Symptomer
Fra og med windows-sikkerhetsoppdateringen for september 2024 begynte Windows Installer (MSI) å kreve en brukerkontokontroll (UAC) som spør etter legitimasjonen din når du reparerer et program. Dette kravet ble ytterligere håndhevet i Windows-sikkerhetsoppdateringen for august 2025 for å løse sikkerhetsproblemet CVE-2025-50173.
På grunn av sikkerhetsherdingen som er inkludert i oppdateringen for august 2025, kan ikke-administratorbrukere oppleve problemer når de kjører noen apper:
-
Apper som starter en MSI-reparasjon stille (uten å vise brukergrensesnittet), vil mislykkes med en feilmelding. Hvis du for eksempel installerer og kjører Office Professional Plus 2010 som en ikke-administrator, vil det mislykkes med feil 1730 under konfigurasjonsprosessen.
-
Brukere som ikke er administratorer, kan motta uventede forespørsler om brukerkontokontroll (UAC) når MSI-installasjonsprogrammer utfører bestemte egendefinerte handlinger. Disse handlingene kan omfatte konfigurasjons- eller reparasjonsoperasjoner i forgrunnen eller bakgrunnen, inkludert under den første installasjonen av et program. Disse handlingene omfatter:
-
Kjører MSI-reparasjonskommandoer (for eksempel msiexec /fu).
-
Installere en MSI-fil etter at en bruker logger seg på en app for første gang.
-
Kjører Windows Installer under Active Setup.
-
Distribusjon av pakker via Microsoft Configuration Manager (ConfigMgr) som er avhengige av brukerspesifikke «annonsering»-konfigurasjoner.
-
Aktiver Sikkert skrivebord.
-
Oppløsning
For å løse disse problemene reduserer Windows-sikkerhetsoppdateringen for september 2025 (og senere oppdateringer) omfanget for nødvendige UAC-forespørsler om MSI-reparasjoner og gjør det mulig for IT-administratorer å deaktivere UAC-forespørsler om bestemte apper ved å legge dem til i en tillatelsesliste.
Når du har installert oppdateringen for september 2025, kreves bare UAC-ledetekster under MSI-reparasjonsoperasjoner hvis mål-MSI-filen inneholder en hevet egendefinert handling.
Siden UAC-ledetekster fremdeles kreves for apper som utfører egendefinerte handlinger, vil IT-administratorer ha tilgang til en midlertidig løsning som kan deaktivere UAC-forespørsler om bestemte apper ved å legge til MSI-filer i en tillatelsesliste.
Slik legger du til apper i en tillatelsesliste for å deaktivere UAC-ledetekster
Advarsel!: Vær oppmerksom på at denne utmeldingsmetoden effektivt fjerner denne dyptgående sikkerhetsfunksjonen for forsvar for disse programmene.
Viktig!: Denne artikkelen inneholder informasjon om hvordan du endrer registeret. Pass på at du sikkerhetskopierer registeret før du endrer det. Pass på at du vet hvordan du gjenoppretter registeret dersom det oppstår et problem. Hvis du vil ha mer informasjon om hvordan du sikkerhetskopierer, gjenoppretter og endrer registeret, kan du se Slik sikkerhetskopierer og gjenoppretter du registeret i Windows.
Før du begynner, må du hente produktkoden for MSI-filen du vil legge til i tillatelseslisten. Du kan gjøre dette ved hjelp av ORCA-verktøyet som er tilgjengelig i Windows SDK:
-
Last ned og installer Windows SDK Components for Windows Installer Developers.
-
Gå til C:\Programfiler (x86)\Windows Kits\10\bin\10.0.26100.0\x86 og kjør Orca-x86_en-us.msi. Dette installerer ORCA-verktøyet (Orca.exe).
-
Kjør Orca.exe.
-
Bruk Fil > Åpne i ORCA-verktøyet for å bla til MSI-filen du vil legge til i tillatelseslisten.
-
Når MSI-tabellene er åpne, klikker du Egenskap i listen til venstre og noterer produktkodeverdien.
-
Kopier ProductCode. Du trenger den senere.
Når du har produktkoden, følger du disse trinnene for å deaktivere UAC-ledetekster for dette produktet:
-
Skriv regedit i søkeboksen, og velg Registrer Redaktør i søkeresultatene.
-
Finn og velg følgende undernøkkel i registret:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer
-
Gå til Rediger-menyen, pek på Ny, og klikk deretter på DWORD-verdi.
-
Skriv inn SecureRepairPolicy for navnet på DWORD, og trykk deretter ENTER.
-
Høyreklikk SecureRepairPolicy, og velg deretter Endre.
-
Skriv inn 2 i Verdidata-boksen , og velg OK.
-
Finn og velg følgende undernøkkel i registret:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer
-
Pek på Ny på Rediger-menyen, og klikk deretter Nøkkel.
-
Skriv inn SecureRepairWhitelist for navnet på nøkkelen, og trykk deretter ENTER.
-
Dobbeltklikk SecureRepairWhitelist-tasten for å åpne den.
-
Pek på Ny på Rediger-menyen, og klikk deretter Strengverdi. Opprett strengverdier som inneholder produktkoden du noterte deg tidligere (inkludert klammeparenteser {}) av MSI-filene du vil legge til i tillatelseslisten. Navnet på strengverdien er Produktkode, og VERDIEN kan stå tom.
