Update-Chaos bei HP: Wildes Skript löscht Zertifikate, sperrt Nutzer aus

Ein HP-Update hat bei einigen PCs versehentlich kritische Microsoft-Zertifikate gelöscht und Nutzer von ihren Accounts ausgesperrt. Ein übereifriges und nachlässig geschriebenes Skript verwechselte wichtige Entra-ID-Zertifikate mit alten HP-Komponenten.

HP-Update sorgt für Schwierigkeiten

Es ist nicht allzu lange her, dass HP-Scanner streikten oder das Unternehmen seine Kunden 15 Minuten in die Warteschleife ihres Supports zwang. Jetzt steht der Konzern abermals in der Kritik, nachdem ein automatisches Update der hauseigenen OneAgent-Software bei den neuesten KI-PCs wie dem EliteBook X Flip G1i kritische Microsoft-Zertifikate gelöscht und damit Nutzer komplett aus ihren Unternehmens-Accounts ausgesperrt hat.

Das Problem entstand durch ein übereifriges Aufräumskript, das eigentlich nur Reste einer veralteten HP-Software namens "1E Performance Assist" entfernen sollte. Stattdessen löschte das Skript alle Zertifikate, die die Zeichenkette "1E" in ihrem Namen, Aussteller oder Betreff enthielten. Es nahm dabei keine Rücksicht auf deren tatsächliche Funktion.

Fataler Kollateralschaden bei Zertifikaten

Laut IT-Experte Rudy Ooms von PatchMyPC (via Bleeping Computer), der das Problem als erster entdeckte und analysierte, löschte das verhängnisvolle Skript dabei auch das "MS-Organization-Access"-Zertifikat von Microsoft Entra ID, das die Vertrauensbeziehung zwischen einem Windows-Gerät und der Unternehmens-Cloud definiert. Dieses Zertifikat wird automatisch erstellt, wenn ein Gerät der Microsoft-Cloud beitritt, und ist für die Authentifizierung unerlässlich.

Das Update wurde über HPs AWS IoT-Infrastruktur direkt an alle betroffenen Geräte verteilt, ohne eine schrittweise Einführung zu testen. Innerhalb von Sekunden nach der Installation verloren Geräte ihre Cloud-Verbindung.

Die Logik des Skripts war so geschrieben, dass es sehr gefährlich war. Fast so, als hätte eine KI es geschrieben.

Begrenzte, aber schwerwiegende Auswirkungen

Glücklicherweise ist das Problem auf einen relativ kleinen Nutzerkreis beschränkt. Laut Ooms liegt die Wahrscheinlichkeit, dass ein Entra-ID-Zertifikat die kritische "1E"-Zeichenkette enthält, aber immerhin bei 9,3 Prozent. Da das fehlerhafte Update aber nur an HPs KI-PCs verteilt wurde, blieb die Gesamtzahl der betroffenen Systeme überschaubar.

Dennoch sind die Folgen für betroffene Nutzer gravierend. Sie können sich nur noch mit lokalen Administrator-Accounts anmelden und haben keinen Zugriff mehr auf Unternehmensressourcen, Cloud-Anwendungen oder zentrale IT-Services. Die OneAgent-Software selbst ist Teil von HPs Managementsuite für Unternehmenskunden und soll eigentlich die Verwaltung und Wartung der Geräte vereinfachen.

Wiederherstellung erfordert manuellen Eingriff

HP hat das problematische Update mittlerweile zurückgezogen und arbeitet mit betroffenen Kunden an Lösungen. Die Wiederherstellung erfordert jedoch einen manuellen Prozess, bei dem die Geräte komplett neu mit der Entra-ID verbunden werden müssen. Dieser Vorgang kann je nach Unternehmensgröße und IT-Infrastruktur mehrere Stunden bis Tage dauern.

Der Vorfall zeigt einmal mehr, wie kritisch automatische Updates in Unternehmensumgebungen sein können. Während Microsoft selbst seine Updates meist schrittweise ausrollt und bei Problemen schnell stoppen kann, verwendete HP in diesem Fall einen weniger ausgereiften Verteilungsmechanismus. Die Leidtragenden sind dabei die Kunden.

Habt ihr schon einmal erlebt, dass ein Hardware-Hersteller-Update euer System lahmgelegt hat? Teilt eure Erfahrungen in den Kommentaren!


Siehe auch: