Windows server 2012 r2 windows update rollup

Время на прочтение8 мин

Количество просмотров106K

Windows Server 2012 R2 вышел 18 октября 2013 года. С тех пор на эту серверную операционную систему Microsoft выпущено несколько сотен обновлений исправляющих уязвимости и дефекты продукта, а так же улучшающие функционал.

Огромное количество обновлений — источник головной боли. Наиболее актуальный дистрибутив сервера, так называемый «Update2», в который интегрированы обновления по ноябрь 2014 года, безнадежно устарел. Установив с него операционную систему, вы получите вдогонку еще 200+ обновлений, которые будут устанавливаться 2-4 часа.

В этой короткой инструкции мы освежим ноябрьский дистрибутив, интегрировав в него все кумулятивные пакеты обновлений и обновления безопасности.

Помимо дистрибутива мы освежим и память администратора, вспомнив как обновляется носитель для установки, зачем выполняется каждый шаг, и какие нас может ожидать подвохи на разных этапах.

Делать будем по максимуму просто, используя штатные инструменты.

Все работы лучше проводить на сервере с уже развернутом Windows Server 2012 R2, чтобы не было накладок с версией утилиты DISM. Так же на нем удобно подключать ISO файлы, не распаковывая их.

Готовим рабочие директории

Для работы потребуются следующие каталоги:

ISO — в этот каталог копируются файлы дистрибутива. В скопируйте в него содержимое дистрибутива SW_DVD9_Windows_Svr_Std_and_DataCtr_2012_R2_64Bit_English_-4_MLF_X19-82891.ISO, предварительно смонтировав образ, а затем размонтировав.

Картинка с сайта: habr.com

MOUNT — пустой каталог, в него будут монтироваться образы из wim-файла.
CU — в этот каталог поместим кумулятивные обновления
SU — в этом каталоге будут находиться обновления безопасности и другие обновления

mkdir D:\WS2012R2\ISO
mkdir D:\WS2012R2\MOUNT
mkdir D:\WS2012R2\CU
mkdir D:\WS2012R2\SU

Скачиваем кумулятивные обновления

Tip & Trick #1. Microsoft выпускает для Windows Server 2012 R2 кумулятивные пакеты обновлений, но в них входят только обновления, исправляющие ошибки и улучшающие функционал. Обновления безопасности не включены. При этом обновления и не особо кумулятивны. Некоторые не включают в себя предыдущие обновления, и надо ставить «кумулятивное» за каждый месяц. Бардак. В октябре эта ситуация изменится к лучшему.

Со списком кумулятивных обновлений вы можете ознакомиться на этой wiki странице.

С ноября 2014 года нам потребуется интегрировать следующие обновления:

1. December 2014 Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB3013769, cкачать.

2. July 2016 Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB3172614, скачать.

Пакеты за май и июнь поглощены этим июльским пакетом. Но перед установкой обязательно обновление April 2015 servicing stack update for Windows 8.1 and Windows Server 2012 R2. KB3021910, скачать.

3. August 2016 Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB3179574, скачать.

UPD: Я несколько преувеличил то, насколько Microsoft качественно подготовила дистрибутив. Обновления April 2014 и November 2014 действительно интегрированы. А все промежуточные — нет. Поэтому добавляем
May 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2955164, скачать
June 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2962409, скачать.
July 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2967917, скачать.
August 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2975719, скачать.
September 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2984006, скачать.
October 2014 update rollup for Windows RT 8.1, Windows 8.1, and Windows Server 2012 R2. KB2995388, скачать.

Tip & Trick #2. В разных статьях для интеграции обновлений предлагается извлечь из msu cab-файл. Делать это для offline-образа необязательно — интегрируйте msu без распаковки.

В папку CU разместите упомянутые выше msu файлы — Windows8.1-KB3013769-x64.msu, Windows8.1-KB3021910-x64.msu, Windows8.1-KB3138615-x64.msu, Windows8.1-KB3172614-x64.msu, Windows8.1-KB3179574-x64.msu.

