Windows-Update-Nebenwirkungen: Probleme mit OWA, RDP und Smart App Control

Die von Microsoft im Rahmen des Oktober-Patchday veröffentlichten Windows-Updates und zuvor erschienene Vorschauversionen haben unerwünschte Nebenwirkungen für Outlook Web Access (OWA), Remote Desktop Protocol (RDP) und Smart App Control.

In den Windows-Release-Health-Notizen hat Microsoft schon recht früh erneute Probleme mit RDP-Sitzungen eingeräumt. Seit der Installation der Update-Vorschauen vom Ende September können Nicht-Admin-User keine RDP-Verbindungen mehr zu entfernten Geräten aufbauen, auf denen der Administratorschutz aktiv ist. Verbindungen schlagen dann mit dem Fehlercode 0xC000000D und der Nachricht „The token that was passed to the function is invalid.“ fehl.

Betroffen seien zumeist Geräte, die in Enterprise-Umgebungen als Remote-Desktop-Hosts eingesetzt werden, heißt es von Microsoft. Wer dort die Security-Baseline umsetze, habe standardmäßig den Administratorschutz unter Windows 11 24H2, 25H2 und 26H2 aktiviert, außer, die Richtlinie wurde in der Organisation umkonfiguriert. Als Gegenmaßnahme empfehlen die Entwickler, etwa mittels Richtlinie den Administratorschutz temporär zu deaktivieren.

Auch Windows-Server mit Update-Zickereien

Einschränkungen treffen aber auch Windows Server. Nach der Installation der Patchday-Flicken auf On-Premises-Exchange-Server könne es zu Problemen beim Zugriff auf oder Versenden von E-Mails kommen. Nutzerinnen und Nutzer können sich möglicherweise nicht mehr an Outlook on the Web (OWA) anmelden. Mittels Outlook versendete E-Mails können hängen bleiben und nicht ausgeliefert werden. Auch die Mailbox-Replikation kann ins Stocken kommen. Das OWA der Exchange-Server schreibt dann die Fehlermeldung „MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142)“ mit der Event-ID 1006 ins Anwendungsprotokoll.

Als weiteres Symptom wurde Microsoft gemeldet, dass die E-Mail-Queues stark anwachsen. Die Probleme treten auch dann auf, wenn die zusätzlichen Exchange-Server-Sicherheitsupdates aus dem Oktober gar nicht installiert sind, stellt Microsoft klar. Eine Anleitung  erklärt, wie Admins die Registry auf dem Server temporär ändern können, um die Probleme zu beheben.

Offenbar hat das Oktober-Update eine Speichergrenze für Endpoint-Lookup-Aufrufe durch den Endpoint-Mapper eingerichtet. Der Standard von 512 gleichzeitigen Aufrufen könne unter schwerer Last unzureichend sein. In der Registry lässt sich der Wert hochsetzen. Dazu empfiehlt Microsoft an einer administrativen Eingabeaufforderung den Befehl reg add HKLM\SOFTWARE\Microsoft\Rpc /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f und anschließend einen Neustart des Servers. Für betroffene Exchange-Server können Admins sich an den Microsoft-Support wenden, der zusätzliche Gegenmaßnahmen dafür liefern könne. Betroffen sind alle Windows Server von 2016 bis 2025.

Smart App Control deaktiviert

Auf Windows-11-Desktops führt der Oktober-Patch hingegen dazu, dass sich die Schutzfunktion Smart App Control nicht mehr aktivieren lässt. Das hat Microsoft bei den „Bekannten Problemen bei diesem Update“ zu dem Patch KB5127648 ergänzt. Das Problem scheint großflächig zu wirken, wir konnten es auf mehreren PCs beobachten. War die Funktion bislang nicht aktiv, lässt sie sich nicht anschalten. Hat ein Admin sie deaktiviert, lässt sie sich ebenfalls nicht erneut aktivieren. Im KB-Beitrag beschreibt Microsoft, wie Betroffene sich mit einem Eingriff in die Registry behelfen können. Dazu müssen an der administrativen Eingabeaufforderung folgende zwei Befehle ausgeführt werden:

reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2883193997 /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2850574478 /t REG_DWORD /d 1 /f

Nach einem Neustart soll sich Smart App Control wieder aktivieren lassen. Alternativ erwähnt Microsoft noch Gruppenrichtlinien, die Admins in Unternehmen installieren und nutzen sollen. Der erste Wert dient offenbar dazu, die Aktivierung zu ermöglichen, der zweite dazu, die Protokollierung zu aktivieren.

Die vorgeschlagenen temporären Gegenmaßnahmen sollten Admins und Betroffene als Erstes ausprobieren, um die Probleme zu lösen. Die Deinstallation der Sicherheitsupdates vom Oktober-Patchday empfiehlt sich hingegen nicht, da sie unter anderem eine bereits in freier Wildbahn angegriffene Sicherheitslücke schließen.