[English]Microsoft hat zum 19. Mai 2022 eine Reihe außerplanmäßiger Updates (out-of-band Updates) für unterstützte Windows-Versionen (Client und Server) freigegeben, die Probleme, die durch die Sicherheitsupdates vom 10. Mai 2022 verursacht wurden, korrigieren sollen. Dazu gehört auch das Active Directory Authentifizierungsproblem auf Domain Controllern, aber auch ein Fehler (0xC002001B), der die Installation von Apps aus dem Microsoft Store verhindert.
Anzeige
Blog-Leser EP hat mich im englischsprachigen Blog über diesen Kommentar (danke dafür) über drei außerplanmäßige Updates informiert und schrieb:
no KB5014023 on May 19 but Microsoft released a bunch of out-of-band updates on TH May 19 such as KB5015020 for 21H1/21H2 and KB5015018 for 1809 LTSC 2019 along with KB5015019 for 1607 LTSB 2016:
https://support.microsoft.com/help/5015020
https://support.microsoft.com/help/5015018
https://support.microsoft.com/help/5015019
Das ist aber nur eine Teilmenge der freigegebenen Updates. Microsoft hat die vollständige Liste der Updates im Windows 11 Healt-Statusbereich in diesem Eintrag des Know Issues-Abschnitt aufgelistet umfasst nachfolgende kumulativen Updates (danke an die Kollegen von Bleeping Computer).
- KB5015013: Windows Server 2022
- KB5015020: Windows Server Version 20H2
- KB5015018: Windows Server 2019
- KB5015019: Windows Server 2016
sowie die nachfolgenden Standalone-Updates:
- KB5014986: Windows Server 2012 R2
- KB5014991: Windows Server 2012
- KB5014987: Windows Server 2008 R2 SP1
- KB5014990: Windows Server 2008 SP2
Sie müssen vor der Installation dieser kumulativen Updates keine vorherigen Updates anwenden. Für die Standalone-Updates gilt allerdings: Wer nur Sicherheitsupdates für diese Versionen von Windows Server verwendet, muss diese Updates nur für den Monat Mai installieren. Wer monatliche Rollup-Updates verwendet, muss sowohl das oben aufgeführte eigenständige Update als auch die monatlichen Rollups vom 10. Mai 2022 installieren.
Anzeige
Diverse Korrekturen
Im Supportartikel zu Update KB5015020 für Windows Server Version 20H2 gibt Microsoft die nachfolgenden Fehlerkorrekturen für das betreffende Paket an:
- Behebt ein bekanntes Problem, das einige Dienste daran hindern kann, Maschinenkonten auf Clients oder Servern zu authentifizieren. Dieses Problem tritt auf, nachdem Sie das Update vom 10. Mai 2022 auf Domänencontrollern installiert haben.
- Behebt ein Problem, das Sie möglicherweise daran hindert, Microsoft Store-Anwendungen zu installieren.
Microsoft hat zudem Servicing Stack Updates für diverse Updates veröffentlicht. Die Updates müssen über den Microsoft Update Catalog heruntergeladen und installiert werden. Über die Details und die bekannten Probleme lässt sich in den oben verlinkten Supportbeiträgen informieren. Ein Abriss der der AD-Zertifizierungsproblematik und der Fixes durch die Updates findet sich im Beitrag You might see authentication failures on the server or client for services. Über das AD-Problem hatte ich in Blog-Beiträgen wie Windows Mai 2022-Updates verursachen AD-Authentifizierungsfehler (Server, Client) berichtet (siehe auch folgende Linkliste).
Ergänzung: Es sieht so aus, als ob die Sonderupdates beim Einsatz eines Network Policy Server (NPS) das AD DC-Zertifikateproblem nicht beheben (siehe Windows Out-of-Band-Updates vom 19.5.2022 versagen mit NPS beim AD DC-Authentifizierungsfehler). In diesem Beitrag habe ich als Ergänzung Hinweise angefügt, was zu beachten ist (Zertifikate erneuern).
Was ist mit den Windows-Clients?
