Gotcha, the Windows 10 PowerShell-Bug in KB3176934

Kleiner Hinweis für Administratoren, die ihre Windows 10-Systeme per PowerShell Scripte verwalten. Mit dem Update KB3176934 vom 23. August 2016 hat sich ein Fehler in Windows 10 Anniversary Update eingeschlichen, der eine PowerShell-Funktion killt.

Gutes Update, schlechtes Update – kommt darauf an, was man daraus macht

Über das Update KB3176934 für Windows 10 Anniversary Update hatte ich im Artikel Updates KB3176934, KB3176935 und KB3176936 für Windows 10 Anniversary Update berichtet. Das Update korrigiert einiges, u.a. in der PowerShell (nicht näher bezeichnet) und auch beim Hyper-V-Bug (siehe mein Beitrag Blog-Beitrag Windows 10 Version 1607: Hyper-V/Bitlocker/DeviceGuard als Upgrade-Stopper). Und bei Dual-Boot-Systemen auf MBR-Festplatten mag Windows Update keinen Linux-Loader Grub und rollt das Update wieder zurück. Da fällt mir nur die Werbung auf Betontransportern ein “Beton, es kommt darauf an, was man daraus macht”.

Bad Karma – KB3176934 macht PowerShell (teilweise) kaputt

So nett das Update ist, für Administratoren, die auf die PowerShell angewiesen sind (also nicht die Home-Anwender) gibt es leider einen Kollateralschaden. Habe es kurz bei Dr.Windows gelesen und ein Kommentar ist hier mit Verweis auf heise.de auch schon eingetroffen (danke). Im Artikel zu KB3176934 gibt es von Microsoft zwischenzeitlich zwei Nachträge, die auf Probleme hinweisen.

Known issues in this update

Issue 1
After you apply this update and then start a remote Windows PowerShell session, the functionality to import a module (implicit remoting) no longer works. For more information, see the following Windows PowerShell Blog article:

PowerShell DSC and implicit remoting broken in KB3176934

Issue 2
After you apply this update, PowerShell Desired State Configuration no longer works. Users will receive an „Invalid Property“ error message when they run any DSC operation. For more information, see the following Windows PowerShell Blog article:

PowerShell DSC and implicit remoting broken in KB3176934

Beide Links referenzieren einen Beitrag im im PowerShell-Blog, in dem die Microsoft-Entwickler darauf hinweisen, dass das Update alle DSC-PowerShell-Operationen (DSC = „Desired State Configuration„) killt. Es kommt “Invalid Property” – die Eigenschaft wird also von der PowerShell nicht mehr gefunden. Ursache ist eine fehlende .MOF (MOF = managed object format) Binärdatei im Update-Paket.

Zudem sind keine Remote-Operationen in der PowerShell mehr möglich. Beim Aufruf einer Operation wie:

$remoteSession = New-PSSession -Cn TargetComputer
Import-PSSession -Session $remoteSession

kommt folgender Fehler zurück:

Import-PSSession : Could not load type ‘System.Management.Automation.SecuritySupport’ from assembly
‘System.Management.Automation, Version=3.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35’.

Damit sind Remote-Zugriffe über das Netzwerk auf andere Rechner per PowerShell nicht mehr möglich.

Fix bis 30.8.2016 – deinstallieren ist angesagt

In einem kleinen Satz schreiben die Microsoft-Entwickler, dass man einen Fix bis zum 30. August bereitstellen will. Administratoren, die Windows 10 Pro und Enterprise über WSUS verteilen, sollten das Update bis dahin blockieren. Wer das Update bereits installiert hat, kann dies in einer administrativen Eingabeaufforderung mit dem Befehl:

wusa /uninstall /kb:3176934

deinstallieren. Normalerweise hätte ich nun geschrieben – und im Anschluss das Update KB3176934 blocken. Wie das geht, ist im Blog-Beitrag Windows 10-Tipp: Updates blocken beschrieben.

Das das Thema aber Administratoren auf Windows 10 Pro und Enterprise-Clients trifft, gibt es auch eine solide Lösung.

1. Einfach den Gruppenrichtlinien-Editor gpedit.msc mit Als Administrator ausführen aufrufen.

2. Dann zum Zweig Computerkonfiguration – Administrative Vorlagen – Windows-Komponenten – Windows Update navigieren.

3. Dort die Gruppenrichtlinie Automatische Updates konfigurieren per Doppelklick anwählen.

4. Dort die Gruppenrichtlinie aktivieren und das Feld Automatische Updates konfigurieren auf 2 stellen, auf OK klicken und den Editor beenden.

Gegebenenfalls in einer administrativen Eingabeaufforderung noch gpupdate /force eintippen oder Windows neu starten. Dann sollte das Update nicht mehr installiert werden, ohne dass ein Administrator zustimmt.

Anmerkungen: Das geht in Windows 10 Home nicht – auch nicht mit Registrierungseinträgen. Und in der Windows 10 Gruppenrichtlinien gibt es auch Einträge, um nicht sicherheitskritische Updates (als Qualitäts-Updates und auch Feature-Updates) zurückzustellen (siehe folgenden Screenshot).

Ähnliche Artikel
Updates KB3176934, KB3176935 und KB3176936 für Windows 10 Anniversary Update
Windows 10 Version 1607: Hyper-V/Bitlocker/DeviceGuard als Upgrade-