08.08.2023, aktualisiert am 13.08.2023

11448

Exchange 2019 KB5029388 zerschießt Server?

Moin,

und scheinbar wieder ein erfolgreicher Patchday. Vielleicht bin ich aber auch nur ein bedauerlicher Einzelfall...

Exchange 2019, CU13
Die Installation des Sicherheitsupdates KB5029388 bleibt bei 41% hängen und scheitert dann mit dem Fehlercode 0x80070643. Die anderen Updates laufen durch.

OK, Neustart, ich versuche es noch einmal. Selber Fehler.

Netter Nebeneffekt: Danach sind alle Exchange Dienste deaktiviert. Der Versuch, den Transportdienst zu starten, scheitert mit Fehlercode 1068.

Kann das jemand bestätigen oder hat eine Ahnung, was zu tun ist?

Gruß

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 8081512371

Url: https://administrator.de/contentid/8081512371

Ausgedruckt am: 24.11.2024 um 12:11 Uhr

57 Kommentare

Neuester Kommentar

Update runter laden, als Admin anmelden, Installation zusätzlich mit Rechtsklick als Admin starten. Das habe ich mir angewöhnt, vielleicht läuft das weiter. "Hängen bleiben" aber dann wirklich immer mit Fehlermeldung oder brichst du irgendwann ab?

Das mit den Diensten habe ich auch schon gehabt, habe die dann aber wieder auf Start setzen können und nach einem Reboot lief es. Ich weiß leider nicht mehr genau ob ich noch was getan habe...

Die ersten Erkenntnisse scheinen darauf hinzuweisen, dass der Fehler bei deutschem OS und/oder deutscher Exchange Version auftreten. Bei der englischen Version scheint es problemlos zu funktionieren.

Siehe Kommentare:

https://techcommunity.microsoft.com/t5/exchange-team-blog/released-augus ...

https://www.frankysweb.de/neue-sicherheitsupdates-fuer-exchange-server-a ...

Gruß

EDIT: Es tauchen jetzt auch die ersten Meldungen von französischer Seite auf. Scheint also nicht DE exklusiv zu sein.

Ich habe die C-Partition mit dem Arschretter Veeam jetzt erst einmal zurückgesichert

Ne, natürlich breche ich das nicht ab. Der steht ewig lange bei 41%, nachdem es vorher (vor allem für ein Security Update) recht schnell durchlief. Muss ja aber nix heißen, das Kumulative Update für Server hängt ja auch ewig bei 3%, 5%, 24% ...

Den manuellen Start der Dienste hatte ich ja probiert, s.o.

Ansonsten habe ich das Update im WSUS erst einmal abgelehnt, auf ne Nachtschicht habe ich wenig Lust. Morgen früh mal bei Reddit und Borncity schauen, ob andere dort auch von Problemen berichten.

Gruß

@preysa

Cool, danke für die Info. War meine WSUS-Aktion also berechtigt.

Gruß

Danke für die Info... gleich mal das Update deaktiviert.

Trommel

Moin,
kann ich bestätigen - Fehler ist wie von Coreknabe beschrieben.
Nach einigem basteln mit den Diensten, sind ja auch Verwaltungs- und die IIS-Dienste betroffen, lief das Ding wieder.

Betroffen sind wie beschrieben alle Exchange Dienste, IIS (WWW-Publishingdienst, IIS-Verwaltung), Windows Verwaltungsinstrumentation, Remoteregistrierung und sicherlich noch ein oder zwei Dienste die ich nicht mehr genau weiß. Hatte es dann nur noch mit einem lauffähigen System abgeglichen.

Viel Erfolg allen Betroffenen.

Gruß nirmix

Hallo nirmix,

"Nach einigem basteln mit den Diensten" würde mich näher interessieren.

Wir suchen auch noch nach einer Lösung.

Merci

Dieser Beitrag hat bereits über 1400 Views... da scheint es ganz schön zu knallen überall

Trommel

Nur nach und nach aktiviert (Automatisch starten) - und dann immer wieder den Server neu gestartet. Bis alle Exchange Dienste wieder da waren.

Ich hatte leider auch erst an eine Fehlkonfiguration gedacht, daher hatte ich nur strukturiert versucht den Exchange wieder zum laufen zu bringen. Das mit dem Update hatte ich erst später gesehen.
Bei mir hing es bis zuletzt am Transport-Dienst. Für diesen fehlte ein anderer Windows Dienst.