Ergänzung: Weil es einen Kommentar zu KB5014987 gab. Die Standalone-Updates – lassen sich auch auf die Windows-Clients (Windows 7, Windows 8.1) anwenden, sofern der KB-Artikel dies angibt. Laut Microsoft sind aber nur Windows-Server betroffen, und dort die AD DCs. Daher wird das Update wohl nur über den Microsoft Update-Katalog verteilt und muss von Betroffenen manuell heruntergeladen und installiert werden.
Allerdings gibt es einen Aspekt, den ich übersehen habe, auf den Blog-Leser Bolko in einem Kommentar weiter unten hinweist. Die Updates korrigieren ja auch ein Installationsproblem von Store-Apps unter Windows 10. Hier ein Auszug aus meinem englischen Blog-Beitrag mit den betreffenden Erklärungen:
There may be an app install error 0xC002001B (see also), caused by April update KB5011831 or May update KB5013942. Or the app could not be opened afterward. This occurs on Microsoft 11th generation Intel CPUs that support Control-flow Enforcement Technology (CET) and above, as well as on certain AMD processors – see the known issues section of update KB5011831. Out-of-band update KB5015020 for Windows 10 Version 1909 fixes that issue for instance.
Betroffene können die obigen KB-Artikel aufrufen und sich dann das für den Client passende Update herunterladen und installieren. Hier nochmals die Liste von Bolko aus nachfolgendem Kommentar:
Windows 7: KB5014987
Windows 8.1: KB5014986
Win10 – 1607 LTSB: KB5015019
Win10 – 1809 LTSB: KB5015018
Win10 – 20H1, 20H2, 21H1, 21H2: KB5015020
Der Download kann aus dem Microsoft Update Catalog erfolgen (nach der KB-Nummer suchen lassen). Für Windows 11 gibt es noch kein Update – zumindest habe ich noch nichts gefunden.
Ähnliche Artikel:
Patchday: Windows 10-Updates (10. Mai 2022)
Patchday: Windows 11/Server 2022-Updates (10. Mai 2022)
Windows 7/Server 2008R2; Windows 8.1/Server 2012R2: Updates (10. Mai 2022)
Microsoft fixt (PetitPotam) NTLM Relay-Schwachstelle (CVE-2022-26925) mit Windows Mai 2022-Update
Windows, Office: Mai 2022 Patchday-Probleme und Besonderheiten
Windows 11: Update KB5013943 erzeugt Fehler 0xc0000135
Windows 11 Update KB5013943 verursacht Probleme mit DATEV (0xc0000135)
Windows Mai 2022-Updates verursachen AD-Authentifizierungsfehler (Server, Client)
CISA warnt vor Installation der Mai 2022-Updates auf Windows Domain Controllern
Active Directory-Admins: Mai 2022-Updates können bei DCs zur Boot-Schleife führen (gesetztes AltSecID-Attribut bei krbtgt)
Anzeige
okay, mein Kollege und ich sind nun vollständig verwirrt .. irgendwie bekommen wir aufgrund von Freitag und Wochenende keinen klaren Gedanken hin, was genau in welcher Reichenfolge gepatched werden soll oder darf ^^
Wir haben die monthly rollups bis April 2022 auf den DCs (2012R2) installiert, aber nicht das von Mai. Müssen wir nun "nur" SSU+OOB oder monthly+SSU+OOB installieren? please help :-)
Ich würde es wie beim Januar OOB machen bei 2012R2:
monthly+SSU+OOB und danach erst Reboot.
+1
…würde ich auch so machen, wie damals im Januar :)
Nutzt ihr kumulative Updates und habt das Sicherheitsupdate vom 10. Mai nicht installiert, einfach das Out-of-Band-Update installieren und gut ist.
Nutzt ihr Security-only Updates (bis Windows Server 2012 R2), muss diese out-of-band-Update für den Monat Mai installiert werden.
Nutzt ihr monatliche Update-Rollups, muss sowohl das oben aufgeführte eigenständige Update als auch die monatlichen Rollups vom 10. Mai 2022 installieren – dein monthly+SSU+OOB Szenario. Dabei würde ich erst das Update vom 10. Mai und dann das Out-of-Band-Update installieren.
