Lücken haben sich für Nutzer ja zum Debakel entwickelt. Eine Anwender erhielten die Sicherheits-Updates erst gar nicht, während andere auf AMD-Systemen nach der Installation vor einem nicht mehr bootenden oder BlueScreen werfenden System standen.
Microsoft erklärt sich zur AMD-Problematik
Besitzer von Systemen mit AMD-CPUs und –Chipsätzen hatten die Tage keine Freude an den ausgerollten Sicherheitsupdates gegen Meltdown und Spectre. Update KB4056892 führte bei Systemen mit Windows 10 und Update KB4056894 führte bei Systemen mit Windows 7 auf AMD-Plattformen zu bösen Problemen (die Server-Pendants sollten auch betroffen sein). Ich habe die Details in den beiden Blog-Beiträgen hier beschrieben:
Windows10: Update KB4056892 killt AMD-Systeme (Error 0x800f0845)
Windows 7: Update KB4056894 macht Probleme (0x000000C4)
Nun hat Microsoft einen KB-Artikel 4073707 zur Problematik veröffentlicht. Nachdem Microsoft Kenntnis über nicht mehr bootfähige AMD-Geräte nach Installation der Meltdown- und Spectre-Sicherheitsupdates erhielt, hat man die Details untersucht.
Anzeige
Dabei hat Microsoft festgestellt, dass einige AMD-Chipsätze nicht mit der Dokumentation übereinstimmen, die Microsoft zuvor zur Verfügung gestellt wurde. Diese Dokumentation war aber die Basis, um die Patches zum Abschwächen der Sicherheitslücken in den Chipsätzen zu entwickeln.
Um zu verhindern, dass AMD-Kunden in einen nicht bootfähigen Zustand geraten, greift Microsoft zu drastischen Mitteln. Microsoft unterbricht (siehe auch Windows Updates (KB4056892, KB4056894 etc.) für AMD temporär zurückgezogen) vorübergehend das Ausrollen der folgenden Windows-Betriebssystemaktualisierungen an Geräte mit betroffenen AMD-Prozessoren:
- January 3, 2018—KB4056897 (Security-only update)
- January 9, 2018—KB4056894 (Monthly Rollup)
- January 3, 2018—KB4056888 (OS Build 10586.1356)
- January 3, 2018—KB4056892 (OS Build 16299.192)
- January 3, 2018—KB4056891 (OS Build 15063.850)
- January 3, 2018—KB4056890 (OS Build 14393.2007)
- January 3, 2018—KB4056898 (Security-only update)
- January 3, 2018—KB4056893 (OS Build 10240.17735)
- January 9, 2018—KB4056895 (Monthly Rollup)
Aktuell arbeitet Microsoft mit AMD daran, die Probleme zu beseitigen und dann die Updates wieder freizugeben. Details zur Problemlösung auf betroffenen Systemen liefert Microsoft im Support-Artikel. Danke an Martin Geuß für seinen Hinweis auf Facebook mit Link zu seinem Artikel hier.
Keine Januar 2018-Updates ohne AV-Aktualisierung
Und es gibt noch eine gewichtige Information für Besitzer von Windows-Systemen, die Fremdvirenscanner einsetzen. Ich hatte es in meinen Blog-Beiträgen zu den bisherigen Januar 2018-Sicherheitsupdates bereits erwähnt. Diese standen nur zur Verfügung, wenn die Antivirus-Lösungen einen bestimmten Registrierungseintrag gesetzt haben. Damit soll vermieden werden, dass die Kernel-Änderungen zu Problemen mit der Antivirus-Software führen.
Microsoft hat dazu den KB-Artikel 4072699 veröffentlicht. Während Windows Defender Antivirus, System Center Endpoint Protection und Microsoft Security Essentials mit den Sicherheitsupdates vom Januar 2018 kompatibel sind und den erforderlichen Registrierungsschlüssel eintragen, sieht es bei Fremd-AV-Produkten anders aus.
Microsoft hat ein Kompatibilitätsproblem mit verschiedenen Antiviren-Softwareprodukten festgestellt. Das Kompatibilitätsproblem tritt auf, wenn Antivirenprogramme nicht unterstützte Aufrufe in den Speicher des Windows-Kernels tätigen. Diese Aufrufe können Stoppfehler (auch bekannt als Blue-Screen-Fehler) verursachen, die dazu führen, dass das Gerät nicht mehr booten kann.