Скачиваем обновления безопасности

Помимо кумулятивных обновлений интегрируем обновления, которые способна скачать утилита WSUS Offline Update.
Для этого:

1. Скачиваем программу download.wsusoffline.net
2. Выбираем обновления для Windows Server 2012 R2
   

   Картинка с сайта: habr.com

3. После скачивания открываем каталог wsusoffline\client\w63-x64\glb и *.cab файлы копируем в каталог C:\WS2012R2\SU

ОСТОРОЖНО: Если в список попали KB2966828 или KB2966827, удалите их, иначе после установки не получится добавить компонент Net Framework 3.5 (подробности).

Обновления готовы, приступим к интеграции.

Интеграция обновлений

Для интеграции обновлений нам потребуется:

1. Смонтировать содержимое одного из образов в install.wim

   dism /mount-wim /wimfile:{путь к wim файлу} /Index:{N} /mountdir:{путь к директории монтирования}

2. Интегрировать в offline установку каждое обновление

   dism /image:{путь к директории монтирования} /add-package /packagepath:{путь к *.msu или *.cab файлу}

3. Сохранить изменения

   dism /Unmount-WIM /MountDir:{путь к директории монтирования} /Commit

Этот процесс легко следующим автоматизировать командным файлом:

for /l %%N in (1,1,4) do (
dism /mount-wim /wimfile:"D:\WS2012R2\ISO\sources\install.wim" /Index:%%N /mountdir:D:\WS2012R2\MOUNT
for %%f in (D:\WS2012R2\CU\*.*) DO (dism /image:D:\WS2012R2\MOUNT /add-package /packagepath:%%f)
for %%f in (D:\WS2012R2\SU\*.*) DO (dism /image:D:\WS2012R2\MOUNT /add-package /packagepath:%%f)
dism /unmount-WIM /MountDir:D:\WS2012R2\MOUNT /Commit
)

Tip: Запуская командный файл, перенаправьте вывод в журнал

UpdateWIM.cmd >>log.txt 2>>&1

В результате мы получим файл D:\WS2012R2\ISO\sources\install.wim размером в 6.15Gb. Можем ли мы его уменьшить? Да, с помощью экспорта можно получить оптимизированный файл размером в 5.85Gb.

Экономия небольшая, кроме того после этого не очень красиво выглядит диалог выбора операционной системы при установке, поэтому следующий шаг опционален.

dism /export-image /sourceimagefile:D:\WS2012R2\ISO\sources\install.wim /sourceindex:1 /destinationimagefile:D:\WS2012R2\ISO\sources\install1.wim  /compress:max

dism /mount-wim /wimfile:"D:\WS2012R2\ISO\sources\install.wim" /Index:2 /mountdir:D:\WS2012R2\MOUNT

dism /append-image /imagefile:D:\WS2012R2\ISO\sources\install1.wim /captureDir:mount /name:"Windows Server 2012 R2 SERVERSTANDARD" /description:"Windows Server 2012 R2 SERVERSTANDARD"

dism /unmount-WIM /MountDir:D:\WS2012R2\MOUNT /discard

dism /mount-wim /wimfile:"D:\WS2012R2\ISO\sources\install.wim" /Index:3 /mountdir:D:\WS2012R2\MOUNT

dism /append-image /imagefile:D:\WS2012R2\ISO\sources\install1.wim /captureDir:mount /name:"Windows Server 2012 R2 SERVERDATACENTERCORE" /description:"Windows Server 2012 R2 SERVERDATACENTERCORE"

dism /unmount-WIM /MountDir:D:\WS2012R2\MOUNT /discard

dism /mount-wim /wimfile:"D:\WS2012R2\ISO\sources\install.wim" /Index:4 /mountdir:D:\WS2012R2\MOUNT

dism /append-image /imagefile:D:\WS2012R2\ISO\sources\install1.wim /captureDir:mount /name:"Windows Server 2012 R2 SERVERDATACENTER" /description:"Windows Server 2012 R2 SERVERDATACENTER"

dism /unmount-WIM /MountDir:D:\WS2012R2\MOUNT /discard

dism /export-image /sourceimagefile:D:\WS2012R2\ISO\sources\install.wim /sourceindex:2 /destinationimagefile:D:\WS2012R2\ISO\sources\install.esd  /compress:recovery

