Patchday Microsoft Office Updates (12. Oktober 2021)

5 Antworten zu Patchday Microsoft Office Updates (12. Oktober 2021)

1. Fritz sagt:

   15. Oktober 2021 um 06:06 Uhr

   Als ich diesen Post gesehen habe dachte ich zuerst: Oh Gott, wieder nur eine Linkliste!
   Nicht falsch verstehen, aber die Information "Microsoft hat vorgestern KB…-KB… für Office freigegeben" kann ich mir genauso aus meinem WSUS 'rausziehen. Viel mehr interessiert hätte mich natürlich WAS Microsoft geändert hat und welche potentiellen Probleme mit diesem Update zu erwarten sind.

   Nun weiß ich, daß Günni im Moment sehr gravierende private Probleme hat und habe den allerhöchsten Respekt davor, daß er bei all der Sorge und Leid diesen Blog nicht einfach abgeschaltet hat – insofern will ich mich hier in keinster Weise beschweren.

   Was mir aber aufgefallen ist: Wenn ich den Links zu den KBs folge, werde ich auch nicht viel schlauer. Microsoft hat da ein Bündel Einträge hinterlegt, die vermutlich alle aus dem gleichen Template generiert wurden, viel Text wie man die Updates herunterlädt und installiert und nur ein kurzer Link zum MSRC mit einer CVE–Nummer, die die Natur des behobenen Problems genauso wenig beschreibt.

   Hier scheint sich Microsoft inzwischen die gleiche Attitüde zuzulegen wie Apple sie schon seit langer Zeit pflegt: "Wir haben da ein Update für Dich, spiel' es bitte schnell ein, es ist wichtig. Was es macht und wie es funktioniert braucht Dich nicht zu interessieren, vertraue uns einfach – wir wissen schon was wir tun".

   Nun, offensichtlich wissen sie es manchmal nicht. Gefühlt ist es nicht mehr so schlimm wie im Sommer, aber einige Probleme (z.B. PrintNightmare) sind weiterhin noch nicht ausgestanden.

   Wie geht Ihr damit um?

   Letztendlich bin ich es, der die Updates in meiner Firma freigibt und wenn z.B. die ganze Firma nicht mehr drucken kann bin ich auch der erste Anbrüllparter für Fragen wie "Warum hast Du die Updates überhaupt freigegeben? Testest Du nicht?".

   Natürlich hatte ich mir vorher keinen Test-Printserver mit Test-Druckern zehn verschiedener Hersteller aufgebaut und auf diesem exzessiv das Installieren/Updaten verschiedener Click-and-point-Druckertreiber getestet. Auf anderen Test-Servern und Arbeitsstationen verhielt sich das Update unauffällig – damit habe ich es eben ausgerollt (und jetzt wieder zurückgerollt).

   Früher war eine solche Testinstanz z.B. die DATEV. Die hatten ein Team, welches auch die Windows- und Officeupdates gleich beim Erscheinen unter die Lupe genommen hat und oft genug nach 1 oder 2 Wochen auch mit einer Liste von Auffälligkeiten kam, die sich dann als MS-Probleme herausstellten und von Microsoft eingestanden und repariert wurden.

   Leider tun sie das (aufgrund des hohen Aufwands und der resultierenden Zeitverzögerung auch bei sicherheitsrelevanten Updates für ihre Kanzleien) nicht mehr bei Patches (nur noch Hauptversionen) und empfehlen sofortiges Einspielen.

   Viele der Patch-Probleme in letzter Zeit waren nicht global und offensichtlich, sondern traten nur in speziellen Konstellationen und in Kombination mit spezieller Software anderer Hersteller auf.

   Sicherlich kann man die Patches jetzt erst mal eine Woche "abhängen" lassen – in der Zeit ein offenes Ohr in einschlägigen Foren (wie diesem) haben – und erst danach einspielen.

   Nur – wie lange?