Microsoft schreibt: Um Stopp-Fehler zu vermeiden, die durch inkompatible Antiviren-Anwendungen verursacht werden, bietet Microsoft die Windows-Sicherheitsupdates, die am 3. Januar 2018 veröffentlicht wurden, nur für Geräte an, auf denen Antiviren-Software ausgeführt wird, die von Partnern stammt, die bestätigt haben, dass ihre Software mit dem Sicherheitsupdate für das Windows-Betriebssystem im Januar 2018 kompatibel ist.
Wenn Sicherheitsupdates nicht angeboten wurde, läuft auf dem System möglicherweise inkompatible Antivirensoftware – allerdings wurden mir (trotz MSE) die Sicherheitsupdates vom 3. Januar nicht angeboten. Nur das Monthly Rollup kam und ließ sich installieren.
Aber man sollte folgendes wissen, darauf hat Bleeping Computer hier hingewiesen. Im KB-Artikel 4072699 schreibt Microsoft:
Kunden erhalten die Sicherheitsupdates vom Januar 2018 (oder nachfolgende Sicherheitsupdates) nicht und sind auch nicht vor Sicherheitslücken geschützt, es sei denn, der Hersteller der Antivirensoftware legt den betreffenden Registrierungsschlüssel fest.
Im Klartext: Wer auf Fremd-Antivirus-Software setzt, braucht von dem betreffenden Hersteller ein Kompatibilitätsupdate. Solange dies fehlt, wird es keine Sicherheitsupdates für das betreffende Windows-System geben.
Ich hatte im Blog-Beitrag Infos zu Meltdown und Spectre: Was man wissen sollte – Teil 2 auf die von Google gepflegte Kompatibilitätsliste hingewiesen. Hoffe, damit kann sich jeder, speziell Administratoren in Unternehmensumgebungen, für den heutigen Patchday bei Microsoft vorbereiten.
Ach ja, es gibt Artikel (wie bei Golem), die die Alternative 'Registry-Einträge selbst setzen' propagieren. Halte ich für keine so gute Idee, da es schon seinen Sinn hat, warum Microsoft diese Weiche nutzt. Also: Entweder die AV-Software entfernen und auf ein anderes Produkt setzen, oder warten, bis der Hersteller mit einem Update reagiert.
Ähnliche Artikel
Sicherheitslücke: Bug in Intel CPUs bedroht Betriebssysteme
Windows 10: Patch fixt den Intel-Bug
Kritische Updates für Windows und Browser (3.1.2018)
Windows 10: Kritische Updates vom 3.1.2018
Kritische Sicherheitsupdates für Windows 7/8.1/Server (3./4.1.2018)
Weitere Updates (Internet Explorer, GDI) 3.1.2018
Windows10: Update KB4056892 killt AMD-Systeme (Error 0x800f0845)
Windows 7: Update KB4056894 macht Probleme (0x000000C4)
Kaspersky Endpoint Security 10 Update auf V10.3.0.6294
Windows Updates (KB4056892, KB4056894 etc.) für AMD temporär zurückgezogen
Infos zu Meltdown und Spectre: Was man wissen sollte – Teil 1
Infos zu Meltdown und Spectre: Was man wissen sollte – Teil 2
Meltdown und Spectre: Was Windows-Nutzer wissen müssen
Windows Defender Fehler beim Laden der Typbibliothek/DLL (Error 0x80029c4a)
Anzeige
An dieser Stelle mal ein großes Danke für die stets aktuellen Meldungen! Sie helfen sehr die Situation einzuschätzen und sind ein Gradmesser, ob es derzeit massive Probleme bei den Sicherheitsupdates gibt und man vielleicht noch warten sollte, diese einzuspielen.
Gibt es auch Bestätigungen von Microsoft, dass es zu Problemen mit "eingefrorenen" Webbrowsern (IE, FF) kommt? Heise hat ja darüber berichtet.
Dem Danke für die stets aktuellen Meldungen kann ich mich nur anschließen.
Seit ich auf diesen Blog gestoßen bin war ich immer recht gut im Bilde was MS veranstaltet. Danke dem Autor und dem Vorredner.
