Windows Patch - Sicherheitsanfälligkeit in Remotedesktopdiensten bezüglich Remotecodeausführung

[KCX]

Moin Leute !

Bei uns wurde heute das Sicherheits-Update für die Remotedesktop-Verbindungen auf dem Server (Win Server 2008 R2) installiert. Dieser soll das Update an alle unsere Clients (Win7 x64) ausrollen. Unser EDV Dienstleister weiß aber nicht, ob das funktioniert bzw. sagte er mir, das es sein kann, dass ich morgen auf allen Rechnern das Update manuell installieren muss, weil es ggf. nicht funktioniert. Er hat in dem Atemzug auch auf MS geschimpft, da es angeblich keine genaueren Infos von MS zu dem Update gibt.

Wenn ich jetzt bei 30 Rechnern das Update manuell installieren darf, habe ich morgen gut was zutun. Dementsprechend würde ich eher zu Arbeit fahren. Hat jemand hier Erfahrung ob das Update automatisch an die Clients ohne Probleme ausgerollt wird!?

Hier der Link zum Update:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708

Der Hinweis von ihm:
Patch z.B. 4499164 für Windows 7 x64 als Monthly Rollup oder 4499180 als einzelnes Security Only Update herunterladen und installieren.

 

[Necareor]

Was meinst du mit "auf dem Server installiert"? Ist es ein WSUS, und dort wurde das Update freigegeben?

Oder holen sich die Clients im Internet ihre Updates?
Denn dann sollten die das schon lange haben, wenn da regelmäßig Updates installiert werden.

 

[KCX]

Was meinst du mit "auf dem Server installiert"? Ist es ein WSUS, und dort wurde das Update freigegeben?

Oder holen sich die Clients im Internet ihre Updates?
Denn dann sollten die das schon lange haben, wenn da regelmäßig Updates installiert werden.

Nein nicht aus dem Netz, sondern vom Server - also denke WSUS

 

[R2-D2]

? Das CVE-2019-0708 ist doch im Mai-2019 Monthly für Win7 und 2008R2 enthalten. Solang die PC's normal Windows Updates bekommen ist doch alles in Butter.

 

[Necareor]

Und ihr genehmigt dort zuerst manuell alle Updates, bevor sie freigegeben werden? Sonst wüsste ich nicht, was der Dienstleister da installiert haben soll.

Sicherheits-Updates werden normalerweise automatisch genehmigt und somit verteilt. Kein kleines bis mittleres Unternehmen schafft es, Windows-Updates einzeln zu testen, bevor man sie für die Clients freigibt, mal von Service Packs oder Upgrades abgesehen.

Also bei einer Standard-WSUS-Konfiguration sollte das Update eigentlich schon seit Wochen die Clients erreicht haben, ohne dass da jemand etwas aktiv tun muss.

 

[KCX]

Und ihr genehmigt dort zuerst manuell alle Updates, bevor sie freigegeben werden? Sonst wüsste ich nicht, was der Dienstleister da installiert haben soll.

Ja er hat offenbar schlechte Erfahrung gemacht und ist auf MS nicht gut zu sprechen. Die Updates werden manuell von Ihm freigegeben, nachdem er geprüft hat, ob es Probleme damit gibt.

Ergänzung (5. Juni 2019)

Sicherheits-Updates werden normalerweise automatisch genehmigt und somit verteilt. Kein kleines bis mittleres Unternehmen schafft es, Windows-Updates einzeln zu testen, bevor man sie für die Clients freigibt, mal von Service Packs oder Upgrades abgesehen.

Naja denke nicht das er das groß testet, sondern im Netz bzw. bei MS schaut, ob es allgemeine Probleme gibt.

 

[konkretor]

Hier gibt es einen Scanner um das Netz zu durch suchen

https://github.com/robertdavidgraham/rdpscan

 

[Necareor]

Okay, jeder wie er mag .

Also theoretisch sollte das Update dann an die Clients verteilt werden. Es dauert beim WSUS öfter mal ein-zwei Tage, bis der Client das auch mitbekommt.