Betrifft aber nur die Server und vor allem DCs. Falls jemand irgend eine Falle entdeckt, bitte einen Kommentar hinterlassen.
"kumulative Updates" und "monatliche Update-Rollups" sind doch das selbe, weil Rollup = kumulativ.
Warum machst du also eine zusätzliche überflüssige Fallunterscheidung?
Weil ich mich auf die Vorgaben von Microsoft beziehe, die zwischen Server-Updates bis 2012 R2 und den Server-Updates ab Server 2016 unterscheiden. Bis Win 8.1/Server 2012 R2 können Monthly-Rollups oder Security-only-Updates verwendet werden. Wenn jemand der Meinung ist, ist alles gleich, kann er ja so verfahren – obiger Hinweis berücksichtigt halt alle Fälle.
Hallo Zusammen!
Ich verstehe das so, dass es z.B. bei Server 2016 ja NUR NOCH Cumulative Updates gibt und man nach den April Patch-Day-Stand gleich das May 19, 2022—KB5015019 (OS Build 14393.5127) Out-of-band installieren kann.
Man muss z.B. bei 2016 NICHT noch VORHER das May 10, 2022—KB5013952 (OS Build 14393.5125) installieren.
Verbessert mich bitte, falls ich falsch liege.
Grüße
Stefan
Es betrifft nicht nur die Server, denn im Microsoft Update Catalog werden auch Windows 7, Win 8.1 und Win10 Clients ausdrücklich extra erwähnt.
Wenn man in den Update Catalog "2022-05" eintippt und die Updates mit Datum 19.05.2022 anschaut, dann findet man folgendes:
Windows 7: KB5014987
Windows 8.1: KB5014986
Win10 – 1607 LTSB: KB5015019
Win10 – 1809 LTSB: KB5015018
Win10 – 1903 und 20H1 und 20H2 und 21H1 und 21H2: KB5015020
Ich hatte da was als Anmerkung geschrieben. Die Verteilung per Microsoft Update Catalog wurde imho gewählt, weil wirklich nur betroffene Admins mit AD DCs die Updates auf den Servern installieren sollten.
Dass die Updates für die Clients ebenfalls angeboten werden, könnte mit der internen Update-Struktur bei MS zusammen hängen – an Hand der Metadaten wird vorgegeben, dass die Updates für diese und jene Builds (Clients und Server) gelten. Letztendlich wird das jeder Betroffene austesten müssen, ob er wirklich die Clients patchen muss – was ich die Nacht gelesen habe, macht diesen Schritt wohl eher nicht erforderlich.
Aber "grau ist alle Theorie", vielleicht können sich die Betroffenen hier im Blog äußern und ihre Erfahrungen posten – gab ja einige Kommentare zu diesem Bug.
PS: Die Erwähnung von 1903 bei KB5015020 dürfte ein Fehler Microsofts sein, dieser Zweig ist aus dem Support herausgefallen.
Es sind aber nicht nur die Fixe für AD enthalten, sondern auch für den Store.
Ersterer betrifft eher Server und letzterer betrifft eher Clients.
Meiner Meinung nach sollte man es überall installieren, wo es technisch möglich ist.
Falls es dann immer noch nicht funktioniert muss und wird MS noch einen weiteren Fix nachschieben.
AD und Store betrifft mich mit Win7 nicht, aber da auch die Kernelversion erhöht worden ist installiere ich es trotzdem.
@Bolko: Mit deinem Argument triffst Du bezüglich der Windows 10-Clients ins Schwarze – hatte das nicht auf dem Radar – danke für den Einwurf.
Vom App-Installationsfehler 0xC002001B Betroffene (siehe bei den Kollegen von deskmodder.de) auf den Clients können also die KB-Beiträge konsultieren und ggf. das Update auch auf den Clients installieren.
KB5014987 gilt auch für Windows 7, nicht nur für Windows Server 2008 R2 SP1.
ist da nun auch das mit den roaming profilen gelöst ?
Eher nicht – dass Roaming Profile Ärger bereiten, wird mir von der Leserschaft und Mark Heitbrink immer wieder aufs Tablet geschmiert. Und obige Out-of-Band-Updates haben nichts mit dem Preview-Update, welches mit Insidern getestet wird, zu tun – siehe Windows 10 21H2: Korrigiert Update KB5014023 Profilprobleme des Mai 2022-Patchdays? – jedenfalls meine Einschätzung aus der Lameng.
