Hallo Forenmitgleider,

wir haben das Update für Stammzertifikate [Mai 2009] (KB931125) im WSUS Server freigegeben. Das Update läßt sich leider auf den Clients nicht installieren.   
Auf der Microsoft Seite wird von Internet Explorer 7 und E-Mail Verschlüsselung gesprochen, heißt dies um dieses Update zu installieren benötigt man den Internet Explorer 7 auf dem System.

HP: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Wenn man als Benutzer im Systray das Windows Update Schield doppelt anklickt und Benutzerdefiniert auswählt, öffnet sich das Fenster "Automatische Updates" dort erscheinen alle Updates (Patches) die noch installiert werden. Wenn man das Häckchen bei "Update für Stammzertifikate" herausnimmt, sollte er dieses nicht installieren. Leider erscheint die Meldung nach einen Neustart erneut.

Wie kann man dieses Update installieren!

Schöne Grüße

Vito

Hallo Synny,

1) Um welche Clients handelt es sich? Bei den Windows 2000 Clients gabs wohl Ärger, da sollte sich im Forum dazu etwas finden lassen.

Es sind Windows XP Prof. Clients

2) Kannst Du das Update denn manuell auf einem Client installieren? Welche Sicherheitssoftware läuft ständig im Hintergrund?

Das Update KB931125 läßt sich auf den XP Clients händich installieren. Wenn man das Häckchen bei "Update für Stammzertifikate" nach der Patchinstallation herausnimmt, erscheint die Windows Meldung Gott sei Dank nicht mehr.
Nur wie kriege ich dies automatisch über den WSUS hin.

Sicherheitssoftware eTrust Antivirus 8.1


3) Weshalb sehen die Benutzer überhaupt die Updates zum installieren?

Wir haben Novell Netware Server im Einsatz und können dadurch nicht wie in Microsoft Windows über die Gruppenrichtlinie dies unterdrücken bzw. einschränken. Kann man dies evtl. über den WSUS ansteuern?
Oder sind dir die Registry Einträge dafür bekannt.


4) BTW: Eine Frage schliesst man bekanntlich mit einem Fragezeichen ein.

Wer wird denn so kleinlich sei 


5) BTW2: Evtl. findest Du ja bei Ottmar auf der Seite weitere Infos: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Danke der Registry Eintrag mit der Versonsnummer hat mir dabei schon geholfen.


Schöne Grüße

Vito

Hallo Synny,

es sind überwiegend ca. 90 % SP2 Clients im Einsatz

Welches Häkchen an welcher Stelle meinst Du? Evtl. kannst Du ja einen Screenshot (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). uploaden und den Link dazu hier posten.

(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Gruß

Vito

Hallo Synny,

habe deine Anweisung befolgt. Einmal mit und ohne deinstallation der Antivirussoftware.
Nachdem ich die Befehle ausgeführt habe erscheint nach einer gewissen Zeit wieder das Windows Update ICON. Habe die rootupd.exe Patch KB931125 mal händich installiert und die Version ist in der Registry von 18,0,2195,0 auf 21,0,2195,0 gestiegen, damit hat die Installation erstmal funktioniert.

(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).


Sobald ich den PC neu starte und in der Systray das Windows Update ICON (Schield) wieder auftauscht, wird nach kurzer Zeit anscheinend die installation des Patches wieder Rückgängig gemacht Version 18,0,2195,0 steht dann wieder in der Registry.
Die Patchinstallation habe ich einmal mit einem administrativen Konto und dem Administrator selbst durchführt.


Was wird bei dem unteren Befehl eigentlich alles gelöscht

rd /s /q %windir%\SoftwareDistribution

Gruß

Vito

Dann kontrollier doch mal auf dem WSUS ob Du auch das aktuellste RootZertifikat zum installieren freigegeben hast. Vermutlich nicht.

Sonst würde ich doch die Meldung von Windows Update Server (Updates) nicht erhalten.

Du meinst das Rootzertifikat KB931125.

Hier ein Screenshot vom WSUS Server.

(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Gruß

Vito

Zitat:
OK, ist das Update auch schon gedownloadet vom WSUS? Wenn es immer wieder auf den Client gedownloadet wird, dann könnte der Downloadcache defekt sein, den kannst Du löschen, ist das SoftwareDistribution Verzeichnis. Oder es läuft eine Sicherheitssoftware im Hintergrund die die Installation verhindert bzw. wieder zurück stellt.


Vielleicht verstehe ich da was falsch.
Wenn der WSUS Server Patches verteilt dann muß er doch diese schon heruntergeladen haben.
Ansonsten wie kann man manuell in WSUS ein Patch importieren in meinem Fall rootupd.exe


Bei den beiden Clients habe ich den Befehl doch ausgeführt
rd /s /q %windir%SoftwareDistribution

Sicherheitssoftware (Antivirussoftware) ist auf einen der beiden Clients nicht mehr vorhanden.
Gibt es *log oder *.txt Dateien auf den Client die den installation/deinstallations Prozess von Windows Updates protokoliert.

Zitat:
Richtig. Du kannst ja auch mal die älteren Zertifikatsupdates ablehnen und dann noch den Downloadcache auf dem Client löschen. Neustart. wird jetzt immer noch das alte Update angeboten?

