WSUS サーバーで、一部のダウンロードが失敗する ( File cert verification failure )

Last Update:

みなさま、こんにちは。WSUS サポート チームです。

新しく構築された WSUS サーバーなどで、更新プログラムの一部がダウンロードに失敗する、とお伺いすることがあります。
調べてみますと、WSUS サーバーに、更新プログラム：KB2749655 が適用されていないことがポイントでした。

この現象に合致する場合は、WSUS のログ (※) に、以下のような記録が出力されています。( イベント ログだけでは残念ながらわかりません )

(※) %programfiles%\Update Services\LogFiles の SoftwareDistribution.log

1
2
3
4
5
6
7
2013-01-25
06:42:14.309 UTC Info WsusService.14 CabUtilities.CheckCertificateSignature File cert verification failed
for d:\WSUS\WsusContent\3E\2C6AB49C5353003F7CBEE327195137A8A9DA4F3E.exe with 2148204801

2013-01-25 06:42:14.316 UTC Warning WsusService.14
ContentSyncAgent.WakeUpWorkerThreadProc Invalid file deleted:
d:\WSUS\WsusContent\3E\2C6AB49C5353003F7CBEE327195137A8A9DA4F3E.exe

昨年(2012年)リリースされた弊社の更新プログラムの中には、KB2749655 に記載された “問題を含む証明書” を使ってファイル署名されたものがあります。

こうした不適切な署名を持つファイルは、証明書の期限が切れると、正常に検証が行われなくなります。期限切れ後のタイミングで WSUS サーバーがファイルの取得を試みますと、ファイル検証動作に失敗し、結果としてダウンロードが失敗に終わります。

KB2749655 を WSUS サーバーへ適用すれば、問題点への対処がなされ、正常にダウンロードを完了できるようになります。

なお、ファイル検証動作はダウンロード時点で発生しますので、問題の証明書の期限が切れる前に、こうしたファイルのダウンロードを既に済ませた WSUS サーバーでは、問題が発生しません。

反対に次のようなケースでは、問題が発生する可能性が大いにありますので、お手数ですが、KB2749655 の適用をぜひご検討ください。

  • 2013 年になってから、WSUS を新規セットアップし更新プログラムの取得を開始した。
  • しばらく (数か月) 同期を行っていなかった WSUS を、最近久しぶりに同期し、更新プログラムを取得した。

なお、インターネットに接続していないWSUS や、レプリカ構成の 子WSUS サーバーでも、ファイル検証時に同じ問題が発生し、クライアントへの配信ができなくなる可能性がありますので、KB2749655 の適用をお願いいたします。

情報

更新プログラム：KB2749655 については以下のページをご参照ください。当更新はWSUS や Windows Update でも「重要な更新」というクラスで提供されています。

マイクロソフト セキュリティ アドバイザリ (2749655): 署名されたマイクロソフトバイナリに影響を与える互換性の問題