   Jeden Tag, den man gegen die MS-Aussage "sofortiges Einspielen" verstößt mach man sich (technisch und juristisch) angreifbar und riskiert, als von einem Cyber-Angriff betroffenes Unternehmen in den Schlagzeilen zu landen. Bei der Exchange-Geschichte ging es ja teilweise eher um Stunden als Tage.

   Und selbst wenn man eine Woche wartet kann es sein, daß manche Probleme noch nicht aufgepoppt sind (sie z.B. die Citrix-Meldung) weil sie eben eher einen kleinen Kreis von Anwendern oder sehr spezielle Konstellationen betreffen.

   Wie handhabt Ihr das so?

   Antworten
   • Günter Born sagt:

     15. Oktober 2021 um 09:21 Uhr

     Von meiner Seite werde ich mir i.d.R. nicht mehr die Arbeit machen, da noch Details zu den Updates zu eruieren. Erstens ist der Informationsgehalt der MS-Beiträge sehr gering – und zweitens ist es Zweck der Beiträge a) anzugeben: Da gibt es genau diese Updates (damit jemand nachsehen kann, ob etwas relevantes für ihn dabei ist) – und b) das Ganze hier als Honeypot zu nutzen, falls es Probleme gibt. Denn da lohnt es sich eher, nochmals nachzugehen und ggf. was in einem separaten Artikel aufzubereiten.

     Ich kann aber auch auf diese Beiträge verzichten, sofern diese nicht mehr benötigt werden. Spart mir Zeit.

     Dass Microsoft da nicht mehr viel macht, ist auch klar: Die Updates für die MSI-Versionen sind ein sterbender Ast. Spätestens mit dem Auslaufen des Supports für Office 2019 als MSI-Version (Professional Pro Plus) ist diese Art der Updates eh gestorben. Und die C2R-Updates habe ich hier im Blog noch nie thematisiert.

     Antworten
     • Mike sagt:

       15. Oktober 2021 um 19:41 Uhr

       Kann ich nachvollziehen für Office. Windows liegt anders. Hier bitte nicht „nachlassen" (solang als möglich/leistbar).

       Antworten
   • DiWÜ sagt:

     15. Oktober 2021 um 11:10 Uhr

     Schöner Kommentar, danke.

     Antworten
   • Singlethreaded sagt:

     15. Oktober 2021 um 17:00 Uhr

     1. Installation auf Test-PC, Test-Server in einer VM
     2. Freigabe an eine Testgruppe welche aus der IT und den Keyusern besteht
     3. Freigabe an alle

     Sollten bei einem Schritt Probleme auftreten, dann schauen wir was wir machen können. Ggf. wird die Verteilung in SCCM dann ausgesetzt, bis es einen Workaround oder Fix gibt.

     Früher war lag Punkt 3 zwei Wochen hinter dem Patchday, wir arbeiten gerade daran dies auf eine Woche zu drücken. Das bedeutet auch, dass SCCM Clients in der Nacht per Wake-On-LAN startet, die Updates installiert und wieder abschaltet.

     Ich denke jeder hat irgendwo Geräte, welche nicht dauerhaft laufen. Sei es in Besprechungsräumen oder weil ein Kollege im Urlaub oder in Elternzeit ist.

     Jedes Problem vorab zu erkennen ist aus meiner Sicht nicht möglich. Vielleicht klappt das Update auf dem Test-Server aber eine Anwendung auf einem anderen Server hat ein Problem damit. Es bleibt immer ein Restrisiko und alles testen kann man nicht.

     Ansonsten werden täglich die üblichen Seiten mit Sicherheitsmeldungen abgeklappert. Wenn dort etwas dabei ist, dass kritisch ist und aus dem Internet erreichbar, dann wird sofort gepatched.

     Das Spannungsfeld zwischen Betriebssicherheit und dem schließen von Sicherheitslücken kann ich gut nachvollziehen. Es bleibt eine permanente Gratwanderung.

     Gruß Singlethreaded

     Antworten