Laut der von Google gepflegten Kompatibilitätsliste ist mein Virenscanner (F-Secure Safe) kompatibel und setzt den Registry-Schlüssel.
Wir nutzen in der Familie einen PC und zwei Laptops. Dabei ist einmal Windows 10 Pro und zweimal Windows 8.1 Pro installiert. Laut der Google Liste hätte also auf allen 3 Geräten der Patch von Microsoft automatisch installiert werden müssen.
In der Praxis wurde aber nur auf dem Windows 10 Rechner KB4056892 automatisch installiert. Für die beiden Windows 8.1 Rechner erfolgte kein automatisches Update.
Hier musste ich Update KB4056898 manuell herunterladen und installieren. Die manuelle Installation verlief ohne Probleme. Gefühlt läuft der eine oder andere Aufruf schon etwas langsamer, aber nichts Dramatisches.
Die Rollups für Win8.1 und das Server-Pendant 2012R2 kamen auch im WSUS erst stark verzögert, ich glaube gestern abend an. Von daher kein Wunder daß nichts automatisch gefunden wurde. Heute hätte es vermutlich geklappt. Die Rollups für Win10 und Win7 kamen schon Tage vorher.
Hallo zusammen,
auf einem Windows 7 Pro x64 (Installation von Microsoft ISO) wurde mir der Patch KB4056894 bisher nicht angeboten. Auf diesem Windows 7 Pro x64 sind nur die Patche bis Dezember 2017 installiert und der zum Betriebssystem gehörende Defender aktiviert, sowie die VMware Tools, sonst nichts.
Erst nach dem setzen des auf Golem beschrieben Registry Key wird mir KB4056894 angeboten.
Somit macht es also doch Sinn, sich mit den Umständen und dem Registry Key zu beschäftigen:
"Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" Value="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD" Data="0x00000000""
Ich habe den Patch KB4056894 ausgeführt und alles im grünen Bereich.
Nachtrag:
Wer so dämlich ist und diesen Key auf einem System setzt, wo der Virenscanner nicht zu KB4056894 kompatibel ist…, selbst schuld.
Gruß
Rainer
Rainer: Ich denke, die Wissenden können mit den Infos in obigem Artikel umgehen. Als Blogger muss ich (oder versuche es wenigstens) auch die Leute im Auge zu behalten, die jedes Schnipsel im Internet ausprobieren und dann in Foren oder hier aufschlagen 'ich habe alles probiert, geht net oder hat mein System zerdeppert'. Daher der deutliche Hinweis.
Ja klar, der Virenscanner muß den Reg-Key setzen. Wenn nun jemand auf einem Rechner wie du gar keinen Virenscanner laufen hat (der Defender von Win7 ist keiner, der ist was anderes als der Defender ab Win8) dann ist niemand da der den Key setzen könnte oder würde. In genau dieser speziellen Situation mußt du den Key selber setzen. Dann ist auch sicher kein inkompatibler AV am Laufen.
Für alle anderen gilt, warten bis der Virenscanner den Key setzt, dann kommt das Update automatisch.
Hallo,
bei mir 2x Windows 10 relativ frisch installiert ohne extra Virensoftware, 1x älteres Windows 10 Pro mit SEP und einmal Windows 8.1Pro mit NOD32 haben bisher alle kein automatisches Update erhalten !
Gruß
Danke Günter für den Artikel, stellt sich nur mir die frage ich hab die Tage irgendwo erst einen Artikel von Microsoft gelesen wo Microsoft alle kompatiblen AV Lösungen gelistet hatte mit denen es keine Probleme geben sollte da sie bereits Aktualisiert worden sind und das waren bereits eine menge, ich hoffe das schreibt Microsoft nicht einfach so dahin sondern überprüft das auch!
Dann verstehe ich nur leider nicht wieso Microsoft jetzt wieder zurück rudert und genau das Gegenteil behauptet, ist es nicht üblich Patches erst mal an und in unterschiedlichen Systemen zu testen?
Es ist eigentlich wieder mal so üblich jedes Problem auf das Produkt eines anderen Herstellers einfach abzuwälzen, mir geht so auf den Sack und ich weiß was passieren wird wenn ich jetzt den AV Hersteller anrufe, der erzählt mir dann wieder genau das Gegenteil und schiebt das Problem wieder auf Microsoft, obwohl es eigentlich Intel und AMD Verkackt hat.