Exchange 2016 CU23 zeigt das gleiche Verhalten.

Der nächste Versuch die Leute auf die M365 Plattform zu drängen

. Liebe Schafe, lasst euch nicht in den Stall treiben

My way....

https://techcommunity.microsoft.com/t5/exchange-team-blog/released-augus ...

Am Ende (nach allen Powershell Scripts) war noch der AppIDSvc off - den bitte wieder starten.

Geht wieder....

Ich hasse MS für die Art und Weise wie sie seit längerer Zeit Patches machen!

Zitat von @eRBe65:

My way....

https://techcommunity.microsoft.com/t5/exchange-team-blog/released-augus ...

Am Ende (nach allen Powershell Scripts) war noch der AppIDSvc off - den bitte wieder starten.

Geht wieder....

Ich hasse MS für die Art und Weise wie sie seit längerer Zeit Patches machen!

Oder hier die Kurzfassung:

Get-Service -name MSExchangeDelivery, MSExchangeRepl,MSExchangeRPC,MSExchangeFastSearch, MSExchangeThrottling, wsbexchange,MSExchangeSubmission, MSExchangeMailboxReplication, MSExchangeMailboxAssistants, MSExchangeIS, MSExchangeDagMgmt, MSExchangeDiagnostics, MSExchangeFrontEndTransport, MSExchangeADTopology, MSExchangeAntispamUpdate, MSExchangeUM, MSExchangeEdgeSync, MSExchangeHM, MSExchangeHMRecovery, MSExchangeServiceHost, MSExchangeTransport, MSExchangeTransportLogSearch, FMS, HostControllerService, winmgmt, remoteregistry, w3svc, iisadmin | set-service -startuptype automatic

Reboot, fertig. Soll so sein, ich bin den Restore-Weg gegangen

Gruß

Bei uns (Exchange 2016) starten nach absetzen des Befehls und Neustart die Dienste nach wie vor nicht und laufen nachdem sie automatisch nicht gestartet wurden beim manuellen Start weiter auf Fehler 1068 - jemand noch Ideen dazu?

Danke für die Hinweise, erstmal auf dem 2016er und 2019er die Updates deaktiviert

Wiedermal der Microsoft'sche Wahnsinn. Wie kann ein Sicherheitsupdate weltweit freigegeben werden, ohne zu testen ob auf es auf nicht-englischsprachigen Exchange funktioniert. Packs ja nicht.

Damit hat man nur die Möglichkeit das Update nicht einzuspielen und dafür angreifbar zu sein.

Hallo zusammen,
sorry, ich spreche kein Deutsch, ich benutze deepl.com . Ich wollte mich nur bedanken und bestätigen, dass die letzte CU für Exchange 2016 auch bei uns Probleme machte und uns ohne E-Mail zurückließ. Ich habe es schließlich gelöst, indem ich die Exchange-bezogenen Dienste über das Skript auf dieser Seite neu gestartet habe: https://www.alitajran.com/restart-exchange-services-powershell-script/

Übersetzt mit www.DeepL.com/Translator (kostenlose Version)

vom franky kopiert:

Due to reports that Exchange setup fails on servers running on several languages other than English, we have temporarily removed August SU from Microsoft / Windows update until we find the root cause of the problem. We recommend our customers running non-English servers to pause installation until we provide more information.

danke

https://www.heise.de/news/Microsoft-Security-Update-legt-deutsche-Exchan ...

Moin Leute,

mich hatte es auch voll mit dem Exchange 2016 August 2023 Update erwischt.

Bei einem Kunden hatte ich letztes Wochenende den Exchange auf eine neue VM migriert (von 2016 auf 2016).
Leider hatte ich vergessen, das Computerobjekt in die Gruppe der Server zu verschieben. Es stand noch bei den Client-PCs und die bekommen die Updates automatisch.
So ging das auch schief.
Anschließend habe ich die Dienste wieder aktiviert und gestartet und alles lief wie zuvor.

Auf meinem deutschen Exchange 2019 gab es das Installationsproblem mit dem August-Update übrigens nicht, auf dem noch laufenden Exchange 2016 bei mir dagegen schon.

Mittlerweile gibt es einen Workaround, der auch die Problematik aufklärt. Da hat jemand bei MS wirklich den Namen "Network Service" fest in das Update reingeschrieben, anstatt den dynamischen Namen.

