[English]Noch ein kleiner Nachtrag zum März/April Patchday für Windows. Unter Windows Server 2008/R2 war netdom.exe nach Installation des SHA 2-Updates kaputt. Das Sicherheitsupdate KB4493448 vom April 2019 fixt das wieder.
Anzeige
Worum geht es genau?
Vorab: Das Thema tangiert nur Administratoren in Unternehmensumgebungen mit Windows Domänen auf Windows Server 2008 und Windows Server 2008 R2. Der Fehler ist mit den Sicherheitsupdates vom 9. April 2019 behoben. Da es aber mit diesen Updates Probleme in Verbindung mit Fremd-Antivirus-Programmen gab, ist die Information bzw. der Fix noch nicht bei allen Administratoren angekommen. Ich bereite das Thema daher nachfolgend auf.
Unterstützung für die SHA-2-Signaturauswertung gefordert
Ab März 2019 bot Microsoft das Sicherheitsupdate KB4474419 an. Update KB4474419 (SHA-2 code signing support update for Windows Server 2008 R2 and Windows 7: March 12, 2019) rüstet die Unterstützung für die SHA-2-Signaturauswertung für die genannten Betriebssysteme nach.
Ich hatte diese im Blog-Beitrag Windows 7: Updates rüsten SHA-2-Support nach besprochen. Über die Notwendigkeit zur Aktualisierung des SHA 2-Supports für die genannten Windows-Betriebssysteme hatte ich in diversen Blog-Beiträgen ausführlich berichtet (siehe Linkliste am Artikelende).
Sicherheitsupdate KB4474419 killt netdom
Wer das Sicherheitsupdate KB4474419 auf Windows Server 2008 und Windows Server 2008 R2 installierte, hatte aber ein Problem: Das Programm netdom.exe funktionierte im Anschluss nicht mehr. Egal,was man dem Programm an Parametern übergibt, es kommt die Fehlermeldung "Der Befehl wurde nicht ordnungsgemäß ausgeführt". Blog-Leser Peter hatte am 14. März 2019 einen Kommentar mit einem entsprechenden Hinweise im Blog hinterlassen.
Anzeige
Auch Blog-Leser Disto hat sich im Blog mit diesem Kommentar gemeldet und schreibt, dass bei Windows 7 und Windows Server 2008 R2 der "netdom query" Befehl nicht mehr funktioniere. Disto hat dann auf den Technet-Forenbeitrag 2008R2 – Netdom.exe Broken hingewiesen, wo das Ganze ebenfalls thematisiert wird.
In diesem serverfault.com Forenthread greifen Nutzer das ebenfalls auf. Dort weist ein Nutzer auf einen Workaround hin. Er hat einfach eine alte Kopie von netdom.exe von vor dem März 2019-Update genommen und auf die betreffende Maschine zurück kopiert.
Die ältere Version könnte aus den RSAT-Tools entnommen werden, wie MVP Dave Patrick hier anmerkt. Ein anderer Nutzer MS_Tizzy gibt an, dass er das Problem durch Deinstallation von zwei Updates behoben hatte:
We did uninstall KB4489885, restart and then uninstall KB4489878 and we did recover old netdom.exe version.
Später hat Microsoft wohl das Problem als bekannt in seinen KB-Artikeln zu den Updates vom 12. März 2019 nachgetragen. Für Update KB4489878 heißt es:
After installing this update, NETDOM.EXE fails to run, and the on-screen error, "The command failed to complete successfully." appears.
Als Notnagel ließen sich ein alternatives Befehlszeilenprogramm und ein grafisches Werkzeug wie PowerShell, NLTEST.EXE, Active Directory-Benutzer und -Computer (DSA.MSC) und Active Directory-Domänen und Trusts Snap-in (domain.msc) verwenden.
Netdom-Fix mit April-Update KB4493472
Aber diese Kunstgriffe sind inzwischen nicht mehr erforderlich, da Microsoft das Problem im April 2019 gefixt hat. Im KB-Artikel zu KB4493472 heißt es in der Liste der Fixes:
Addresses an issue in which netdom.exe fails to run, and the error, "The command failed to complete successfully" appears.
Der bekannte Fehler wurde also mit diesem Update behoben. Blog-Leser Peter hat am 30. April 2019 in diesem Kommentar auf den Sachverhalt hingewiesen. Danke dafür!
Was ist Netdom?
Abschließend noch ein kurzer Hinweis für Mitleser, die sich fragen, was netdom.exe macht. Das Programm Netdom ermöglicht Administratoren das Zurücksetzen von Computerkontokennwörtern eines Windows Server-Domänencontrollers unter Windows Server 2019, Windows Server Standard 2016, Windows Server 2012 R2 Standard und Windows Server 2008 R2 Standard. Microsoft hat dies in diesem Supportbeitrag ausführlicher beschrieben.
Ähnliche Artikel:
Windows 7: Ab April 2019 wird ein 'SHA-2-Update' benötigt
SHA-2-Patch für Windows 7 kommt wohl im März 2019
Windows 7: Updates rüsten SHA-2-Support nach
Patchday: Updates für Windows 7/8.1/Server (12. März 2019)
Anzeige
Netdom kann noch einiges mehr, nicht zuletzt die Aufnahme von Computern in die Domäne, das Umbenennen von Computern oder das Auslesen von FSMO-Rollen.
Ich kann die Probleme unter Windows Server 2008 SP2 nicht bestätigen.
KB 4474419 gibt es noch nicht einmal für dieses System.
Netdom.exe funktioniert auch nach den März und vor den April Updates astrein