Warum er aber meint, dass es nicht funktionieren soll und du das manuell installieren musst, ist mir ein Rätsel. Ist aber auch schwer zu analysieren, ohne euer Netz, die WSUS-Konfiguration, GPOs und ähnliches zu kennen.

 

[Ledeker]

Wenn du die Updates auf den Clients automatisch installieren lässt (was meistens der Fall ist) solltest du dir überlegen, ob du die Updates automatisch freigibst oder aber auf manuelles freigeben erzielst bzw. zumindest ein paar Tage wartest, bevor die Updates freigegeben werden.

Denn es kann schon mal passieren, dass ein Update Probleme verursacht und sich der PC z.B. nicht mehr starten lässt. Wenn das jetzt bei 200 Rechnern der Fall ist, dann...

Meist ist es auch gut, eine Gruppe "TEST" dir einreichtest, darin befindet sich für gewöhnlich die IT und/oder ein paar ausgewählte Clients. Die können die Updates sofort bekommen. Dann wartet man ein paar Tage und wenn alles ok ist, kann man die Updates für alle freigeben.

PS: Zu deiner eigentlichen Frage, das Update installiert sich automatisch.

 

[znep]

Hallo,

Konkret zur Frage: 4499164 für Windows 7 x64 als Monthly Rollup installiert sich bei unseren Win 7 Systemen ohne Probleme automatisch.

Grüße,
Znep

 

[KCX]

Danke für eure Infos und die schnelle Hilfe ! 😎👍

 

[Cinderella22]

Also wo ich dieses Thema gerade gelesen habe, hat es mich auch interessiert wie es bei uns aussieht.

Tatsächlich haben ca. die Hälfte der unserer Windows 7 Clients Probleme mit der Installation des Updates.

Im WSUS sieht man, dass die PCs ein Fehlerhaftes Update haben, als Ursache: 0x80242016

selbst das manuelle Installieren schlägt fehl, mit Meldung, dass das Update nicht für den PC geeignet sei.

 

[KCX]

@Cinderella22 das sind traurige News und bestätigt ja ein wenig die Befürchtung unseres EDV Boys.

 

[Cinderella22]

Für mich stellt sich aber nun die Frage, warum

1. das nicht bei allen Clients so ist
2. wieso die Installation mit so einem Fehler fehlschlägt
3. man diese nicht einmal manuell installieren kann

Sind alle baugleiche Rechner, mit Windows 7 x64, gleicher Software. Das einzige was sich unterscheidet sind die Office Versionen.

Ich werde das nun erst einmal 1-2 Tage beobachten ggf. installiert sich das ja noch..

 

[KCX]

Ich werde auch berichten...

 

[chrigu]

OT/ das muss ein ganz mieser EDV anbieter sein, der Geld verlangt und dir die arbeit lässt.

 

[KCX]

OT/ das muss ein ganz mieser EDV anbieter sein, der Geld verlangt und dir die arbeit lässt.

Hat er nicht bzw. würde er nicht, da ich ja die Arbeit mache Versteh aber deinen Gedanken...

Ergänzung (6. Juni 2019)

Hier gibt es einen Scanner um das Netz zu durch suchen
https://github.com/robertdavidgraham/rdpscan

Bin gerade zu blöd, das richtig auszuführen 😒 mir fehlt eine .exe

Ergänzung (6. Juni 2019)

Update scheint aber ohne Probleme auf allen Systemen zu laufen... hat sich keiner beschwert

 

[konkretor]

Joar die Exe gibts direkt auf der Startseite am Anfang der Readme und nennt sich binary

und dann so ausführen mit dem Netz was man scannen will

 

[KCX]

Hier gibt es einen Scanner um das Netz zu durch suchen
https://github.com/robertdavidgraham/rdpscan

Also das ich das via cmd machem muss ist mir klar aber wie genau leider nicht.

Bin in den Order mit "cd" und habe dann rdpscan 192.168.1.1-192.168.1.255 eingegeben

Ergänzung (6. Juni 2019)

Joar die Exe gibts direkt auf der Startseite am Anfang der Readme und nennt sich binary



Anhang anzeigen 789131

und dann so ausführen mit dem Netz was man scannen will

Anhang anzeigen 789132

Danke!

 

[konkretor]

gerne