- KB5034441 für Windows 10 ist ein Sicherheitsupdate, das eine BitLocker-Umgehungsschwachstelle schließen soll, scheitert jedoch auf manchen PCs während der Installation
- Im Kern des Problems steht die WinRE-Wiederherstellungspartition, deren Größe in einer Standard-Windows-10-Installation für die Verarbeitung des Updates möglicherweise nicht ausreicht
- Wenn die Installation fehlschlägt, kann
0x80070643angezeigt werden, die eigentliche Ursache kann jedoch ein Fehler bei der Wartung der Wiederherstellungsumgebung sein, entsprechendCBS_E_INSUFFICIENT_DISK_SPACE - Microsofts vorläufige Lösung besteht darin, WinRE in einer Eingabeaufforderung mit Administratorrechten zu deaktivieren und die Wiederherstellungspartition zu löschen und neu zu erstellen, was für normale Nutzer riskant ist
- Nutzer reagieren darauf mit Aussagen wie „zu technisch und beängstigend“, während die Forderung wächst, dass Microsoft selbst eine Korrektur veröffentlichen sollte
Installationsfehler bei KB5034441 und das Problem mit der Wiederherstellungspartition
- Microsoft hat am 9. Januar 2024 KB5034441 für Windows 10 21H2 und 22H2 veröffentlicht
- Ziel ist es, eine Schwachstelle zu beheben, mit der sich die BitLocker-Verschlüsselung über die Windows Recovery Environment, also WinRE, umgehen lässt
- Einige Nutzer stoßen während der Installation des Updates auf den Fehler
0x80070643- Dieser Code ist eher eine allgemeine Meldung für Installationsfehler und kann laut Microsoft wegen eines „Fehlers in der Fehlercode-Verarbeitungsroutine“ die tatsächliche Ursache nicht korrekt anzeigen
- Die tatsächliche Ursache kann zu wenig Speicherplatz auf der Wiederherstellungspartition sein
- Die von Microsoft angegebene tatsächliche Fehlermeldung lautet
Windows Recovery Environment servicing failed. (CBS_E_INSUFFICIENT_DISK_SPACE) - Die Wiederherstellungspartition auf PCs mit einer Standard-Windows-10-Installation ist möglicherweise nicht groß genug, um dieses Update zu verarbeiten
- Die von Microsoft angegebene tatsächliche Fehlermeldung lautet
Riskantes manuelles Umgehungsverfahren
- Microsoft weist Nutzer mit Speicherplatzproblemen an, die Wiederherstellungspartition gemäß KB5028997 selbst anzupassen
- Dazu muss eine Eingabeaufforderung mit Administratorrechten geöffnet werden
- Anschließend müssen Befehle ausgeführt werden, um WinRE zu deaktivieren und die Wiederherstellungspartition zu löschen und neu anzulegen
- Das Verfahren ist fehleranfällig für Nutzer, die damit nicht vertraut sind
- In sozialen Medien wird berichtet, dass das Problem weit verbreitet ist, und viele Nutzer zögern, Microsofts Umgehungslösung anzuwenden
- Einige Nutzer beschrieben das Verfahren als „zu technisch und beängstigend“
- Andere sagten, das sei „ein Problem, das Microsoft selbst beheben sollte“
- Wieder andere meinten, Nutzer sollten Microsofts Fehler nicht selbst ausbügeln müssen, und wenn man das Update vorerst aussetzt, werde Microsoft später eine korrigierte Version veröffentlichen
- Microsoft hat das zugehörige öffentliche Dokument am 16. Januar aktualisiert
- Die Anleitung selbst wurde jedoch nicht geändert
- Man erklärte, man arbeite an einer Lösung und werde in einer künftigen Veröffentlichung ein Update bereitstellen
1 Kommentare
Meinungen auf Hacker News
Einige Nutzer sehen beim Installieren des Updates den Fehler 0x80070643; laut Microsoft kann es wegen eines „Fehlers in der Routine zur Fehlercodebehandlung“ sein, dass es gar kein tatsächlicher Fehler ist.
Mit anderen Worten: Der Fehlercode-Code für Fehler zeigt wegen eines Fehlers fälschlicherweise den Fehlercode des Fehlers an.