Сборка ISO-файла

Для сборки нам потребуется утилита oscdimg.exe из комплекта Windows ADK. Если у вас ее не оказалось, можно просто скачать утилиту по ссылке (не используйте из этого комплекта ничего, кроме самой утилиты).

Tip & Trick #3. Для того, чтобы не было проблем с загрузкой из образа, следует расположить загрузочные файлы в пределах первых 4 гигабайт образа. Для этого используем файл bootorder.txt

boot\bcd
boot\boot.sdi
boot\bootfix.bin
boot\bootsect.exe
boot\etfsboot.com
boot\memtest.exe
boot\en-us\bootsect.exe.mui
boot\fonts\chs_boot.ttf
boot\fonts\cht_boot.ttf
boot\fonts\jpn_boot.ttf
boot\fonts\kor_boot.ttf
boot\fonts\wgl4_boot.ttf
sources\boot.wim

Пути в этом файле указываются относительно корневой директории с образом, поэтому подстраивать пути на ваши фактические не требуется.

Tip & Trick #4. Если install.wim имеет размер больше 4700Mb, то инсталлятор вылетит с ошибкой «Windows cannot open the required file D:\sources\install.wim. Error code: 0x8007000D».

Нас учили что жизнь — это бой, поэтому разделим исходный install.wim на два командой

dism /split-Image /imagefile:D:\WS2012R2\ISO\sources\install.wim /swmfile:D:\WS2012R2\ISO\sources\install.swm /filesize:4096

Оригинальный файл install.wim можно удалить.

Tip & Trick #5. Вообще Microsoft говорит, что

пить

так делать нельзя.

In Windows 8.1 and Windows 8, Windows Setup does not support installing a split .wim file.

Мы говорим, что будем! Инсталлятор прекрасно подхватывает swm-файл. Проблем с установкой не будет.

Собираем образ командой:

oscdimg -m -n -yoD:\WS2012R2\bootorder.txt -bD:\WS2012R2\ISO\BOOT\etfsboot.com -lIR5_SSS_X64FREV_EN-US_DV9 D:\WS2012R2\ISO en_windows_server_2012R2_August_2016.iso

Уважаемый ildarz подсказывает, что для создания образа, одинаково хорошо работающего с BIOS и EFI, следует руководствоваться KB947024 и создавать образ так:

oscdimg -m -u2 -udfver102 -yoD:\WS2012R2\bootorder.txt -bootdata:2#p0,e,bD:\WS2012R2\ISO\BOOT\Etfsboot.com#pEF,e,bD:\WS2012R2\ISO\EFI\microsoft\BOOT\efisys.bin -lIR5_SSS_X64FREV_EN-US_DV9 D:\WS2012R2\ISO en_windows_server_2012R2_August_2016.iso

Работоспособность проверена в ESXi с любым типом загрузки (BIOS/EFI).

Все получилось? Поздравляю!

Картинка с сайта: habr.com

Но решена ли проблема полностью? Для идеала необходимо интегрировать еще сотню «опциональных» и «рекомендованных» обновлений, но с этим не будем торопиться. Дадим Microsoft шанс самим разобраться в том бардаке, который они устроили с обновлениями.

PS. Зачем мы все это делали? Для того, чтобы освежить память, сделать работу чуть удобнее и получить несколько простых командных файлов, при помощи которых в дальнейшем можно практически автоматизированно интегрировать обновления в серверный дистрибутив, экономя время ввода сервера в эксплуатацию. Тем более есть надежда, что начиная с октября интегрировать обновления станет гораздо проще.

