MSI Erreur “L'ordinateur doit être approuvé pour la délégation” causé par KB2918614

De ce que je comprends,

Avec KB2918614, MS ont apparemment essayé de réparer quelque chose dans le Service Windows Installer.

De nouveaux trucs:

• De la création d'un fichier par son nom "SourceHash{PRODUIT-GUID}" en vertu de
  %windir%\Windows\Installer. Cela se fait pour tous les produits installés
  sur la machine(avec KB2918614 déjà installé).
• SECREPAIR - Ils sont informatique "Stockée la Valeur de Hachage" et "Courant de Hachage' pour un MSI.

Erreur:

1. Et, dans cette comparaison, pour une raison quelconque, ces incompatibilité! (Trouvé dans les journaux détaillés MSI).

2. Une fois cela échoue, il cherche
   La Machine politique de la valeur "AlwaysInstallElevated'
   La stratégie de l'utilisateur de la valeur "AlwaysInstallElevated'

3. Maintenant, si vous exécutez une installation silencieuse "qn", cette erreur est levée: MSI_LUA: de l'invite d'Élévation désactivé pour le silence s'installe.

4. Retrait d'installation silencieuse cmdline option pour msiexec - ex., "qr" ou "qb", va lancer une invite UAC. (qui sera très probablement pas le comportement attendu).

Informations Supplémentaires:

Mon MSI est ivkoded par le biais d'un programme d'amorçage exe. Mais, ça n'a pas vraiment d'importance. Même un manuel de l'appel à msiexec par ligne de commande se comporte de la même manière.

Toutes les entrées/solutions, n'importe qui?

OriginalL'auteur DebugBreak

Voici mon automatique de la façon d'utiliser le registre de la liste blanche contourner mentionné sur le site de Microsoft.

Maintenant, avant que je lance mon installation commande sur une machine distante, je regarde la MSI et d'en extraire le code du produit avec Get-ProductCodeFromMSI, puis utiliser les Add-GuidToWhitelist pour ajouter chaque GUID à la liste sur l'ordinateur. Voici un exemple:

$guids = Get-ChildItem -Path D:\somefolder -filter "*.msi" -recurse | % {Get-ProductCodefromMSI $_.FullName}
Add-GUIDtoWhiteList -computername "SomeServer" -GUIDs $guids

Avant de faire cela, chaque machine peut être testé et réparé pour la solution de contournement à l'aide de Test-SecureRepairPolicy et de Réparation-SecureRepairPolicy, respectivement.

Get-ProductCodeFromMSI nécessitera la DLL référencés à être placé quelque part et débloqué - cette DLL peut être récupéré à partir de la Wix toolset.

Code pour les fonctions que j'référence est ici:

Function Test-SecureRepairPolicy{
    param (
        [Parameter(mandatory=$true,ValueFromPipelineByPropertyName=$true)][string[]]
        # Specifies the computer name to connect to
        $ComputerName
    )

    Process {
        foreach ($Computer in $ComputerName)
        {
            #Open Remote Base
            $reg=[microsoft.win32.registrykey]::OpenRemoteBaseKey('LocalMachine',$Computer)
            #Get Windows key
            $subkey = $reg.OpenSubKey("SOFTWARE\Policies\Microsoft\Windows")
            $subkeynames = $subkey.GetSubKeyNames()
            if (($subkeynames | Measure-Object).Count -lt 1){
                return New-Object -type PSObject -Property @{
                    Success = $False
                    Note = "Can not open base key"
                    ComputerName = $Computer
                }
            }
            if ($subkeynames -notcontains "Installer"){
                return New-Object -type PSObject -Property @{
                    Success = $False
                    Note = "Can not locate installer subkey"
                }
            }
            $subkey.Close();$subkey = $null
            $subkey = $reg.OpenSubKey("SOFTWARE\Policies\Microsoft\Windows\Installer")
            $subkeynames = $subkey.GetSubKeyNames()
            if ($subkeynames -notcontains "SecureRepairWhitelist"){
                return New-Object -type PSObject -Property @{
                    Success = $False
                    Note = "Can not locate repairlist subkey"
                    ComputerName = $Computer
                }
            }
            $repairvalue = $subkey.GetValue("SecureRepairPolicy")
            if ($repairvalue -ne 2){
                return New-Object -type PSObject -Property @{
                    Success = $False
                    Note = "SecureRepairPolicy is incorrect"
                    ComputerName = $Computer
                }
            }
            $subkey.Close();$subkey = $null;$reg.Close();$reg = $null
            return New-Object -type PSObject -Property @{
                Success = $True
                Note = "SecureRepairPolicy structure is in place"
                ComputerName = $Computer
            } 
        }
    }
}

Function Repair-SecureRepairPolicy{
    param (
        [Parameter(mandatory=$true,ValueFromPipelineByPropertyName=$true)][string[]]
        # Specifies the computer name to connect to
        $ComputerName