Sommerloch lässt wohl grüßen...

https://support.microsoft.com/en-us/topic/exchange-server-2019-and-2016- ...

@preysa

Da hoffe ich doch mal, dass die ein funktionierendes Update nachschieben, bevor ich da so nen Aufriss starte...

Gruß

Moin,

wie verfahrt Ihr da jetzt? Habt Ihr das Update mittels Workaround installiert? Im Windows Update Katalog ist das Update zurückgezogen, macht mich ein wenig stutzig, dass nicht bereits eine aktualisierte Version erhältlich ist. Wenn das Problem nur so klein ist, wie im Workaround beschrieben, sollte es für MS doch ein leichtes sein, eine korrekte Version zur Verfügung zu stellen?

Gruß

Also, ich habe gerade das Update mit Workaround installiert. Gefrickel, gefrickel, gefrickel...
Außerdem haste ne Account Leiche in der Exchange Registry.

ACHTUNG: Wer das ServiceControl Script zuvor benutzt, wie bei MS beschrieben, anschließend unbedingt noch den HealthChecker zusätzlich laufen lassen. Bei mir waren wieder 3 Dienste durch das Script deaktiviert worden.

ABER, es funktioniert! Habe den Patch erfolgreich installiert und danach das CVE Script ausgeführt.

HealthChecker zeigt jetzt alles auf grün.

Gruß

Kommt da noch ein Update offizielles oder wird es beim workaround bleiben?

Ich scheue mich vor dem workaround und habe wenig Lust auf eine weitere Nachtschicht.

Moin,
das wird dir nur Microsoft sagen können... entweder warten oder einen Advisory Case für 500€ erstellen und nachfragen.

Gruß,
Dani

Man kanns halt auch nicht so wirklich einschätzen wie dramatisch es ist, wenn man das Update jetzt nicht direkt einspielt.

Unser Exchange hat aktuell nur noch einen Port 25 Weiterleitung für das Modern Hybrid Gedöhns. Ansonsten ist er dicht weil eigentlich alle Postfächer in der Cloud sind. Der Exchange wird nur noch fürs Relaying und bisschen Verwaltung verwendet...

Würdet ihr warten oder den Workaround empfehlen?

Moin,

meine Vermutung: MS wartet bis zum nächsten Patchday und liefert das dann nach. Mittlerweile gibt es einen weiteren Workaround, die Lücke kann durch Ausführung eines PS-Skripts von MS geschlossen werden. Mal sehen, ob beim nächsten Patchday dann auch berücksichtigt wurde, das ein Security Update fehlt und die Installation nicht deshalb erneut scheitert. Sollte man als gegeben voraussetzen, aber nach den letzten Aktionen wäre ich mir da auch nicht sicher.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21709

Zum Risiko, wenn das Update nicht eingespielt wird, ist das bei einer gewissen Kennwortkomplexität wohl eher gering. Zitat aus dem obigen Link:

Die Microsoft-eigene Bewertung des Schweregrads orientiert sich nicht am CVSS-Bewertungssystem. In diesem Fall spiegelt die Schweregrad-Bewertung „Hoch“ (statt „Kritisch“) die Tatsache wider, dass Brute-Force-Angriffe gegen Benutzende mit sicheren Kennwörtern wahrscheinlich nicht erfolgreich sind. Das CVSS-Bewertungssystem lässt diese Art von Abstufungen nicht zu.

Gruß

Moin Moin zusammen,

Von welches Update redet ihr? KB5029388 ? Oder hatte jemand auch Probleme seit den Qualitätsupdates, KB5028953 und KB5029247

Seit der Installation der beiden genannten habe ich das Problem, dass nachts (ich kann noch nicht sagen wann genau) immer 3-4 Dienste deaktiviert werden und der Exchange Server seinen Dienst einstellt. Die beendeten Dienste stelle ich dann wieder auf Automatisch, starte diese und der Server läuft wieder problemlos und ohne Fehler.
Hat von euch jemand auch so ein Verhalten beobachtet und vielleicht eine Lösung?
Dank und Gruß HeinrichM

@HeinrichM

Thread lesen, steht alles drin, sogar im Titel

Nö, sonst keine Probleme.

Gruß

🤣 hast ja recht - sorry tatsächlich über sehen.

Hast Du die beiden anderen installiert?

KB5028953 habe ich nicht, auch nicht im WSUS. Dafür KB5029647.
Ansonsten bitte eigenen Thread eröffnen, da es hier nicht um Dein Problem geht.