Ich frage mich, wie oft man den Code zur Fehlercodebehandlung überhaupt anfasst, dass dort ein Fehler übrig geblieben ist, der nicht schon vor langer Zeit behoben wurde. Eigentlich wirkt das wie etwas, das man einmal baut und dann vergisst; wenn es aber schon lange existierte und nur nicht aufgefallen ist, dann gab es wohl auch in der Qualitätssicherung des Fehlercode-Codes einen Fehler.
Meiner Meinung nach sollte er einfacher sein als Code für den Normalpfad, absurd leicht zu verstehen und nur lose gekoppelt. Keine Vererbung, keine Abstraktion, und der Dependency-Tree sollte flach sein.
Ich habe zu oft erlebt, dass Systeme wegen Bugs in der Exception-Behandlung ausgefallen sind. Exception-Pfade werden von vornherein oft kaum oder gar nicht getestet, und Exceptions tauchen per Definition mit hoher Wahrscheinlichkeit an unerwarteten Stellen auf.
Ausgerechnet in dem Fall, in dem die Exception-Handling-Routine die von ihr geworfene Exception protokollieren sollte, warf der Logging-Code erneut eine Exception. Da es ein internes Tool war, hatte ich meinen Spaß damit, den Changelog-Eintrag absichtlich maximal verwirrend zu formulieren.
Ich habe die Anleitung ausprobiert und verstehe auch, dass sie für manche Nutzer ziemlich abschreckend wirken kann.
Statt der Kommandozeile habe ich mit Windows Disk Management die Partition verkleinert und den nötigen Platz geschaffen.
Dass es für diesen Prozess kein Skript gibt, überrascht mich; es wirkt so, als wäre er eben entsprechend komplex und fehleranfällig. Deshalb glaube ich auch, dass es kein einfaches Doppelklick-Skript gibt, weil die Aufgabe selbst heikel ist.
Auf einen schnellen Fix über Windows Update, den viele erwartet hatten, würde ich nicht allzu optimistisch setzen, aber ich vermute, dass bald Third-Party-Entwickler Skripte oder Programme veröffentlichen werden, die diesen Prozess automatisieren.
https://support.microsoft.com/en-us/topic/kb5034957-updating...
Da steht etwas von einer „Schwachstelle, durch die ein Angreifer die BitLocker-Verschlüsselung mithilfe der Windows Recovery Environment (WinRE) umgehen kann“; mir kam es schon immer seltsam vor, dass die Wiederherstellungsumgebung anscheinend mit SYSTEM-Rechten auf das automatisch entschlüsselte Systemlaufwerk zugreifen konnte.
Das war jahrelang so und ließ sich auch verwenden, um den Inhalt von Rechnern auszulesen, deren Login-Passwort verloren gegangen war. Vermutlich war das nie das ursprünglich beabsichtigte Verhalten.
Bei BitLocker im TPM-Modus mit PIN gibt es keine Möglichkeit, den Schlüssel der Festplatte zu erfahren, ohne das TPM zu fragen, und das TPM verlangt die PIN. Schutz vor Brute-Force und Sperrmechanismen sind ebenfalls eingebaut.
Deshalb ist „automatische Entsperrung“ im Allgemeinen eine Funktion mit deutlichen Einschränkungen, und einer der Gründe, warum man nach Möglichkeit PIN, Passwort oder Netzwerkentsperrung empfiehlt. Der Nachteil ist allerdings, dass man bei jedem Update das Notebook betreuen und nach jedem Neustart entsperren muss.
Kann Microsoft nicht wieder eine richtige Qualitätssicherungsabteilung aufbauen, statt sich auf unbezahlte Insiders zu verlassen? Es wirkt, als würde man sich auf Leute stützen, die den Flavor-Aid getrunken haben und glauben, Microsoft könne beim Code unmöglich etwas falsch machen.
Allerdings ist es inzwischen fast zehn Jahre her, dass die traditionelle Qualitätssicherungsabteilung abgeschafft wurde, und diese Abteilung leistete mehr als nur die Nutzung externer Nutzervalidierung. Ehrlich gesagt fällt es mir schwer zu behaupten, Windows gehe häufiger kaputt als in den zehn Jahren davor; trotzdem würde ich gern belastbare Zahlen dazu sehen, wie viele Ausfälle in den letzten 20 Jahren etwa in Gesundheitssystemen durch Patch-Probleme verursacht wurden.