Точно так же вы сможете интегрировать Windows 7 convenience rollup и не наступить на грабли распаковки обновлений, невозможности загрузки из образа, превышения размера install.wim.

Спасибо за внимание и до новых встреч, друзья.

Если есть возможность поделиться опытом — жду вас в комментариях.

Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. В прошлый раз я вам показал, как устранять ошибку «Удаленный сеанс был отключен из за сбоя создания хранилища лицензий с запретом доступа» при попытке подключения к серверу через RDP клиента. В сегодняшней статье я хочу поделиться опытом, который я приобрел решая для себя вот такую задачу. Потребовалось мне развернуть тестовый стенд с разными версиями ОС, там присутствовал Windows Server 2012R2. Эта операционная система перестала обновляться с конца 2023 года без расширенной поддержки. В данной статье я покажу как вы можете в 2024 году и до 2026 года включительно получать самые актуальные обновления закрывающие уязвимости, если кому нужно то поделюсь уже собранным ISO.

Windows Server 2012 R2 и End of Support

EOS означает «End of Support» или «конец поддержки». Когда продукт или операционная система достигает конца срока поддержки, это означает, что разработчик больше не будет предоставлять обновления безопасности, исправления ошибок или другие виды поддержки для этой версии продукта. 10 октября 2023 Microsoft официально оповестило, что прекращает базовую поддержку Windows Server 2012 R2, но позволяя корпоративным клиентам покупать расширенные Обновления безопасности (ESU) до 2026 года.

Обновления безопасности (ESU) — это Extended Security Updates, что означает продление обновлений безопасности. ESU представляет собой сервис поддержки, который предоставляется производителями программного обеспечения для продления срока обновлений безопасности для устаревших версий операционных систем или другого программного обеспечения. Это позволяет пользователям продолжать получать важные обновления безопасности и исправления уязвимостей после того, как официальная поддержка для их версии программного обеспечения была прекращена.

По хорошему если ваши серверы работают в проде и вы хотите получать обновления, вам нужно купить ключи ESU.

Так как у меня изначально тестовый стенд и не подразумевает лицензирования, я буду делать все на ОС с grace period.

Настройка получения обновлений в Windows Server 2012 R2 после 2023 года

Мой тестовый стенд состоит из виртуальных машин, где была произведена чистая установка Windows Server 2012 R2. Далее в системе с помощью центра обновления Windows были поставлены все возможные обновления, которые позволялось скачать без дополнительных настроек. Самое последнее накопительное обновление безопасности, доступное для установки без ключа SSU это «Ежемесячный набор исправлений качества системы безопасности для систем Windows Server 2012 R2 на базе процессоров x64 (KB5031419), 10 2023«

Далее если вы будите производить поиск свежих обновлений, то будете получать статус «Нет доступных обновлений«

• 1️⃣Первым делом вам необходимо скачать последнее обновление стека обслуживания (SSU), на момент написания статьи это апрельская версия KB5037021. Для скачивания я советую идти в каталог обновлений (НО ЕСЛИ ТАМ НЕ БУДЕТ НУЖНОГО KB, можно скачать у меня одним пакетом чуть ниже)

• 2️⃣Следующим шагом нужно скачать 2022-08 Extended Security Updates (ESU) Licensing Preparation Package KB5017220 (пакет подготовки к лицензированию расширенных обновлений безопасности (ESU)). 

• 3️⃣Теперь скачайте нужный ежемесячный накопительный пакет, зависит от того, какой файл манифест прописан в файле реестра. Для этого в каталоге в поиске введите «windows server 2012 r2 security«. В моем случае это 2024-04 Security Monthly Quality Rollup for Windows Server 2012 R2 for x64-based Systems (KB5036960).