Ergänzung: Ich hatte auf Twitter in die Runde gefragt – Will Dorman hat geantwortet, dass sich in dieser Beziehung nichts ändert – stützt meine Einschätzung.
Bei uns hilft es nicht.
Das Mai Update ist drauf und nun auch noch der KB5015018 für Windows Server 2019.
Aber weiterhin kommen die RADIUS Clients nicht am NPS vorbei und damit ins WLAN.
Extrem ärgerlich, hier stehen 700 iPads vor dem NPS und wollen rein gelassen werden…
Das neueste SSU Update ist auch installiert.
Ich werde das Update vom 11.5. nun wohl erstmal deinstallieren. So kann ich das nicht lassen…
@Andreas: Danke für die zeitnahe Rückmeldung zu den Erfahrungen.
Ergänzung: Beachtet meinen Nachtrag in Form eines Hinweises auf den Folgenbeitrag.
siehe mein Kommentar vor einigen Tagen: https://www.borncity.com/blog/2022/05/17/cisa-warnt-vor-installation-der-mai-2022-updates-auf-windows-domain-controllern/#comment-125881
Kann ich bestätigen. Notebooks kommen nach einspielen des Patches weiterhin nicht in Netzwerk mit 802.1x. Fehler wie vor dem Update. Dabei wird keiner der erwähnten EventIDs 39-41 gelogged. Wir haben zwar eventid 39 im Logs aber für Mobiles, die bei uns reinkommen, aber eine andere Radius konfiguration haben.
Und auch hier weiterhin die Event Source Kerberos-Key-Distribution-Center und nicht wie unter https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16 beschrieben kdcsvc
selbst neue Zertifikate mit der erwähnten erweiterung, wo die SID vermerkt ist werden nicht akzeptiert. erst wenn das Zertifikat einen UPN zusätzlich hat funktioniert 802.1x wieder. oder sollte man den Patch vielleicht auch am NPS Server einspielen?
ohne UPN im Zertifikat gibts Auth Failure mit EventID 4768 und Result Code 0x6, was soviel bedeutet wie das Gerät nicht in der KerberosDB gefunden.
Anmerkung:
Nachdem ich das beide Updates (das KB5013941 und KB5015018) wieder entfernt habe können sich alle Clients wieder mit dem RADIUS WLAN verbinden.
Hoffe M$ bringt da nochmals einen Fix für das Problem, das Update vom Update hilft ja nicht wirklich.
Danke fürs testen. Ich wäre vor einem ähnlichen Problem gestanden, hätte ich das 5013941 installiert.
In unserer Umgebung (802.1x mit NPS) hat das einspielen von KB5018018 das Problem ebenfalls nicht behoben. NPS denied weiterhin den Zugriff für Computer.
Also ich bin immer davon ausgegangen, dass du gleich das OOB-Update installieren kannst und nicht das vom 10. vorher installieren musst. Seit Server 2016 sind die doch kumulativ.
Aber nachdem dir das Mai Update weiterhin angeboten wird, bin ich jetzt verunsichert.
Vllt. kann das jemand Anderes noch einmal bestätigen und ich täusche mich ebenfalls.
Gruß Stefan
Folgeartikel mit Hinweisen
Ich hatte einen Folgeartikel Windows Out-of-Band-Updates vom 19.5.2022 versagen mit NPS beim AD DC-Authentifizierungsfehler zum Thema "Patch hilft bei NPS nicht" erstellt. Hat sich gelohnt, denn auf meine Verlinkung bei askwoody.com hat sich Susan Bradley gemeldet und auf eine einzuhaltende Reihenfolge beim Patchen hingewiesen. Bei einer PKI sind erst die Zertifikate (CAs) zu erneuern, um patchen zu können. Die Details habe ich im verlinkten Beitrag nachgetragen. Vielleicht hilft es den vom NPS-Problem Betroffenen.
