[Group Policy] Veroorzaakt scripterror in CHM-files

[Cis]

Van een Microsoft-applicatie heb ik een aantal CHM helpfiles.
Wanneer domain users één van deze helpfiles openen, krijgen ze bij iedere pagina een scripterror:

Wanneer er Ja, danwel Nee wordt geklikt, kan de pagina gewoon worden weergegeven.

Na lang uitzoeken ben ik erachter gekomen dat dit probleem wordt “veroorzaakt” door een Group Policy die wij toepassen. Namelijk: zonder de policy toegepast, treedt er geen foutmelding op!
Het vreemde is echter dat Domain Admins (die dezelfde GPO over zich heen krijgen) de error niet krijgen. Zij kunnen probleemloos door de Helpfiles browsen.

In eerste instantie dacht ik aan de Security Settings in IE. Ik heb deze allemaal op Zeer Laag gezet. Onder Internet Options -> Advanced heb ik Debugging (Foutopsporing) uitgeschakeld.
In de GPO onder Software Restirction Policy -> Designated File Types, heb ik CHM weggehaald zodat op de helpfiles geen speciale rechten nodig zijn.
Het probleem blijft zich echter voordoen.

Uiteraard kan ik de Policy opnieuw gaan bouwen en per categorie gaan testen of het de oorzaak is van het probleem, maar dit is mij iets teveel handwerk. De GPO is erg groot en zou mij minstens een dag kosten om te testen.

Kan iemand mij een hint geven waar ik nog meer kan zoeken om dit probleem op te lossen?

[mutsje]

geen oplossing maar wel een tip: trek je mega GPO uit elkaar en maar er afzonderlijke GPO's van. Als je deze een heldere naam geeft bv: Disable local disk etc kun je veel sneller troubleshooten in de toekomst het is echt de moeitte waard. Het laden van een profile duurd iets langer met verschillende policies maar de voordelen wegen hier echt op tegen de nadelen van 1 grote GPO die volgestampt is met allerlei onoverzichtelijke policies. Verder als Domain Admins het wel mogen lijkt het een rechtenkwestie. Zijn de gebruikers local admin?

[sanfranjake]

Gokje dat je XP of Vista gebruikt? Sinds XPSP2 wordt actieve inhoud vanaf de lokale schijf beperkt. In ieder geval wel nuttig om te weten, want 2000/2003/andere zijn ook nog een optie
Misschien is het inderdaad een goed idee om in ieder geval de IE settings (waarvan ik vermoed dat het probleem zal zijn) in een aparte gpo onder te brengen. Dit zijn zo vreselijk veel instellingen dat je al snel het overzicht verliest.
Misschien in ieder geval de local machine zone eens op low zetten, en anders mbt script-execution dingen doen. Heb je misschien de policy enabled waarmee je "do not run these applications from help" instelt? En daar misschien iexplore.exe tussen staan?

[alt-92]

MS05-026: A vulnerability in HTML Help could allow remote code execution even nalezen wat de oorzaak is

[Cis]

Wederom een dag verder en geen voortgang. Alle instellingen van IE heb ik uitgeschakeld, maar dit had geen succes. Daarna alle beveiligingsniveaus op Zeer Laag gezet, maar ook dit had weer geen succes.

Ook de tip van alt-92 had geen succes: de adviezen van Microsoft opgevolgd, maar mocht helaas niet baten.

Ik heb de test-domain-user lid gemaakt van de Local Administrators, maar zelfs dan geeft 'ie de error.

Is er niet toevallig ergens een manier om die hele foutmelding uit te schakelen? Zoals ik al zei, heb ik in IE alle foutmeldingen al op Disabled gezet, maar misschien dat er ergens anders nog opties zijn? De Helpfile werkt namelijk wel gewoon...

Overigens: ik maak inderdaad gebruik van Windows XP SP2 (en misschien is een move naar WC handig? )

edit: als ik de url (genoemd in screenshot) in IE invoer, krijg ik geen informatiebalk meer. (In tegenstelling tot voorheen). Met hh.exe blijf ik echter de foutmeldingen krijgen

[ Voor 10% gewijzigd door Cis op 01-06-2007 08:33 ]

[Cis]

Oplossing!!

In de Help van Microsoft Dynamics AX staat op elke pagina een Vote-sectie. Daarin kun je stemmen wat je van de help vindt (1 t/m 5). Blijkbaar wordt je stemgedrag bijgehouden in een cookie
So far nothing wrong.

Echter: in onze policy hebben wij een cookie redirection staan. Dit is gedaan met een 3rd-party ADM. Blijkbaar snapt de helpfile van Dynamics dit niet helemaal (waarschijnlijk een hard pad naar de oorspr. coolie dir), zodat de error bij elke Vote-pagina optrad

Maar goed, met hulp van een externe partij is de oorzaak uiteindelijk dus toch gevonden. Inmiddels heb ik de redirection weggehaald