Tünetek
A Windows 2024. szeptemberi biztonsági frissítésétől kezdve a Windows Installer (MSI) elkezdte kérni a felhasználói fiókok felügyeletének (UAC) kérését az alkalmazások javításakor. Ezt a követelményt a 2025. augusztusi Windows biztonsági frissítésben is érvényesítették a CVE-2025-50173 biztonsági rés kezelése érdekében.
A 2025. augusztusi frissítésben foglalt biztonsági korlátozás miatt a nem rendszergazda felhasználók problémákat tapasztalhatnak egyes alkalmazások futtatásakor:
-
Az MSI-javítást csendesen kezdeményező alkalmazások (a felhasználói felület megjelenítése nélkül) hibaüzenettel hiúsulnának meg. Például a 2010-Office Professional Plus nem rendszergazdaként való telepítése és futtatása 1730-as hibával meghiúsulna a konfigurációs folyamat során.
-
A nem rendszergazda felhasználók váratlan felhasználói fiókok felügyeletére (UAC) vonatkozó utasításokat kaphatnak, amikor az MSI-telepítők bizonyos egyéni műveleteket hajtanak végre. Ezek a műveletek tartalmazhatnak konfigurációs vagy javítási műveleteket az előtérben vagy a háttérben, beleértve az alkalmazás kezdeti telepítése során is. Ezek a műveletek a következők:
-
MSI-javítási parancsok futtatása (például msiexec /fu).
-
MSI-fájl telepítése, miután a felhasználó először jelentkezik be egy alkalmazásba.
-
A Windows Installer futtatása Active Setup során.
-
Csomagok üzembe helyezése Microsoft Configuration Manager (ConfigMgr) keresztül, amelyek felhasználóspecifikus "hirdetési" konfigurációkra támaszkodnak.
-
A Secure Desktop engedélyezése.
-
Megoldás
A problémák megoldása érdekében a Windows 2025. szeptemberi biztonsági frissítése (és újabb frissítései) csökkentik az UAC-kérések MSI-javításokra vonatkozó kéréseinek hatókörét, és lehetővé teszi a rendszergazdák számára, hogy letiltsák az egyes alkalmazások UAC-kéréseit, ha hozzáadják őket egy engedélyezési listához.
A 2025. szeptemberi frissítés telepítése után az UAC-kérésekre csak akkor lesz szükség az MSI-javítási műveletek során, ha a cél MSI-fájl emelt szintű egyéni műveletet tartalmaz.
Mivel az egyéni műveleteket végrehajtó alkalmazásokhoz továbbra is UAC-kérésekre lesz szükség, a frissítés telepítése után a rendszergazdák hozzáférhetnek egy áthidaló megoldáshoz, amely letilthatja az egyes alkalmazások UAC-kéréseit, ha MSI-fájlokat ad hozzá egy engedélyezési listához.
Alkalmazások hozzáadása engedélyezési listához az UAC-kérések letiltásához
Figyelmeztetés: Vegye figyelembe, hogy ez a leiratkozási módszer hatékonyan eltávolítja a mélységi védelemmel kapcsolatos biztonsági funkciót ezekhez a programokhoz.
Fontos: Ez a cikk információt tartalmaz a beállításjegyzék módosításáról. A módosítás előtt készítsen biztonsági másolatot a beállításjegyzékről. Legyen tisztában azzal is, hogy probléma esetén hogyan állíthatja vissza a beállításjegyzéket. A beállításjegyzék biztonsági mentésének, visszaállításának és módosításának módjáról további információkat a Windows beállításjegyzék biztonsági mentése és visszaállítása című témakörben talál.
A kezdés előtt be kell szereznie az engedélyezési listához hozzáadni kívánt MSI-fájl termékkódját. Ezt a Windows SDK elérhető ORCA eszközzel teheti meg:
-
Töltse le és telepítse Windows SDK-összetevőket a Windows Installer-fejlesztők számára.
-
Lépjen a C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86 mappába, és futtassa aOrca-x86_en-us.msi. Ezzel telepíti az ORCA eszközt (Orca.exe)..
-
Futtassa Orca.exeparancsot.
-
Az ORCA eszköz Fájl > Megnyitás parancsával keresse meg az engedélyezési listához hozzáadni kívánt MSI-fájlt.
-
Az MSI-táblák megnyitása után kattintson a bal oldali listában a Tulajdonság elemre, és jegyezze fel a ProductCode értéket.
-
Másolja ki a ProductCode-ot. Később szüksége lesz rá.
Ha már rendelkezik a termékkóddal, az alábbi lépéseket követve tiltsa le a termék UAC-kéréseit:
-
A Keresés mezőbe írja be a regedit kifejezést, majd a keresési eredmények között válassza a Beállításjegyzék Szerkesztő lehetőséget.
-
Keresse meg és válassza ki a következő alkulcsot a beállításjegyzékben:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer
-
A Szerkesztés menüben mutasson az Új elemre, majd válassza a DWORD érték lehetőséget.
-
Írja be a SecureRepairPolicy nevet a DWORD névhez, majd nyomja le az Enter billentyűt.
-
Kattintson a jobb gombbal a SecureRepairPolicy elemre, majd válassza a Módosítás parancsot.
-
Az Érték adatmezőbe írja be a 2 értéket, és válassza az OK gombot.
-
Keresse meg és válassza ki a következő alkulcsot a beállításjegyzékben:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer
-
A Szerkesztés menüben mutasson az Új elemre, majd kattintson a Kulcs elemre.
-
Írja be a SecureRepairWhitelist nevet a kulcsnak, majd nyomja le az Enter billentyűt.
-
Kattintson duplán a SecureRepairWhitelist kulcsra a megnyitásához.
-
A Szerkesztés menüben mutasson az Új elemre, majd kattintson a Sztringérték elemre. Hozzon létre sztringértékeket, amelyek tartalmazzák az engedélyezési listához hozzáadni kívánt MSI-fájlok korábbi termékkódját (beleértve a kapcsos zárójeleket {}). A sztringérték neve a ProductCode, és az ÉRTÉK üresen hagyható.