Ich denke, die AV-Listen werden von Microsoft auf 'Zuruf' der AV-Hersteller gepflegt. Da testet bei MS keiner die Kompatibilität.
Zudem ist das Thema AV ein unendliches. Neben den Filtertreibern, die per Hook in die Kerneltreiber eingeklinkt werden, veranstalten die AV-Hersteller ja noch eine ganze Menge mehr. Und wenn deren Sandbox plötzlich wegen eines Kernel-Updates spinnt, lässt sich nur mit Regressionstests herausfinden – dazu hat es aktuell keine Zeit gehabt. Mag mich aber täuschen.
Also ich habs mit dem Backup noch mal nach geprüft weil mir kam das auch eher schleierhaft vor weil die Fremd AV Software mir vorher sogar noch laut log mitgeteilt hat das jetzt alles ok wäre.
Da steht: Obwohl das Update erfolgreich installiert wurde, meldet Windows Update fälschlicherweise, dass das Update nicht installiert werden konnte. Zum Überprüfen der Installation wählen Sie Nach Updates suchen aus, um zu bestätigen, dass keine zusätzlichen Updates verfügbar sind.
und
Wenden Sie sich an den Hersteller Ihrer Antivirensoftware, um zu bestätigen, dass die Software kompatibel ist, und legen Sie den folgenden Registrierungsschlüssel auf dem Gerät fest.
Registrierungsschlüssel="HKEY_LOCAL_MACHINE"Unterregistrierungsschlüssel="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat"
Name="cadca5fe-87d3-4b96-b7fb-a231484277cc"
Typ="REG_DWORD"
Daten="0x00000000"
und der Schlüssel war schon vor dem Update gesetzt, aber wer steigt da schon noch durch was Microsoft da macht die Wissen das selbst wahrscheinlich nicht so genau.
Auch AMD bietet mir wie gewöhnlich seit über einem Halben Jahr jeden Tag beim ersten Neustart einen neuen Treiber an der dann mit dem Fehler 175 Abbricht also die können es auch nicht besser.
Für Leute die mit Win7 Update Probleme bekommen, können das Rückgängig machen: https://www.deskmodder.de/blog/2018/01/08/kb4056894-windows-7-startet-nach-update-nicht-mehr-bsod-loesung/
Sollte das wie im Artikel beschrieben so nicht funktionieren, Win 7 Datenträger mit ISO-Datei anschliessen/einlegen und vom Datenträger PC starten und dann Reperaturoptionen aufrufen, danach weiter wie im Text beschrieben.
Noch etwas: Das ist natürlich nur ein WorkAround um betroffene Rechner wieder nutzbar zu machen, und keine Final Lösung für das Problem! Das gleiche funktioniert auch mit Win 10 Rechnern (AMD-PROZZI-Problem) bei angepasstem DISM-Befehl
Lieber Michael
Dein Tipp zum Rückgängig machen des Win7-Patches tönt verlockend, wie aber heisst der DISM-Befehl für Win10?
Und verstehe ich den Tipp richtig, dass man ihn aus der CMD-Zeile in den Repair-Optionen auf das unbootbare System anwenden kann?
Kein Kommentar, brauche Hilfe!
Betrifft das Security-only update KB4056897, was ich am 04.01.2018 auf meinen AMD Athlon 64 X2 5000+ Windows 7 x64 installiert hatte.
Vorab: Der Virenscanner ist lt. Eset kompatibel der Key stimmte.
Momentan bin ich mehr als vorsichtig >Supergau<. Um das Windows Update KB4056894 rückgängig zu machen, wird in den Foren dieser Befehl genannt:
——————————————-
dir d:
dism /image:d:\ /remove-package /packagename:Package_for_RollupFix~31bf3856ad364e35~amd64~~7601.24002.1.4 /norestart
>Deinstallation des Updates, > startet man mit F8 den PC und geht auf Computerreparatur und auf die Eingabeaufforderung.
————————————————————
>>>Wie lautet der Befehl beim KB4056897 Windows Security Update, um dieses Update wieder zu deinstallieren???????????
Auch hier bin ich für eine aussagekräftige Antwort u. Hilfe dankbar.
Vorab DANKE
ToBu