Távoli kódfuttatásra alkalmat adó sebezhetőség a Microsoft Exchange szerverben

 ( trey | 2009. február 11., szerda - 20:46 )

A Microsoft kiadta februári biztonsági közlönyét. Benne kumulatív biztonsági frissítés az Internet Explorer-hez (távoli kódfuttatás - critical), a Microsoft SQL Server egyes verzióihoz (távoli kódfuttatás - important), de ami talán a legfontosabb, hogy javítás érkezett egy olyan távoli kódfuttatásra potenciálisan alkalmat adó, az Exchange 2000, 2003, 2007 összes támogatott verzióját érintő hibára, amelyet a támadó kihasználva képes lehet "Exchange Server service account" privilégiummal átvenni az irányítást az érintett rendszer felett. A javítás emellett javít egy DoS sebezhetőséget is. A részletek itt.

Hozzászólás megjelenítési lehetőségek

A választott hozzászólás megjelenítési mód a „Beállítás” gombbal rögzíthető.

zsiiir

Ha valakit érdekel... A telepítéskor szól, hogy ha nem állítom le az w3wp.exe-t (IIS), akkor reboot kellhet. Érdemes kézzel leállítani az IIS-t a patchelés előtt. Automatikusan lelövi az egész Exchange-t, patchel, újraindítja a szervizeket (amit nem, azt kézzel kell után).

--
trey @ gépház

Régóta tűnődöm azon, hogy MS hírek miért jelennek meg egy "Unix" portálon? Biztos, hogy egy MS adminnak hasznosak az infók, de kétlem, hogy ezen infókért a hupra jár :)

Nem áll szándékomban vitát gerjeszteni, mivel különösebben nem zavarnak a MS hírek, max átugrom őket csak pusztán érdekel a dolog.
--
\\-- blog --//

Nem tunt meg fel ? Fel MS Magyarorszag es a Windows adminok is ide jarnak.
Unix hasznalok kisebbsegbe kerultek.


Amit nem lehet megirni assemblyben, azt nem lehet megirni.

Annál is inkább mert a linux sem unix. :)

Vagy mondjuk vegyeshalozatokat uzemeltetnek illetve alakitanak ki es piszkosul nem mindegy, h milyen interakciokra lehet szamitani. Van egy sanda gyanum, h itt tobb ertelmes valaszt kap (mar ha a tisztelt tarsasag kepes tullepni a szuklatokorusegen) a problemajara, mint nehany "specifikus:-)" oldalon. En is leltem mar ra w32-es problema megoldasara itt, mikozben mashol nagy kuss volt a kerdesben.

Tiszta remalom, h egy biztonsagi javitasra valo felhivas megjelenhet itt!!!11111 Azonnal kovetelem Petofi 12 pontjai koze felvetetni ennek megszunteteset!

---
pontscho / fresh!mindworkz

Teljesen felesleges ún. "vegyeshálózatokról" regélni egy olyan emberfajzatnak, akinél a "Unix" Lab úgy néz ki, hogy a 4 CPU-s AlphaServerre is gentú linuxot tol...

Van HP-UX,AIX,Solaris is arra fele:)
FreeBSD meg nem Unix:), de tobbek koztt az is van. Ha adsz licenset tehetunk Alfara tru64-et vagy akarmit. (nem a 4 CPU-sra persze)

De, ha mar itt tartunk jobb helyeken kulon ember felugyel UNIX felekre meg a MaS cumoira, Es meg ezen tul is fel vannak osztva a dolgok.


Amit nem lehet megirni assemblyben, azt nem lehet megirni.

noise

Ez megfordult az én fejemben is, csak nem rémlett, hogy olvastam volna róla. De ez már csak kötözködés részemről, tessék figyelmen kívül hagyni :)
--
\\-- blog --//

Persze, hogy ide járnak. Hova járjanak? Hiszen ez is meghalt:

http://winportal.net/

--
trey @ gépház

Egy magyar nyelvu hirportalon mit keresnek kulfoldi hirek? Ennyi erovel...

Nezd, eleg sokan vannak akik hibrid rendszereket uzemeltetnek, ugyanakkor nincs idejuk egyszerre 8-10 oldal latogatasara folyamatosan. Nagyon hasznos tud lenni, ha a kedvenc oldalam mellesleg a munkamhoz szukseges hirekkel is ellat.
--

()=() Ki oda vagyik,
('Y') hol szall a galamb
C . C elszalasztja a
()_() kincset itt alant.

Ezzel csak az a baj, hogy ha valaki csak a hup-ra támaszkodik wines biztonsági- és egyéb témákban, akkor rohadt nagy gondban lesz, mert itt igen nagyon szelektiven jelennek meg a wines hirek, leginkább csak olyanok jelnnek meg amin a leki szegények elcsámcsoghatnak picit, bebüffenthetnek pár "zsíír", "deszar", "hülyebillgéc" szinvonaulú "szaktanácsot" és kész. De azoknak a hireknek amikre egy wines adminnak szüksége van 10%-a se jelenik itt meg, ami meg megjelenik annak is nagyrésze elég egyoldalúan mutatja be a helyzetet. Utóbbi egyébként nem baj, jókat lehet röhögni a hozzá nem értésen, de hogy valaki innen tájékozódjon a wint érintő újdongásokról, mert nincs ideje más oldalakat olvasni az elég gáz...