Auch wenn die Korrekturmethode furchteinflößend aussieht, finde ich es immerhin gut, dass sie überhaupt etwas bereitgestellt haben.
Als vor ein paar Jahren ein Update bei nicht wenigen Leuten ReFS-Arrays zerschossen hat, bekamen wir außer einem Rollback keine Lösung; irgendwann wurde dieses Update dann verpflichtend und ließ sich nicht mehr entfernen, sodass die Arrays von Grund auf neu erstellt werden mussten.
Bei einem kostenpflichtigen Produkt sollte man nicht dankbar sein, wenn einem wenigstens ein paar Krümel hingeworfen werden. Falls das anders rüberkam als beabsichtigt: sorry.
Microsoft muss dafür zur Verantwortung gezogen werden, dass sie Installationen beschädigen und dann eine halbherzige Korrektur liefern. Auch wenn das ein komplexes Problem ist: Wer Marktführer bei Desktop-Betriebssystemen ist und damit enorme Summen verdient, muss es besser machen.
Das Problem ist, dass die Wiederherstellungspartition fehlt oder nicht groß genug ist.
In einer Win10-VM brauchte ich keine Wiederherstellungspartition und habe sie nach der Installation gelöscht; jetzt lässt sich diese Installation nicht mehr aktualisieren.
Nach dem Neustart konnte ich auf Windows 11 upgraden, und ich hoffe, dass später keine größeren Probleme auftauchen. Den als nächsten Schritt beschriebenen Resize der Systempartition wollte ich wirklich nicht anfassen.
Das hängt sicher vom Einzelfall ab, aber es ist schon interessant, dass dieser Bug, über den ich zufällig gestolpert bin, auf der Hacker-News-Startseite gelandet ist.
Es heißt: „Ich nutze Windows, weil ich nicht wegen eines kleinen Problems auf die Kommandozeile wechseln will“ – dabei war man im Grunde schon längst in diesem Club
Vor ein paar Jahren entschied Windows plötzlich, dass es keine Zugriffsrechte mehr auf mein Benutzerverzeichnis habe, und Explorer sowie Taskleiste wurden zu einem seltsam kaputten System
Um das zu reparieren, musste ich in eine Admin-Konsole gehen, einen neuen Benutzer anlegen, die Dateien des alten Kontos ins neue Konto verschieben und anschließend Besitzrechte und Berechtigungen ändern. Die Vorstellung, Windows sei wegen der grafischen Oberfläche einfach, ist also Unsinn
Wenn man am Ende ohnehin in irgendeinem merkwürdigen Failure Mode landet und sich mit Befehlen herausretten muss, bleibe ich einfach bei Linux und NetBSD
Als ehemaliger Windows-Entwickler habe ich sehr frustrierende Erinnerungen an Windows-Upgrades
Man konnte nicht mehr zuverlässig in den Installationsordner schreiben; dann sollte man in die Registry schreiben, und schließlich wurde man dazu gebracht, Datenordner und andere Speicherorte aufzuteilen. Dadurch musste man die Installation in „zehn Richtungen“ aufsplitten, um Datenpfade zu verwalten, mit HKEY_LOCAL_MACHINE, HKEY_CURRENT_USER usw. hantieren und danach eine Rechteerhöhung für die Installation anfordern
Ich erinnere mich auch vage daran, einen Bug debuggt zu haben, bei dem Windows eine gelöschte Datei aus dem Installationsordner im Hintergrund in einer älteren Version wiederherstellte. c:\program files war virtualisiert und verhielt sich nicht mehr wie ein echtes Verzeichnis
Benutzerprogramme in einen Ordner voller ausführbarer Dateien schreiben zu lassen, ist aus Sicherheitssicht furchtbar
Man kann auch zu dem Schluss kommen, dass es besser ist, nicht jedes Update sofort nach Veröffentlichung zu installieren
Besonders problematisch ist es, wenn mitten in über Nacht laufenden Berechnungen aktualisiert wird
Hätte der Journalist Linux ausprobiert, wüsste er, dass es Fehlermeldungen anzeigt, die deutlich besser sind als scheinbar zufällige Zahlencodes
Laut Microsoft könnte dieser Fehler wegen „eines Fehlers in der Fehlercode-Behandlungsroutine“ nicht der korrekte Fehler sein