Was meinst du mit ablehen, auf dem WSUS Server oder auf den XP Client und wie.
Ich habe mal nach älteren Zertifikatsupdates für Windows XP gegoogelt, leider habe ich bisher keine KB??????? gefunden. Sind dir die älteren bekannt.
Kann man auf den WSUS Server die installation dieser alten Zertifikateupdates  wieder rückgängig machen und ziehen diese auch auf den Clients.

Gruß

Vito

Hallo Synny,

Zitat:
Hast Du denn auch den WU-Agent mal drüber installiert?

Habe auf drei Clients den WU-Agent installiert, leider bringt diese Aktualisierung keine Besserung.

Gruß

Vito

Bin seit heute morgen total genervt vom dauerhaften "Wiedererscheinen" - fange an zu recherchieren und stoße auf dieses Forum - erstmal Freude.

Leider verstehe ich aber die bisherige Diskussion so, daß das Problem noch nicht gelöst ist.

Habe berits ca. 20x "benutzerdefiniert"/"express" bestätigt, habe Download manuell installiert - bringt alles nix.

Für weitere Informationen jederzeit zu haben !

Die beiden einfach ablehnen:

Sunny schrieb on 24.11.09 um 10:36:22:


??? da steht nix.... welche "beiden" meinst du?

Hi!

Ich hatte bei uns in der Domäne heute einen ähnlichen Effekt.
Zwei Zertifikatupdates spielten ping-pong miteinander. V20 installierte und wurde dann durch V22 ersetzt. Das gefiel WSUS aber wohl nicht, da V20 ja installiert sein sollte. Also wurde V20 noch mal ausgeführt. Danach folgte das Update auf V22 ... usw.

So habe ich es gelöst:
Wenn man nach "931125" in der WSUS Konsole sucht, bekommt man 4 mal "Stammzertifikate" ohne KB-Nummer angezeigt. Außerdem noch einige mit KB-Nummer. Ich habe alle Genehmigungen zurückgezogen und nur die auf dem letzten (September 2009) gelassen.
Wenn man nun "...\SoftwareDistribution" auf den Clients löscht, ist der Spuk vorbei. Also schrieb ich mir kurz ein kleines Programm, dass das erledigt, damit ich es an alle Clients schicken kann. Noch bevor ich damit fertig war, erhielt ich die ersten Meldungen, das die Traybenachrichtigungen verschwunden seien. Die WSUS-Agents hatten die Rücknahme offenbar mitbekommen und endlich Ruhe gegeben.

--
Wolfgang

Also ich hab finde über die Suche nach "Stammzertifikat" genau 3 Updates in meinen WSUS-Servern:
- "Update für Stammzertifikate" (ohne Datumsangabe, ist Stand Februar 2009) - hab ich jetzt abgelehnt
- "Update für Stammzertifikate [Mai 2009]" ist seit der Synchronisation letzte Nacht zurückgezogen, hab ich jetzt abgelehnt
- "Update für Stammzertifikate [September 2009]", ist genehmigt.

Auslöser war scheinbar letzte Nacht das Zurückziehen des Mai-Updates in der Mitte der Ersetzungskette. Dadurch setzte die Ping-Pong-Wechsel-Installation (danke forthy64, der Begriff paßt genau) zwischen Feb 2009 und Sept 2009 ein. Es fehlt scheinbar in der Logik die Info daß das Sept-Update das noch nicht zurückgezogene Feb-Update ersetzt. Dadurch wird von den beiden immer das gerade nicht installierte als erforderlich angesehen.

Ich hab jetzt die von Feb 2009 und Mai 2009 abgelehnt und Sept 2009 genehmigt gelassen, jetzt hab ich noch ein paar in der Liste die das eigentlich früher schon installierte Sept 2009 brauchen, vermutlich weil sie durch den Fehler auf Feb 2009 zurückgeworfen wurden. Ich warte jetzt mal bis morgen bis die Clients bei der nächsten Updatesuche merken daß das Feb-Update abgelehnt ist, ggf. nochmal das Sept-Update installieren und dann hoffentlich Ruhe ist.

Ist übrigens kein Nur-WSUS-Problem, wenn ich auf einem PC der das Update von Sept 2009 drauf hat manuelle eine benutzerdefinierte Suche bei Microsoft Update durchführe wird als optionales Update das Zertifikatsupdate ohne Datumsangabe, also das alte vom Februar auch hier fälschlicherweise angeboten.

Diese Nacht ist nun das Stammzertifikat November 2009 erschienen. Ich habe es nun für meine Test-Umgebung frei gegeben und auf zwei Clients installiert, bei denen ich heute Morgen immer noch die Schlaufe drin hatte. Nun scheint's tatsächlich zu funktionieren. Da dieses Update keinen Boot benötigt, werde ich es mal frei geben.

Wird schon schief gehen. 

keezer schrieb on 25.11.09 um 08:32:39:

Mein Vorschlag ist, dass du alle Stammzertifikate (inkl. November) genehmigst (vorher testen!). Das November Update behebt den Fehler mit der Schlaufe und das September Update erscheint danach nicht mehr zur Installation.