Hát lehet, hogy itt már több Windows problémára kapott értelmes szaktanácsot Windowst használó, mint a hírneves magyarországi nem létező Windows közösségtől... Nagyon kigyó.

--
trey @ gépház

LOL, mert szegény nagyon képzett linuxwinadminunk ugye csak magyarul ir-olvas. Deszar neki... :)))

Én azért körülnéznék arról a nem létező közösségről mondjuk netacademia tudástárán, blogjain, a több éve dedikált hivatalos MAGYAR (gyk.) technet fórumról nem is beszélve...

Hangosan nevettem. Egyik jobb mint a másik.

--
trey @ gépház

Persze nagyon szarok és mindenki hülye, csak a hup az igazi :)))

Mint a gyerekek.

--
trey @ gépház

Nekem is pont ez ugrott be, meg a lelki sérültek.

Ma beszéltem személyesen néhány vállalat rendszergazdájával, kivel élőszóban, kivel levélben, kivel telefonon. Nagyrészüknek fogalmuk sem volt arról, hogy patchelni kellene az Exchange szerverüket. Szóltam nekik. A néhányból kettő mondta, "ja, olvastam tegnap a HUP-on". Ha csak ketten tudták meg innen, már megérte megírni. Erről ennyit dióhéban.

--
trey @ gépház

Egy szóval nem mondtam, hogy nem kellett volna ezt megirni itt. Azt mondtam, hogy aki innen értesül wines helyzetekről az kurvára alultájékozott a témában. Az, hogy vannak idióták akik rendszereket üzemeltetnek és nincsenek minimum előfizetve a hivatalos biztonsági értesitőkre az túl sokat nem változtat a helyzeten. Mikor ez a cikk itt megjelent nálunk már rég futott vm-ben a patch tesztelése (több másik patchel egyetemben amiről itt egy szó sem hangzott el) és nincs milliárdos költségvetésünk. De ha csak azokat a patcheket tennénk fel amikről itt megjelenik valami irás, akkor többszáz patch hiányozna a szerverekről...

Ha ezt a cikket két hónap múlva tettem volna ki, akkor is mondana a környezetemben egyeseknek újat. Nem neked akarok én megfelelni, hiszen te mindenkinél gyorsabb, ügyesebb és okosabb vagy. De felesleges neked itt állandóan a melledet döngetni ezt bizonygatva. Keress a kvalitásodnak és érdeklődésednek megfelelő jól tájékoztató oldalt. Felesleges neked ide leereszkedni, informatikai analfabétákhoz.

--
trey @ gépház

javaslom scrollozz el a thread kezdetére és rájössz, hogy valóban vannak olyan emberek akik innen tájékozódnak wines témában és azt hiszik ez elegendő, nekik próbáltam egy kis világosságot gyújtani, hogy kurvára el vannak tévedve. Na ők azok akiknek nagy újdonságot tudtál mondani egy korábban megjelent patchről. Ja és persze "döngethetted a melled" hogy megmentetted a rendszerüket, ezúton is köszönöni a világ... :))

Nyugi, én nem innen tájékozódik wines témákban, én itt linuxos témákban tájékozódok és néha benézek 1-2 wines témába röhögni egy jót. Én már megtaláltam a normális wines oldalakat, adtam is néhány tippet ezekről. "Melldöngetés helyett", LOL :))

"ha csak azokat a patcheket tennénk fel amikről itt megjelenik valami irás, akkor többszáz patch hiányozna a szerverekről"

Nekunk is volt mar ilyen lyukas szerverunk, de idoben leszoktunk rola.

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

És akkor már nincs is linuxos szerveretek? Mert a linuxos patchek és a hup kapcsolatára kb pont ugyanaz érvényes mint a wines patchekre :))
Más kérdés, hogy nem is várható el, hogy a havonta többszáz linux és linuxközeli programok patcheiről itt valaki beszámoljon. Arra ott vannak az értesitők, mindkét rendszeren.

"És akkor már nincs is linuxos szerveretek?"

De, BSD meg egyeb unixok mellett. Sot, meg windows is van - a honeypotokon. :)

"Más kérdés, hogy nem is várható el, hogy a havonta többszáz linux és linuxközeli programok patcheiről itt valaki beszámoljon. Arra ott vannak az értesitők, mindkét rendszeren."

Akkor most vegulis mi a siras targya?

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

> mert nincs ideje más oldalakat olvasni az elég gáz...

Pár URL-t bekopizhatnál "amikre egy wines adminnak szüksége van" az általad folyamatosan olvasottak közül. Köszi!

lásd egyel fentebb, plusz végtelen számú hivatalos, adott téma szakértői (gyakran programozói) által irt blogok: ask the performance team, officeal sbs blog, you had me at EHLO és társai. Gugli a te barátod...

Gábor azt rak ki az oldalára amit akar.

Egyetértek.

:)

Ebben nem is kételkedem, sőt egyetértek vele.... öö izé +1 :)
--
\\-- blog --//

már megint egy linux funboy -_-
vmiért mostanság nagyon elszaporodtak :/
---
/* No comment */
Ketchup elementál megidézése a sajt síkra