Zum Verständnis: ZUERST das Mai-Update installieren und DANACH den Out-of-Band-Update, richtig?
Ich habe jetzt, aufgrund eines Missverständnisses, einfach nur das Out-of-Band-Update installiert, aber das Mai-Update wird weiterhin angeboten.
Aber aufgrund des Posts von @Andreas bin ich mir nicht mehr sicher, ob ich das bzw. die Updates überhaupt installieren sollte.
@DT
Welches Betriebssystem haben deine DCs?
@Stefan A.
WinServer 2019
Das mit AltSecID-Attribut bei krbtgt wurde wohl nicht gelöst – oder?
Mir liegen keine Infos vor – habe aber auf Twitter mal bei Will Dormann nachgefragt – der hatte ja eine Testumgebung aufgesetzt. Sollte sich was ergeben, trage ich es nach.
Klasse das es da immerhin ein schnellen Fix gab.
Aber mal eine Frage zur Verständnis hätte uns das Problem auch betroffen mit einem simplen Radius Server der nur paar Cisco Router über einen manuellen Schlüssel aufgenommen hat und sich alle Benutzer übers VPN nur über Benutzername & Passwort authentifizieren?
Ich bin nicht ganz schlau drauß geworden welche Konfigurationen das betrifft.
bei uns wird der client, also das laptop oder die workstation authentifiziert per zertifikat über den Microsoft NPS, weil mit username und passwort könnt ja jeder ein device irgendwo reinhängen. so mit eigener pki und zertifikaten wirds schon um einiges schwieriger. nach den mai updates werden die zertifikate bzw. deren computer nicht mehr in der kerberosdb gefunden. der domain controller schickt einen fehler zurück. erst wenn wir in die zertifikate den upn reinnehmen klappt es. sowohl mit als ohne out of band patch. sprich da wurde einiges mehr verändert oder funktioniert einfach nicht richtig. nimmt man die mai patches raus klappt wieder alles.
selbst mit neu erstellten zertifikaten wo diese sid extension drinnen ist, die für strong binding sorgt, klappt es nicht.
es is halt auch ein mordsgefrickel, das microsoft da betreibt. weil eigentlich würd es auch reichen für die lücken, die da geschlossen werden sollen, dafür zu sorgen, dass nicht jeder irgendwelche ad attribute setzen kann bzw. das die halt eindeutig im ad sein müssen.
aber schon klar, wenn man wieder was neues einbaut, wird auch dann irgendwann der letzte genötigt sein, seine altlasten zu entsorgen, weil mit os mit end of life ohne patches, wirds immer schwieriger in einer sauberen gepatchten, sicheren umgebung mitzuspielen.
Gibt es hier jemanden, bei dem das Out-of-Band-Update das Problem mit NPS und Computerzertifikaten überhaupt lösen konnte?
Gruß
Stefan
MS hat seit 03-2022 einiges hin gemacht. Wir haben Efekte das glaubt einem keiner bis man es selber sieht.
Ich wünsche mir nur, dass man wenns schief geht auch wieder ganz klar dorthin zurück kann wos gut ging.
Dass man dann oft Monate lang eventuell gar nicht patchen kann, interessiert anscheinend eh niemand.
500€ die Stunde Support für: "Installierne sie den Office Patch" auf einem Server wos kein Office gibt, kann man bei MS gerne selbst probieren, wir nicht mehr!
KB5015018 gibt es nicht im WSUS, korrekt?
Es sollte keines der Updates im WSUS erscheinen. Aus dem MS Update Katalog herunterladen und importieren.
Hallo zusammen,
das Update KB5015018 funktioniert anscheinend in unserer Umgebung. Wir haben gestern die ersten DCs gepatched. Des Weiteren ist uns aufgefallen, dass erst nach Installation von KB5015018 Events mit der ID 39 – "Kerberos-Key-Distribution-Center" für die 802.1X Authentifizierung der Computer auftauchen. Zuvor waren es nur Events die der Smartcard-Anmeldungen zuzuordnen waren. Der Reg Fix CertificateMappingMethods ist auf KB5015018 -gepatchten Systemen nicht (mehr) aktiv, hat aber für uns auch als Workaround funktioniert.