Exchange 2007 Sp2 Rollup 1 ist verfügbar

Microsoft hat für Exchange 2007 Service Pack 2 das Rollup 1 zur Verfügung gestellt. Den Download findet ihr unter http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=de91f994-6263-47ef-89d7-6d344997459d im Microsoft Downloadcenter. Der zugehörige KB-Artikel mit der Liste der Änderungen ist unter http://support.microsoft.com/?kbid=971534 verfügbar.


Viel Spass bei der Installation


Viele Grüße


 


Walter Steinsdorfer

Outlook 2010 zeigt im Active Directory gespeicherte Bilder an

Schon desöfteren habe ich den Wunsch gehört das in der Globalen Adressliste ebenso wie in den eigenen Kontakten Bilder angezeigt werden können. Mit Outlook 2010 Beta besteht diese Möglichkeit endlich. Ilse von Criecking von Microsoft hat einen ausführlichen Blogartikel dazu verfasst. Da die Bilder nicht sehr groß sind dürfte sich auch in größeren Unternehmen die Replikationslast in Grenzen halten. Das Attribut im Active Directory ist übrigens schon länger vorhanden, nur Outlook hat keinen Gebrauch davon gemacht bisher.


Viele Grüße


 


Walter Steinsdorfer

Office 2010 Beta für Technet und MSDN-Abonnenten verfügbar

Microsoft hat für Technet und MSDN – Abonnenten die Beta-Version von Office 2010 bereitgestellt. Ich arbeite schon einige Zeit mit der Technical Preview und bin begeistert. Mein Download läuft gerade, ich bin sehr gespannt auf die Beta (die es übrigens nur in englischer Sprache gibt momentan).


Update: Die Beta steht inzwischen in deutscher Sprache (und anderen Sprachen) zur Verfügung.


Viele Grüße


 


Walter Steinsdorfer

Schutz vor Zero Day Exploit gegen Windows Netbios bzw. SMB

Wie an mehreren Stellen im Internet zu lesen ist (Silicon, Heise, Blog von Laurent Gaffie) gibt es eine Sicherheitslücke in der Netbios / SMB Schnittstelle von Windows. Die Lücke führt momentan nur dazu das der Rechner stehen bleibt und nur per Stromentzug zum erneuten Mitarbeiten zu bewegen ist. Die Lücke lässt sich von einer infizierten Webseite und auch remote ausnutzen, einen Patch gibt es im Augenblick nicht dagegen. Ein denkbares Angriffsscenario könnte aber sein das man auf einer Webseite ein Script auslöst das per Netbios-Broadcast alle Rechner in dem Segment lahmlegt. Das möchte natürlich niemand. Um die Gefahr zu minimieren bietet es sich an die für die Netbios-Kommunikation notwendigen Ports zu sperren und einen Wins-Server in einem anderen Netzsegment wie die Clients einzusetzen.

Konfiguration der Firewall:

Die Firewalleinstellungen sind unter "Administrative Templates, Network, Network Connections, Windows Firewall, Domain Profile" zu tätigen. Bitte prüfen Sie ob bei Ihnen die vorhandenen Netzwerke in Active Directory, Sites and Services hinterlegt sind. Nur dann erkennen die Clients das das Firewallprofil "Domain Profile" anzuwenden ist.

Um die Firewall einzuschalten sind folgende Einstellungen in den Gruppenrichtlinien zu tätigen:

"Protect all Network connections" enable

"Allow inbound remote administration exeption" disable (damit können zwar keine Clients mehr verwaltete werden über die Konsolen, aber sicher ist sicher. Evtl. können Sie hier ein Geräte bzw. eine Ip eintragen von der aus nicht im Internet gesurft wird).

"Do not allow exeptions" enabled Für den Fall das bei Ihnen jemand lokale Adminrechte hat wird ihm damit das Einschalten / Konfigurieren von Ausnahmen in der Firewall verwehrt.

"Define inbound port exeptions" enabled An dieser Stelle bitte nicht die Ports 137,138,139,445 eintragen. Damit heben Sie ansonsten die gegen das Problem getroffene Sicherheitsmaßnahme wieder auf!

Was sich leider nicht schützen läßt:

  • Domain Controller (Fileshare für Skripte und GPO´s)
  • Fileserver (Port 445 für SMB)
  • Printserver (Port 445 für SMB)
  • Exchange 2007, 2010 (File Distribution Service Exchange OAB, CCR)

Die wichtigste Maßnahme dürfte sein sich möglichst nur auf sicheren Internetseiten zu bewegen und die Benutzer für die Gefahren im Internet zu sensibilisieren.

Noch eine Anmerkung zur Veröffentlichung zu Laurent Gaffie: Normalerweise sollte die Lücke an Microsoft gemeldet und gewartet werden bis ein Patch bereitsteht um die Lücke zu schließen. Die Gefahr das mögliche Schwachstellen ausgenutzt werden vermindert sich so enorm. Leider hat Laurent Gaffie hier gegen ein ungeschriebenes Gesetz verstoßen das möglicherweise viele Admins ausbaden müssen. Sehr schade, für derartige Aktionen habe ich überhaupt kein Verständnis.

