Programa(s) desinstalado(s) ainda aparece(m) no objeto WMI “WIN32_InstalledStoreProgram”?

Question

Nota: Esta é uma repostagem de uma postagem original no StackOverflow. Fui direcionado aqui por um usuário prestativo e estou simplesmente repassando.

Criei uma conta StackOverflow pela primeira vez devido a esse problema irritante. Eu estava resolvendo vulnerabilidades em uma VM de PC de teste em meu trabalho atual para testar alguns novos procedimentos, e uma das vulnerabilidades envolvia o aplicativo pré-instalado "Paint3D" (Especificamente QID 91774para os interessados). Resumindo, a vulnerabilidade era simplesmente uma “versão desatualizada do aplicativo”. Depois de atualizar o Paint3D para a versão mais recente e confirmar isso com o Powershell, percebi que nosso software de gerenciamento de vulnerabilidades continuava detectando o Paint3D como uma versão desatualizada. A vulnerabilidade foi detectada consultando o objeto WMI "WIN32_InstalledStoreProgram", assim: recorte do método "Lógica de detecção de ameaças"Depois de ver que essa vulnerabilidade ainda ocorria mesmo após a atualização para a versão mais recente, fui em frente e simplesmente desinstalei o Paint3D por meio do menu Configurações> Aplicativos.

Quando consultei o mesmo objeto WMI manualmente usando os comandos do Powershell "Get-WmiObject Win32_InstalledStoreProgram" e "Get-WmiObject Win32_InstalledStoreProgram | Format-List -Property Name, Version", percebi que havia 2 entradas para o aplicativo que desinstalei (Microsoft.MSPaint). Uma era a versão antiga da qual atualizei, a outra era a nova versão para a qual atualizei. Ambos foram desinstalados e confirmados como desinstalados. Desinstalei um aplicativo separado (Weather) para ver se talvez o objeto WMI não fosse atualizado automaticamente, mas após a desinstalação e confirmação usando os comandos Powershell acima, o aplicativo Weather foi confirmado para ser desinstalado e removido como uma entrada no objeto WMI, enquanto as duas versões diferentes do Microsoft.MSPaint permaneceram. Também desinstalei a versão normal do "Paint", caso esse fosse o problema, mas as duas entradas permanecem.

Agora para a parte mais complicada. A Microsoft Store me dá diferentes mensagens de erro cada vez que tento instalar o Paint3D. Acredito que seja porque a MS Store também está consultando o mesmo objeto WMI e, vendo que tenho duas "versões" do "Paint3D", não consegue instalar nada. Estou perdendo o juízo com esse pequeno problema. A correção que pretendo implementar é apenas limpar esta VM e continuar os procedimentos de solução de vulnerabilidade, mas eu realmente quero entender por que isso está acontecendo e o que pode estar causando esse problema. Li alguma documentação sobre edição e atualização manual de objetos WMI, mas não sei o suficiente sobre objetos WMI ou WMI para ser confiante e eficaz. É uma tarefa tão simples: atualizar ou desinstalar o Paint3D. Eu simplesmente não tinha ideia de que iria me deparar com isso e gostaria de entender pelo menos o que está acontecendo.

Recorte do objeto WMI mostrando a versão desatualizada do MSPaint Recorte do objeto WMI mostrando a versão atual do MSPaint, porém o Paint3D foi totalmente desinstalado

Edição 1, 12h20 01/09/2021: Apenas um acompanhamento, tentei remover meu usuário AD do sistema e obter um login limpo, mas o Paint3D ainda foi excluído e a Microsoft Store ainda estava inoperante. Esse problema é específico apenas dessa área de trabalho específica.

Answer 1

Meu problema foi com o HEVCVideoExtension, mas semelhante. Eu tentei desta forma em um prompt do Admin PowerShell:

Obtenha o nome completo do pacote usando: Get-AppxPackage -AllUsers -Name "Microsoft.HEVCVideoExtension"

Com o nome completo do pacote, Microsoft.HEVCVideoExtension_1.0.41483.0_x64__8wekyb3d8bbwetente isto:

Remove-AppxPackage -AllUsers -Package "Microsoft.HEVCVideoExtension_1.0.41483.0_x64__8wekyb3d8bbwe"

No meu caso, isso falhou, porque a instalação da versão antiga/desatualizada foi realizada em uma conta de usuário que não está mais instalada na máquina.

Então fiz uma redefinição completa da Windows Store:

WSReset.exe

Em seguida, executei novamente o Get-AppxPackagecomando para confirmar que a redefinição funcionou. Tinha.

Na próxima vez que lancei a Windows Store, demorou uma eternidade para inicializar, mas funcionou.

Answer 2

O bloatware do Windows pode ser complicado, tente removê-lo com o PowerShell.

Execute o PowerShell como administrador e então:

Get-AppxPackageMicrosoft.MSPaint | Remover-AppxPackage

Answer 3

Aqui está a solução que funcionou para nós.

Havia várias vulnerabilidades Sev 4 e 5 associadas a aplicativos desatualizados da Windows Store. O Security Scan reclamou que tínhamos uma versão antiga dos aplicativos da Windows Store. E encontrou isso verificando o objeto WMI. Mas a máquina mostrou aplicativos atualizados. Portanto, existiam duas versões de Apps (antiga e atualizada). Nada ajudou a resolvê-lo (desinstalação de aplicativos, redefinição da Windows Store, etc.).

Como o problema foi criado é uma história diferente... Mas aqui está a solução. Como afirmou um dos comentários, ele se transformou em perfis de usuário corrompidos.

Digamos que você tenha:

• IDQ: 91698
• Título: Vulnerabilidades de execução remota de código da biblioteca de codecs do Microsoft Windows
• Resultados da verificação: Microsoft.WebpImageExtension vulnerável da Microsoft detectou a versão '1.0.22753.0'

Passos:

1. Confirme que existem dois pacotes do PowerShell: Get-WmiObject -class Win32_InstalledStoreProgram | Nome do objeto Where-like "*WebpImageExtension*"

2. Remover pacote antigo

PowerShell: Remove-AppxPackage -AllUsers -Package Microsoft.WebpImageExtension_1.0.22753.0_x64__8wekyb3d8bbwe.

Este é um passo “mágico”. Isso resultará em um erro 0x80070002, mas criará uma entrada no registro que mais tarde precisaremos "Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\EndOfLife\S-1-12-XXXXXXX com pacote problemático ."

3. Exclua a chave de registro Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\EndOfLife\S-1-12-XXXXXXX com pacote problemático.

4. Confirme que resta apenas um pacote PowerShell: Execute Get-WmiObject -class Win32_InstalledStoreProgram | Where-Object name -like "*WebpImageExtension*".