Windows 11 22H2: Update KB5028185 verursacht Probleme (AAD Registrierung)

[English]Mit dem zum 11. Juli 2023 für Windows 11 22H2 veröffentlichten Sicherheitsupdate gibt es wohl erhebliche Probleme. Eine Registrierung in Azure Actice Directory (AAD, jetzt EntraID) scheint im Browser nicht mehr möglich. Ein Blog-Leser hat mich auf die Thematik hingewiesen (danke dafür) Bei Microsoft gibt es im Support eine längere Diskussion samt Vorschlägen für Workarounds.

Update KB5028185 für Windows 11

Das kumulative Update KB5028185 wurde zum 11. Juli 2023 für Windows 11 22H2 freigegeben und behebt Schwachstellen (siehe meinen Blog-Beitrag Patchday: Windows 11/Server 2022-Updates (11. Juli 2023)). Im Beitrag Microsoft: Patchday-Nachlese Juli 2023 gibt es Hinweise auf Installationsprobleme in Verbindung mit diesem Update, aber nichts gravierendes.

Probleme mit AAD Registrierung

Blog-Leser Raphael hat mir in einer persönlichen Nachricht einen Hinweis auf diese Diskussion im Microsoft Support-Forum zukommen lassen. Ein Administrator meldete sich bereits am 12. Juli 2023, weil er keine Authentifizierung beim einem hybrid-joined Windows 11 Rechner unter Citrix VDI mehr bekam.

AADSTS501201: Unexpected claim(s) in JWT: client_id,redirect_uri.

Hello,

I have an authentication issue on a Hybrid joined Windows 11 computer.

This a Citrix VDI where users are automatically signed in Office apps and Edge.

But when authenticating to Office365 from Edge, they get that outstanding issue right before being prompted for password or anything:

Der Versuch der Anmeldung scheitert mit dem obigen Anmeldefehler. Im Verlauf des Threads bestätigen Nutzer diesen Fehler, z.B. nach Änderung eines Kennworts in Windows 11. Ein weiterer Nutzer schrieb folgendes:

We're having the same issue on a few machines. On the computers experiencing the issue, I can confirm:

• an incognito/private browser window lets the user sign in successfully
• uninstalling KB5028185 fixes it

However, at present, not every computer with KB5028185 installed appears to be affected.

Es wird das Update KB5028185 als Verursacher identifiziert und es sieht so aus, als ob veraltete OAuth-Tokens mit beteiligt sind. Das erklärt möglicherweise auch, warum bei diesem Administrator nicht alle Maschinen betroffen sind. Ein Nutzer weiterer Nutzer hat dann zwei Lösungen für dieses Problem für sich herausgefunden.

• Durch das Löschen des Benutzerprofils in Edge wurde das Problem behoben.
• Das Entfernen/Deinstallieren des Updates KB5028185 hat den Fehler ebenfalls beseitigt.

Ein weiterer Nutzer beschreibt seine Vorgehensweise, um das Problem in seiner Umgebung zu lösen:

We have been able to remedy this after some extensive troubleshooting. We are in a Hybrid environment. We saw a correlation between devices with KB5028185 and also stuck in "Pending" registration in AAD. That led us to the Azure PRT not being able to renew. To remedy this, we unregister the device, delete the device in AAD, sync from our on-prem AD.

1. We unregister the device in command prompt dsregcmd /leave
2. Delete the device in AAD
3. Sync from our on-prem AD
4. Wait until the device appears in AAD with the status of pending
5. Restart the device
6. Sign into our APP/VPN, (SSO)
7. If the device does not become registered run the "Automatic Device Join" scheduled task under Microsoft>Windows>Workplace Join
8. Verify the device has registered
9. Run dsregcmd /status and check the AzureAdPRT for validity under SSO State.

After completing these steps, we had no issues with KB5028185 being installed.

Die Schritte sind Hybrid Azure AD Joined Device Registration Pending Issue durch Microsoft beschrieben worden. Jemand von euch von diesem Bug betroffen?

Ergänzung: Ein Nutzer hat mir auf Facebook die Information zukommen lassen, dass der Bug im Edge-Browser enthalten sei. Die Canary-Builds enthielten die Fix bereits. Ich gehe daher davon aus, dass der Bug-Fix in den kommenden Stunden auch in die Edge Stable Einzug halten dürfte.

Ähnliche Artikel:
Microsoft Security Update Summary (11. Juli 2023)
Patchday: Windows 11/Server 2022-Updates (11. Juli 2023)
Microsoft: Patchday-Nachlese Juli 2023