Windows BIOS Update unter Windows 11 - Ärger mit Sperrliste für anfällige Treiber

[Herr Moehre]

Hi und Grüße von meinem IT Tourette und mir ,

Die Sperrliste für anfällige Treiber macht mir immer wieder Ärger unter Windows 11 bei BIOS Updates.

Bei 24H2 musste ich unter Kernisolierung die Sperrliste für anfällige Treiber deaktivieren und neu starten, damit das Update funktionierte, ansonsten kam immer eine Meldung, dass der Treiber für das BIOS Update blockiert wurde.

KB5020779 – Die Sperrliste für anfällige Treiber nach der Vorschauversion vom Oktober 2022 - Microsoft-Support

support.microsoft.com

Bei 25H2 funktioniert dieser Workaround bei mir nicht mehr, ich habe sowohl den Defender samt Sperrliste für anfällige Treiber deaktiviert wie immer, als auch über die lokale Gruppenrichtlinie, die Sperrliste war deaktiviert, hat aber immer das BIOS Update unterbunden.
Dummerweise funktioniert das BIOS Update von Lenovo leider als ISO auch nicht, die ISO ist leer beim mounten, rufus kann kein Bootmedium erstellen etc. auch bei älteren versionen.

Lösung von Microsoft ist indirekt hier beschrieben:

Device Security in the Windows Security App | Microsoft Support

Learn how to access Windows device security settings in Windows Security to help protect your device from malicious software.

support.microsoft.com

Microsoft vulnerable driver blocklist​

A driver is a piece of software that lets the operating system (Windows in this case) and a device (like a keyboard or a webcam) talk to each other. When the device wants Windows to do something, it uses the driver to send that request. Because of this, drivers have a lot of sensitive access in your system.

Windows 11 includes a blocklist of drivers that have known security vulnerabilities, have been signed with certificates used to sign malware, or that circumvent the Windows Security Model.

If you have memory integrity, Smart App Control, or Windows S mode on, the vulnerable driver blocklist will be on too.

Krux an der Sache - Smart App Control kann man deaktivieren, bleibt dann aber dauerhaft deaktiviert, laut Microsoft hilft da nur eine Neuinstallation von Windows.

BIOS Update Funktioniert, der Workaround ist aber

Zudem gibt es in der lokalen Gruppenrichtlinienverwaltung auch den Reiter für die Treibersignierung nicht mehr (Administrative Vorlagen > System > Treibersignatur > Codesignatur für Gerätetreiber"

Ich will nicht mehr, ich schule um, diese Routineaufgaben sind mir zu komplex und sinnbefreit.

 

[linrunner]

Dummerweise funktioniert das BIOS Update von Lenovo leider als ISO auch nicht, die ISO ist leer beim mounten, rufus kann kein Bootmedium erstellen etc. auch bei älteren versionen.

Dass das ISO beim Mounten leer erscheint, ist normal, denn das Update steckt in einem speziellen Bootimage (El Torito). Im Wiki hab ich beschrieben, wie man unter Linux das Image extrahiert und direkt auf den Stick schreibt:

BIOS-Update ohne optisches Laufwerk unter Linux – ThinkPad-Wiki

EDITH sagt: falls Lenovo für dein Modell Updates per LVFS bereitstellt, kommst Du mit fwupdmgr noch einfacher ans Ziel. Ist imho meist in Live Linuxen enthalten.

Aber besser, Du schulst gleich auf ein richtiges Betriebssystem um

 

[Herr Moehre]

Danke für den Tipp mit dem Extrahieren unter Linux, das hätte ich machen können, jetzt weiß ich für die Zukunft Bescheid. Damit kann ich mir diesen Krampf ersparen, nutze zum Glück selbst fast nur Linux ;-)
Witzig, dass das nicht in dem Lenovo Readme steht.. da steht nur nimm die ISO und Brenn auf CD/DVD.
Hab aber noch nicht das CD Laufwerk in den aktuellen Laptops gefunden...

 

[Mornsgrans]

da steht nur nimm die ISO und Brenn auf CD/DVD.
Hab aber noch nicht das CD Laufwerk in den aktuellen Laptops gefunden...

Geht auch z.B. mit Rufus auf einen USB-Stick - das mache ich seit dem T400 so (T6x will noch beim booten der ISO MSCDEX.exe installieren und bricht an dieser Stelle ab).

 

[Herr Moehre]

Rufus hatte gesagt es sei kein bootfähiges Image und ließ mich die ISO nicht aufs Gerät ziehen..
Und als ich das als nicht bootfähig hinterlegt hatte, ging es, startete aber natürlich nicht

 

[Mornsgrans]

Denke daran, dass die älteren ISO i.d.R. kein GPT und UEFI kennen. Dementsprechend muss auf im BIOS legancy Boot-Mode erlaubt sein

 

[Herr Moehre]

Waren in dem Falle zwei L480 in UEFI Only, wie im ReadMe beschrieben.
Ich denke wenn ich unter Linux wie von linrunner beschrieben das El Torino Image auf den USB Stick geschrieben hätte, hätte es geklappt.

 

[der_ingo]

Du kannst auch einfach die problematischen Dateien in Lenovo Windows-BIOS-Updater austauschen. Ich hatte das vor einiger Zeit mal probiert, da ich die Sicherheitsfunktionen des Systems nicht umgehen wollte und die Verteilung auf eine größere Menge von Geräten über so einen Umweg mit Stick usw. nicht sinnvoll möglich ist.

Das eigentliche Problem ist ja nicht die Liste, sondern dass Lenovo über längere Zeit einen Treiber ausgeliefert hat, der sich durch Schadsoftware missbrauchen lässt und offenbar bei älteren Geräten dies auch nicht mehr fixt.

Du brauchst den Updater aus einer Generation, die noch unterstützt wird und wo das Problem gefixt ist. Ich meine, die erste L14 Generation sollte da passen. Und dann halt die Dateien des eigentlichen Updaters austauschen. Ab einer bestimmten Generation hat man den Updater selbst geändert - das ist dann nicht mehr kompatibel.
Ich hab das jetzt gerade nicht vor mir, daher nur ein wenig Theorie. Bin erst nächste Woche wieder in der Firma und könnte noch mal schauen, was da wie auszutauschen wäre.

 

[Crisser67]

Rufus hatte gesagt es sei kein bootfähiges Image und ließ mich die ISO nicht aufs Gerät ziehen..
Und als ich das als nicht bootfähig hinterlegt hatte, ging es, startete aber natürlich nicht

Ich habe gestern mit einem Ventoy-USB-Stick ein älteres BIOS auf das X280 gemacht.
Ich habe dazu einfach das CD-Image auf den Stick kopiert, wie sonst andere ISOs auch.
Das hat auf Anhieb problemlos geklappt, also wie immer.

Genau so hat es von der Ventoy-Boot-Partition auf der eingebauten SSD funktioniert.

Ich habe den Stick zuersrt nur ausnahmsweise benutzt, weil ich die ISO eigentlich auf dem anderen TP hatte. Normalerweise nutze ich nur das Ventoy auf dem Laptop, was auch auf allen installiert ist.

 

[Herr Moehre]

Danke für die Tipps.

Also gibt es Workarounds:

- Kein Windows 11 Nutzen
- Ventoy USB Stick
- El Torino Bootstick
- Windows SmartScreen töten
- Updater "updaten" (danke, den kannte ich noch nicht, mal probieren, wenn ich wieder eines hab!)