• 4️⃣Файл реестра SideBySide с таким содержанием:

Обратите внимание, что данный ключ включает уникальное имя файла манифеста amd64_microsoft-windows-s..edsecurityupdatesai_31bf3856ad364e35_none_0e8b36cfce2fb332, вы легко можете получить ошибку на более свежем обновлении отличном от KB5036960, так как, там фигурирует уже другое имя файла.

Последовательная установка компонентов

• 1️⃣Когда у вас все подготовлено, то мы можем следовать вот такому порядку. Сначала устанавливаем KB5037021.

• 2️⃣Далее производим установку KB5017220.

• 3️⃣Теперь запустите файл добавляющий ключ реестра, тут либо вы его скачаете у меня ниже в наборе или же можете сделать сами. Соглашаемся с добавлением.

• 4️⃣После перезагрузки ставим Security Monthly Quality Rollup for Windows Server 2012 R2 for x64-based Systems, у меня это KB5036960. Он минуты полторы-две будет сканировать ваш компьютер, после чего предложит стандартную установку. Производим ее. После чего потребуется перезагрузка для применения изменений

После перезагрузке зайдите в центр обновления Windows и удостоверьтесь, что в списке успешно установленных числится KB5036960.

После нового поиска обновлений, высветилось KB5012670.

Скачать KB5037021, kb5017220, KB5036960, файл реестра

Для удобства я вам подготовил архив, где вы можете скачать все нужные обновления на апрель 2024 года.

Возможные проблемы

Если вы будите пытаться установить не KB5036960, а что-то новее, то из-за неправильной записи в реестре на файл манифест вы будите получать ошибку:

Где брать publicKeyToken от manifest файла

Теперь встает вопрос, где взять нужный publicKeyToken который используется в записи реестра и версию билда. Я выделил его жирным текстом в том файле реестра.

Покажу на примере установленного пакета обновления. Чтобы его найти в KB5036960, вам нужно ее открыть с помощью архиватора 7-zip или WinRar. Тут находите XML файл

Далее откройте CAB файл с именем Windows8.1-KB5036960-x64.cab и найдите в нем файл с именем amd64_microsoft-windows-s..edsecurityupdatesai_31bf3856ad364e35_6.3.9600.21924_none_НОМЕР. 

Из данного файла вам нужно взять значения version.

Откройте так же KB5037823 с помощью архиватора и убедитесь в значении publicKeyToken. Если он отличается от того, что мы ранее писали в файл редактирующий ключ реестра SideBySide, то замените значения. В моем случае, это такое же значение 31bf3856ad364e35, значит я его оставляю.

Теперь ищем файл манифеста в файле-архиве Windows8.1-KB5037823-x64.cab. Напомню он начинается на amd64_microsoft-windows-s..edsecurityupdatesai_publicKeyToken _version_none_НОМЕР. В моем примере это amd64_microsoft-windows-s..edsecurityupdatesai_31bf3856ad364e35_6.3.9600.21972_none_599c7a4bf64e9ba1.manifest. Открываем его и копируем из него полностью билд версии.

В результате мой новый REG файл будет иметь фот такое содержимое (НАПОМИНАЮ, его легко редактировать любым текстовым редактором)

Теперь остается его запустить и заново попробовать установить вашу KB. Отправляем вашу Windows Server 2012 R2 в перезагрузку.

В результате все должно получиться. После загрузки ОС убедитесь, что нужное вам обновление успешно установилось.

Понимаю, что есть ручная работа, но зато вы получаете своевременно пакеты безопасности под вашу Windows Server 2012R2 и ваш сервер еще вам послужит. Если остались вопросы, то пишите их в комментариях. Если у вас есть другие методы, то так же жду вас. С вами был Иван Сёмин, автор и создатель IT портала Pyatilistnik.org.

KB5035885 is the cumulative monthly rollup update for Windows Server 2012 R2. It was released on 12 March 2024 under the ‘Patch Tuesday’ program of Microsoft.