Gruß

Moin,

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21709
Zum Risiko, wenn das Update nicht eingespielt wird, ist das bei einer gewissen Kennwortkomplexität wohl eher gering. Zitat aus dem obigen Link:

meines Wissens nach behebt das Update folgende CVEs:
CVE-2023-21709, CVE-2023-35368, CVE-2023-35388, CVE-2023-38181, CVE-2023-38182, CVE-2023-38185

Gruß,
Dani

Jup
https://www.opencve.io/cve?vendor=microsoft&product=exchange_server
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2023-1 ...

Ja gut aber wenn der Exchange von außen nicht erreichbar ist (außer Port 25) kann normal nichts passieren. Ist jetzt meine persönliche Einschätzung.

Der Download für Exchange2016-KB5029388-x64-en ist offline. Was hat das zu bedeuten?

Ich find keine offizielle Info. Wollte das eigentlich gerade doch durchführen, da es auf dem Testsystem geklappt hat.

Gibt jetzt eine (angeblich) fehlerbereinigte Version, wird über die MS-Updates verteilt.
Wer traut sich als Erster?

https://support.microsoft.com/en-au/topic/description-of-version-2-of-th ...

Moin moin. Mich haut es jetzt so langsam weg! Was für Depxxx sind das eigentlich...🤬

Da kann man nur noch den Kopf schütteln!

Läuft der Exchange noch?
Oder hat es den auch wieder geschrottet?

ohne Worte...

Leider läuft der Server seit heute Nacht nicht mehr. Da wurde das KB5025903 installiert, was sich aber auch nicht mehr deinstallieren lässt.

An frühen Morgen schon so eine Krawatte 😡

btw, beim born steht, dass man den temporär erstellten User doch nicht löschen darf. wenn gelöscht, sollte er wieder erstellt werden.

Moin,

die englische Variante ist auch wieder zurückgezogen:
https://www.borncity.com/blog/2023/08/15/exchange-server-august-2023-upd ...

Ich für meinen Fall werde noch etwas abwarten.

@HeinrichM
Wie bist Du vorgegangen, hattest Du KB5029388 vorher installiert?

EDIT: Im WSUS taucht KB5030524 bei uns nicht auf.

Gruß

Nein das KB5029388 hatte ich nicht installiert. Ich habe jetzt ein Backup genutzt, von gestern Abend. Jetzt läuft er wieder. Wir haben jetzt auch erstmal alle Updates bei den Exchange Servern ausgesetzt.
Bei einem weiteren Server war das KB5025903 auch installiert und der Mailverkehr war nicht mehr möglich. Ins OWA und den ECP bin ich noch gekommen. Dort ließ es sich deinstallieren und jetzt läuft auch der Mailverkehr wieder.
Ich lass das jetzt mal ein paar Tage ruhen und hoffe das mir hier nichts dazwischen funkt und MS dem Mist bald wieder hinbekommt.

Läuft das neue Update jetzt bei euch?

Nach dem MS ein neues SU gebracht hat läuft wieder alles.
SU die zweite

Zitat von @HeinrichM:
Nach dem MS ein neues SU gebracht hat läuft wieder alles.

Kam es ganz normal über die Online-Suche oder hast du es vorher manuell geladen?

In dem Fall habe ich alles händisch gemacht, wie von MS vorgeschrieben. 1. Deinstallation des alten, Server neu gestartet, neues Update manuell geladen installiert, neu gestartet und gut wars.

Moin,

@HeinrichM
Danke für's mutige Testen

Im WSUS wird KB5030524 jetzt auch gefunden, ich installiere das Update heute Abend mal.

Gruß

Mal ne blöde frage, ich hab hier noch einen 2012er R2 Server (ja ich weiß bald eol), ich sehe hier in der Update übersicht das update nicht.

Wie bekomme ich das jetzt runter?

Laut Healthchecker ist es installiert.

Das ist ja auch nur für Exchange Server 2016/2019 und nicht für 2012er.
Also gar nicht.

wie gar nicht? Ich würde gerne das SU9V1 deinstallieren es wird mir aber in den Installierten Updates nicht angzeigt.

Microsoft sagt ich soll das deinstallieren, ich finde aber keine Möglichkeit.

Ich hab einen 2016er Exchange Server auf nem 2012er Betriebssystem, es gibt keinen 2012er Exchange, nur nen 2013er...