Windows Updates-Check - Critical Update wird als optional reportet?

CMK version: 2.2.0p7
OS version: el7

Error message:
Auf einem Windows Server 2019 reported checkmk mittels System Updates Service:
System Updates: Important: 0, Optional: 2 (warn/crit 2/1000) . Es handelt sich um die
folgenden beiden kumulativen Updates:

2023-10 Cumulative Update for Windows Server 2019 for x64-based Systems (KB5031361)
Klassifizierung: Sicherheitsupdates
MSRC severity: Critical
https://www.catalog.update.microsoft.com/ScopedViewInline.aspx?updateid=2cdde6c5-05a9-4a82-b5de-c5ffdcb5a618

2023-10 Kumulatives Update fĂĽr .NET Framework 3.5,4.7.2 und 4.8 fĂĽr Windows Server 2019 fĂĽr x64 (KB5031222)
Klassifizierung: Updates
https://www.catalog.update.microsoft.com/ScopedViewInline.aspx?updateid=484c660a-a82c-4573-830b-80f674465f03

Output of “cmk --debug -vvn hostname”: (If it is a problem with checks or plugins)
n/a

Frage: Das Update KB5031361 wird lt. Microsoft MSRC severity: als Critical eingestuft.
Anhand welcher Kritierien bewertet das Plugin (windows_updates.vbs) ob ein Update important oder optional ist? Sollte ein Critical Update nicht den Status “important” erhalten?

Vielen Dank,
chris

Das ist leider ein generelles WSUS Problem, schon immer: Die Annoncierung über WSUS ist zurückhaltender als im Online-Update-Katalog. So lange Microsoft beide Quellen nicht zu 100% synchron hält, tut sich Checkmk schwer damit, Dinge zu finden, die eben nicht annonciert werden.

Ein Weg wäre, in der Regel “WSUS Update” die Möglichkeit zu geben, bestimmte KB-Nummern auf “critical” hochzustufen. Das wäre IMHO ein Fall für https://ideas.checkmk.com/ .

Vielen Dank fĂĽr das Update. Verstehe ich das richtig, dass windows_update.vbs Werte aus der registry ausliest, anhand derer entschieden wird, ob ein Update optional oder important ist? Welcher Werte ist das?

So wie ich das verstehe, werden die Werte so ausgelesen, wie sie es auch der Windows Update Server macht. In der Registry können die Werte ja noch nicht existieren, da noch nicht installiert.

VG, Christian

Nö nix Registry. Das Update Script macht nix anderes wie ein “wuauclt /detectnow”

CreateObject("Microsoft.Update.Session").CreateUpdateSearcher.Search("IsInstalled = 0 and IsHidden = 0")

Die Objekte welche hier zurück kommen können die Eigenschaft haben “AutoSelectOnWebSites” dann werden diese als Important eingestuft. Alles andere landet im normalen Update Haufen. Laut der Erklärung hier unten müsste es nicht important Updates sondern “Automatic Updates” lauten. Es gibt aber bei CreateUpdateSearcher keine sinnvollere Unterteilung.

Finds updates where the AutoSelectOnWebSites property has the specified value.
"AutoSelectOnWebSites=1" finds updates that are flagged to be automatically selected by Windows Update.

"AutoSelectOnWebSites=0" finds updates that are not flagged for Automatic Updates.

Doku Link zum UpdateSearcher

1 Like

This topic was automatically closed 365 days after the last reply. New replies are no longer allowed. Contact an admin if you think this should be re-opened.