    )
    Begin{
        Function Add-RemoteRegistryKey($Computer,$Parent,$Name){
            $reg=[microsoft.win32.registrykey]::OpenRemoteBaseKey('LocalMachine',$Computer)
            $subkey = $reg.OpenSubKey($Parent, $true)
            $subkey.CreateSubKey($Name)
            $subkey.Close();$subkey = $null;$reg.Close();$reg = $null
        }
        Function Add-InstallerKey($Computer){
           Add-RemoteRegistryKey $Computer "SOFTWARE\Policies\Microsoft\Windows" "Installer" 
        }
        Function Add-RepairPolicy($Computer){
            $reg=[microsoft.win32.registrykey]::OpenRemoteBaseKey('LocalMachine',$Computer)
            $subkey = $reg.OpenSubKey("SOFTWARE\Policies\Microsoft\Windows\Installer", $true)
            $subkey.SetValue("SecureRepairPolicy",2, "DWORD")
            $subkey.Close();$subkey = $null;$reg.Close();$reg = $null
        }
        Function Add-WhitelistKey($Computer){
            Add-RemoteRegistryKey $Computer "SOFTWARE\Policies\Microsoft\Windows\Installer" "SecureRepairWhitelist"
        }

    }
    Process {
        foreach ($Computer in $ComputerName)
        {
            $audit = Test-SecureRepairPolicy $computer
            if ($audit.Success){
                Write-Output "Repair whitelist keys setup.  No repair being performed."
            }
            else{
                Write-Output "Repair whitelist keys not setup.  Attempting to resolve"
                 if ($audit.Note -match "Can not open base key"){
                    Write-Error "Unable to open computer's registry key"
                    return
                 }
                 if ($audit.Note -match "Can not locate installer subkey"){
                    Add-Installerkey $Computer
                    Add-RepairPolicy $Computer
                    Add-WhitelistKey $Computer
                 }
                 if ($audit.Note -match "Can not locate repairlist subkey"){
                    Add-RepairPolicy $Computer
                    Add-WhitelistKey $Computer
                 }
                 if ($audit.Note -match "Can not locate repairlist subkey"){
                    Add-RepairPolicy $Computer
                 }
                 Write-Output "Showing new audit"
                 Test-SecureRepairPolicy $computer
            }
        }
    }
}

Function Add-GUIDtoWhiteList{
    param (
        [Parameter(mandatory=$true,ValueFromPipelineByPropertyName=$true)][string[]]
        # Specifies the computer name to connect to
        $ComputerName,
        [Parameter(mandatory=$true)][string[]]
        # Specifies the GUID(s) to add.
        $GUIDs
    )

    Process {
        foreach ($Computer in $ComputerName)
        {
            #Open Remote Base
            $reg=[microsoft.win32.registrykey]::OpenRemoteBaseKey('LocalMachine',$Computer)
            $subkey = $reg.OpenSubKey("SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist", $true)
            foreach($GUID in $GUIDs){
                $subkey.SetValue($GUID,"", "String")
            }
            $subkey.Close();$subkey = $null;$reg.Close();$reg = $null
        }
    }
}

Function Get-ProductCodefromMSI ($msi){
    [Reflection.Assembly]::LoadFrom("D:\scripts\lib\Microsoft.Deployment.WindowsInstaller.dll") | out-null
    (New-Object -TypeName Microsoft.Deployment.WindowsInstaller.Database -ArgumentList $msi).ExecuteQuery("SELECT Value FROM Property WHERE Property = 'ProductCode'")
}

OriginalL'auteur Chris N

C'est à la SourceHash{produit code} les fichiers sous \windows\installer répertoire.
Ce fichier peut être ouvert avec Orca vous pouvez lire le contenu. Il contient un nom de fichier, algorithme de hachage prescripteur, et de hachage. Sur Windows 2k3 ce hash est une base64ed de hachage sha256 avec le dernier octet changé.

Si vous renommer le SourceHash fichier pour votre produit de la manière, j'ai trouvé la mise à jour travaillé et après cela, une nouvelle SourceHash fichier est généré. Vous pouvez ensuite diff les deux source de hachage des fichiers. Dans le cas que j'étudie, lorsque vous diff les deux fichiers, seul le hachage répertoriées pour le msi d'origine est différente.
Après une mise à niveau réussie de la valeur de hachage de la nouvelle msi répertoriés dans la source de hachage de fichier correspond à celui de la source d'installation. L'cassé sourcehash fichier a été évidemment généré à partir d'une modification/la source différente MSI, bien que je n'ai pas encore été en mesure d'identifier qui.

OriginalL'auteur carpenterjc

Réponse de Microsoft:
Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Windows. Cette vulnérabilité pourrait permettre une élévation de privilèges si un attaquant exécute une application spécialement conçue pour que les tentatives de réparation a été précédemment installé l'application. L'attaquant doit disposer d'informations d'identification valides et être en mesure d'ouvrir une session localement pour exploiter cette vulnérabilité.

Solution de contournement si vous avez des problèmes avec la réparation de la demande:

1. Désinstaller l'application et de la réinstaller avec la mise à jour de sécurité installée. (sourcehash fichier généré avec la mise à jour de sécurité)

2. Copier manuellement le sourcehash fichier c:\windows\installer dossier. Comme le sourcehash fichier est généré sur la base de fichiers de l'application, le sourcehash fichier généré sur Un ordinateur peut être utilisé sur l'ordinateur B.

3. http://happysccm.com/kb2918614-uac-gate/ - commandes pour le désinstaller.

OriginalL'auteur HappySCCM

Si vous sont en cours d'exécution à travers psexec, tout en ajoutant l'argument-s également à la résolution de l'erreur. Ensuite, il est exécuté à distance de l'utilisateur du système et le contrôle de compte d'utilisateur n'est pas requis.

OriginalL'auteur curlyhairedgenius