Windows Server 2019: Update KB5011551 blockiert Passwortänderung

[English]Kurze Information an Administratoren und gleichzeitig die Frage in die Runde, ob jemand betroffen ist. Ein Blog-Leser hat mich darüber informiert, dass das Update KB5011551 eine Änderung von Kennwörtern verhindert. Es handelt sich dabei um ein Preview-Update vom 22. März 2022, welches wohl nicht jeder Administrator auf seinen Maschinen installieren wird. Hier eine kurze Übersicht, was mir bisher bekannt ist.

Hinweis auf Probleme mit KB5011551

Vor einigen Stunden hat mich Blog-Leser Rico N. per Mail kontaktiert und auf ein Problem in seiner Konstellation mit zwei Windows Server 2019-Systemen (entsprechen ja auf dem Windows 10 1809 Entwicklungsstrang) hingewiesen. Als Hinweis, warum dort das Update installiert wurde, folgender Hinweis von ihm.

Wir betreiben zwei Windows Server 2019 (Version 1809) als Domain Controller in einem immerwährenden Update-Zustand, da wir eine ***** sind, welche permanent unter datenschutzrechtlicher externen Kontrolle steht und für eine erfolgreiche Zertifizierung jederzeit eine lückenlose Update-Politik nachweisen können müssen.

Das bedeutet wohl auch, dass Vorschau-Updates binnen einer gewissen Zeit auf den Maschinen installiert werden. Wann die Installation genau erfolgte, ist mir nicht bekannt. Rico schrieb mir aber, dass der Ärger am Freitag, den 1. April 2022 los ging.

Nun folgten am Freitag auf einem File-Server Windows Server 2012 R2 Probleme, welche keiner nachvollziehen konnte. Fast alle Sicherheitsgruppen waren aus den Verzeichnissen verschwunden. Somit sah keiner mehr in der gesamten Einrichtung irgendeinen Ordner, geschweige denn eine Datei.

Der Lösungsansatz, den die Administration in diesem Fall versuchte, bestand darin ein älteres Back vom  30. März 2022 auf den File Server mit Windows Server 2012 R2 zurückzuspielen:

Über Nacht haben wir den File-Server dann auf ein Backup vom Mittwoch letzte Woche zurückgesetzt und dachten, damit seien die Probleme aus der Welt geschafft ABER: weit gefehlt!

Montag, den 4. April 2022 gab es dann die nächsten Probleme, wie Nico mir in seiner E-Mail schreibt. Plötzlich gab es Probleme beim Ändern von Benutzerkennwörtern. Rico schrieb dazu:

Heute Morgen begann dann der nächste Trouble, die Passwortänderungsaufforderung schlug bei einigen unserer Mitarbeiter zu und sie bekamen bei Dialog Passwort ändern nach/beim Ändern angezeigt, dass sie erst das Passwort ändern müssen.

Das Problem ließ sich auf das Vorschau-Update KB5011551 vom 22. März 2022 zurückführen, denn Rico schreibt:

Nach Versuch des Einspielens von Backup's der DC's, habe ich dann einfach im Betreff genanntes Update KB5011551 deinstalliert und mit WUSHWOHIDE.DIAGCAB gegen mögliche Neuinstallation ausgeschlossen. Voila, Passwortänderung geht….

So viel zu seinen Erfahrungen mit diesem Vorschau-Update – an dieser Stelle danke für diese Hinweise. Das betreffende Update KB5011551 hatte ich im Blog-Beitrag Windows 10 / Windows Server Preview Updates (22.3.2022) vorgestellt. Das Update KB5011551 steht für Windows 10 Enterprise LTSC 2019 sowie Windows Server 2019 bereit und hebt die Build auf 17763.2746 an.

Weitere Hinweise auf Passwort-Probleme

Rico merkte noch an, dass er am gestrigen 4. April 2022 schon sehr viele Einträge bei Google mit Fragen zu diesem Thema gefunden habe, welche durch die Bank unbeantwortet blieben. War auch der Grund, mich am späteren gestrigen Nachmittag über das Problem zu informieren – mir war diesbezüglich noch nicht bekannt. Ich habe beim Schreiben dieses Beitrags mal eine kurze Websuche gestartet und bin beispielsweise auf reddit.com in diesem Beitrag fündig geworden.

KB5011551 causing password change loop

Problem: we reset user password in AD and tick box "user must change password". User goes to change password but stuck in a loop saying password must be changed before logging in.

Did some research and see others having the same issue after installing KB5011551. Attempted to uninstall through control panel but getting an error that not all components have been removed. Tried to uninstall with below command:

DISM /online /remove-package /packagename:package_for_rollupFix…….

I get the message:

An error occurred – package_for_rollupFix error: 0x8007371b Error 14107 One or more required members of the transaction are not present.

Any other tips on removing this?

Edit: I inherited this setup from previous Sysadmin. We have secondary DC and was able to uninstall the update from DC2. I'm thinking I may need to restore DC1. All FSMO roles are currently assigned to DC1. Should I seize all roles to DC2, restore DC1 to last week, then move some/all roles back?

Auch dort wird das Problem mit der Passwort-Änderung, die nicht möglich ist, auf einem Windows Server 2019, der als Domain Controller fungiert, bestätigt. In der Microsoft Techcommunity gibt es diesen Eintrag vom 4. April 2022, der das Gleiche beschreibt:

Password Change Logon Loop Windows Server 2019 KB5011551

I have a problem
users passwords expire or I manual reset them with "User must change password" box checked. Every time they enter a new password it tells them to do it again in an endless loop. All of this happened after installing KB5011551. Is it possible to repair without uninstalling KB5011551 ?

Auch dort wird das Problem von einem zweiten Nutzer bestätigt – die Deinstallation von KB5011551 habe das Problem behoben – heißt es. Der älteste Eintrag könnte vom 30. März 2022 stammen und findet sich in der Microsoft Q&A-Session hier.

Password Change Logon Loop

Hello, I have this issue when users passwords expire or I manual reset them with "User must change password" box checked. Every time they enter a new password it tells them to do it again in an endless loop. Any ideas?

We have two DC's with Server 2019 and one DC with 2012.

We do do AD SYNC to Azure

PCS are mostly Windows 10 with a couple Windows 11

Das Problem wird in diesem Thread durch verschiedene Nutzer auf Domain Controllern unter Windows Server 2019, die als AD fungieren, bestätigt. Frage in die Runde: Gibt es weitere Betroffene? Wann wurde das Update installiert? Hat bereits jemand eine Lösung gefunden, ohne dass das Vorschau-Update KB5011551 für Windows Server 2019 deinstalliert und blockiert werden musste?