 Update: Microsoft hat ein Advisory zu dem Problem veröffentlicht: http://www.microsoft.com/technet/security/advisory/977544.mspx

Viele Grüße

 

Walter Steinsdorfer

Exchange Server Deployment Assistant

Microsoft hat mit dem Deployment Assistent für Exchange 2010 eine Webbasierte Schritt für Schritt – Anleitung herausgebracht. Damit kann man bei Exchange Installationen geordnet der Reihe nach vorgehen und auch die Migrationszenarien von Exchange 2003 auf Exchange 2010 bzw. von Exchange 2007 auf Exchange 2010 werden berücksichtigt. Momentan ist nur der Teil “Upgrade from Exchange 2003″ freigeschaltet, die anderen Teile folgen in den nächsten Tagen.


Mehr zum Deployment Assistenten gibt es auf dem Exchange Team Blog.


Viele Grüße


 


Walter Steinsdorfer

Wie viel Platten brauche ich für meine User?

Unter Exchange 2010 hat Microsoft nochmals deutliche Einsparungen was die benötigten I/O´s für die Mailboxen angeht in der Datenbank umgesetzt. So kann man jetzt auch deutlich mehr Mailboxen auf billigen und großen Sata-Festplatten hosten ohne das die Benutzer eine Outlook-Hinweismeldung erhalten. Die Frage wie viel I/O ich genau benötige wurde bisher durch den von Microsoft angebotenen Storage Calculator genau ausgerechnet. Da sich unter Exchange 2010 die Berechnungsgrundlagen deutlich geändert haben war hier eine Überarbeitung notwendig. Ross Smith IV von Microsoft hat nun auf dem Exchangeteamblog die neue Version mit einer ausführlichen Anleitung veröffentlicht. 

Viele Grüße

 

Walter Steinsdorfer

November Patchday!

Gestern hat Microsoft wieder ein neues Security Bulletin für November herausgebracht. Auch diesen Monat gibt es einige kritische Patche die so bald wie möglich eingespielt werden sollten.

MS09-63

Vulnerability in Web Services on Devices API Could Allow Remote Code Execution (973565)
This security update resolves a privately reported vulnerability in the Web Services on Devices Application Programming Interface (WSDAPI) on the Windows operating system. The vulnerability could allow remote code execution if an affected Windows system receives a specially crafted packet. Only attackers on the local subnet would be able to exploit this vulnerability.

Auf Servern die einen Webservice installiert haben unbedingt installieren!
MS09-64 Vulnerability in License Logging Server Could Allow Remote Code Execution (974783) Wer den Lizenzserver installiert hat ist gegen diese Lücke anfällig
MS09-65

Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (969947)
This security update resolves several privately reported vulnerabilities in the Windows kernel. The most severe of the vulnerabilities could allow remote code execution if a user viewed content rendered in a specially crafted Embedded OpenType (EOT) font. In a Web-based attack scenario, an attacker would have to host a Web site that contains specially crafted embedded fonts that are used to attempt to exploit this vulnerability. In addition, compromised Web sites and Web sites that accept or host user-provided content could contain specially crafted content that could exploit this vulnerability. An attacker would have no way to force users to visit a specially crafted Web site. Instead, an attacker would have to convince the user to visit the Web site, typically by getting them to click a link in an e-mail message or Instant Messenger message that takes the user to the attacker’s site.

Betrifft praktische alle Windows Versionen. Da es sich um eine Remote ausnutzbare Lücke handelt und es um den Kernel geht sollte der Patch asap eingespielt werden, insbesondere auf den Workstations und Terminalservern. Solange man auf Servern nicht surft dürfte das Problem nur eine geringe Gefahr darstellen.
MS09-66

Vulnerability in Active Directory Could Allow Denial of Service (973309)
This security update resolves a privately reported vulnerability in Active Directory directory service, Active Directory Application Mode (ADAM), and Active Directory Lightweight Directory Service (AD LDS). The vulnerability could allow denial of service if stack space was exhausted during execution of certain types of LDAP or LDAPS requests. This vulnerability only affects domain controllers and systems configured to run ADAM or AD LDS.

Denial of Service, die Domänenkontroller oder Rechner mit Adam/AD LDS müssen schnellstens gepached werden. Denkt dabei an den Edge!
MS09-67

Vulnerabilities in Microsoft Office Excel Could Allow Remote Code Execution (972652)

Excel ist verwundbar und ermöglicht Remote code Ausführung. Sollte asap  gepached werden.
MS09-68 Vulnerability in Microsoft Office Word Could Allow Remote Code Execution (976307) Remote ausnutzbare Lücke in Microsoft Word, auch diese sollte asap gepached werden.

Mehr Informationen gibt es in den weiterführenden Links des Security Bulletins oder auf dem Blog des Microsoft Security Response Centers .

 

Happy Patching

 

Viele Grüße

 

Walter Steinsdorfer

Exchange 2010 ist verfügbar

wie Microsoft auf der Teched bekannt gegeben hat ist Exchange 2010 jetzt allgemein verfügbar. Mehr Informationen gibt es zum Beispiel auf Daniel Melanchthons Blog.

Ich durfte die Entwicklung von Exchange 2010 seit einigen Monaten mitverfolgen und finde es ist ein großartiges Produkt geworden. Ich freue mich schon auf die ersten “produktiven” Installationen.

Viele Grüße

 

Walter Steinsdorfer