Windows Server 2012 R2 reached ‘End of Support’ on 10 October 2023. Going forward, ESU or Extended Security Updates will be available for Windows Server 2012 R2.

ESU or Extended Security Updates are cumulative. You can buy ESU for Windows Server 2012 R2 on an annual renewal basis until October 2026.

Salient points

• KB5035885 is the monthly rollup update (ESU or Extended Security Update) for Windows Server 2012 R2 and supersedes the KB5034819 update.
• KB5034819 was released on 13 February 2024. You can read more about it on the KB5034819 page.
• KB5035968 is the Servicing Stack Update that corresponds to KB5035885. The SSU was released on 12 March 2024. You would need to deploy KB5035968 before installing the KB5035885 monthly rollup update.
• 28 security vulnerabilities affect Windows Server 2012 R2 as part of the February 2024 security report.
• One CRITICAL security vulnerability affects Windows Server 2012 R2. You can read more about this vulnerability in the vulnerabilities section.
• The issue with language packs continues to affect Windows Server 2012 R2. If you install a language pack after installing KB5035885, you will need to re-install the KB5035885 update. This is because installing a language pack renders the monthly rollup update infructitious.

To install KB5035885, you will need a valid key for the Extended Security Updates because the Windows Server 2012 R2 attained End of Support status on 10 October 2023.

Download KB5035885

KB5035885 is a cumulative monthly rollup update of the type of an Extended Security Update. It can be installed automatically or through a manual approach.

For automatic patching of the monthly rollup update, you could use one of the following methods:

• Windows Update
• WSUS or Windows Server Update Service

WSUS remains the best method to automatically import and deploy security updates or cumulative updates on Windows Servers. We strongly suggest using WSUS as the preferred method for rolling out updates.

However, you will still need a valid key to apply the Extended Security Updates on Windows Server 2012 R2.

For manual installation, you can download the offline installer files from the Microsoft Update Catalog site. Alternatively, you can use the direct download links for KB5034819 shared below.

The manual installation of KB5035885 involves the following 2 steps:

1. Download and install KB5035968 Servicing Stack Update
2. Download and install the KB5035885 Cumulative Update (Extended Security Update)

For each of these updates, we have shared the download links below.

Download KB5035968

• Download KB5035968 from the Microsoft Update Catalog site
• Direct download link for KB5035968

The Servicing Stack Update file for KB5034866 has a size of 10.5 MB. Servicing Stack Updates, upon installation, do not cause the server to reboot. This Servicing Stack Update was released in March 2024.

Download KB5035885

The download links for KB5035885 are shared hereunder.

• Download KB5035885 from the Microsoft Update Catalog site
• Direct download link for cumulative update KB5035885

The size of the offline installer file for KB5035885 is 587 MB.

The server will reboot post-installation of the monthly rollup update. So, we do suggest installing the cumulative update as part of an organized change process within the IT infrastructure.

If you have already installed KB5034819, only the incremental changes of KB5035885 will be downloaded and installed on the Windows Server 2012 R2.

Vulnerabilities

There are 28 security vulnerabilities that have been disclosed for Windows Server 2012 R2 as part of the March 2024 security bulletin released by Microsoft.

We have listed the single CRITICAL threat that affects Windows Server 2012 R2 below.

CRITICAL vulnerabilities

One CRITICAL security vulnerability affects Windows Server 2012 R2. This is a ‘Remote Code Execution’ vulnerability.

KB5035885 – Changelog

The following changes are part of the KB5035885 monthly rollup update (Extended Security Updates) for Windows Server 2012 R2.

• This update contains miscellaneous security improvements to internal Windows OS functionality.
• This update brings in security changes for Windows Server 2012 R2.
• The Local Security Authority (LSA) might fail while interfacing with third-party software.

Return to Verschiedenes / Miscellaneous

Who is online

Users browsing this forum: No registered users and 241 guests