Schon wieder ein neuer Sicherheits-Patch für Exchange (CVE-2020-16969)

 Kaum haben wir unsere Exchange-Umgebungen wieder sicher gemacht, indem eines der neusten CU's installiert wurde, erscheint schon wieder ein neuer Sicherheits-Patch für Exchange. Folgende Versionen sind betroffen:

• Microsoft Exchange Server 2013 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 17
• Microsoft Exchange Server 2016 Cumulative Update 18
• Microsoft Exchange Server 2019 Cumulative Update 6
• Microsoft Exchange Server 2019 Cumulative Update 7

Das Problem hat damit zu tun, wie Exchange Token validiert. Ein Angreifer, der die Sicherheitslücke erfolgreich ausnutzt, kann dies verwenden um weitere Informationen von einem Benutzer zu erhalten.

Hier die Original-Beschreibung von Microsoft:

An information disclosure vulnerability exists in how Microsoft Exchange validates tokens when handling certain messages. An attacker who successfully exploited the vulnerability could use this to gain further information from a user.

To exploit the vulnerability, an attacker could include specially crafted OWA messages that could be loaded, without warning or filtering, from the attacker-controlled URL. This callback vector provides an information disclosure tactic used in web beacons and other types of tracking systems.

The security update corrects the way that Exchange handles these token validations.

Quelle: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16969

Unter dem Link findet ihr weitere Informationen und könnt die Sicherheits-Paches herunterladen.

Der Patch kommt als *.msp und ist in etwa 160 MB gross. Während der Installation werden die Exchange Services sowie der IIS gestoppt. Es gibt also einen Dienstunterbruch um am Ende muss der Server neu gestartet werden. Bei mir hat die Installation ca. eine Stunde gedauert. Am Ende musste der Server neu gestartet werden.

Startet die Installation in einem CMD mit erhöhten Rechten und falls ihr eine Umgebung mit mehreren Exchange Servern betreibt, setzt die Server vor der Installation in den Maintenance Mode.

Exchange Sicherheits-Updates

 Gerade geht wieder durch die Fachpresse, dass es immer noch diverse Exchange Umgebungen gibt, welche dringend Sicherheitsupdates benötigen. Erstaunlich ist vor allen, dass die aktuellen Meldungen eine bekannte Sicherheitslücke betreffen, welche seit Anfang 2020 bekannt ist, seit Februar 2020 gibt es einen Patch dafür (CVE-2020-0688). Aktive Angriffe sind bekannt.

Im Sommer 2020 wurde eine weitere Sicherheitslücke bekannt. Dafür hat Microsoft im September 2020 einen Patch veröffentlicht (CVE-2020-16875).

Beide Sicherheitslücken schliesst ihr am einfachsten, indem ihr die neuesten CU's installiert.

Exchange 2019 CU7

Exchange Server 2016 CU18

Exchange Server 2013 CU23

Sicherheitslücken gibt es immer wieder. Gefährlich wird es, wenn die Lücken bekannt werden und die ersten aktiven Angriffe verzeichnet werden. Ab dann, werdet ihr nicht mehr von Hackern, sondern von Scriptkiddie angegriffen!

Nachlesen lässt sich das z.B. bei Heise: https://www.heise.de/news/Dringend-patchen-Rund-eine-viertel-Million-Exchange-Server-angreifbar-4920095.html

OWA und EAS Log Analyse

OWA Log Analyse

Die Zugriffe auf OWA lassen sich mittels der IIS Logs analysieren. Dazu kann man das MS Tool «LogParser 2.2» verwenden. Das Tool lässt sich hier herunter laden:

https://www.microsoft.com/en-us/download/details.aspx?id=24659

Arbeitsordner erstellen

Für die Analyse der IIS Logs ist es am einfachsten, zuerst mal einen Arbeitsordner zu erstellen. Danach werden dort die Logs abgelegt, welche analysiert werden sollen.

Hierarchisches Adressbuch

In grossen Organisationen stellt sich immer wieder die Frage, wie Adressbücher übersichtlich gestaltet werden sollen. Seit Exchange 2010 SP1 haben wir eine neue Funktion bekommen, welche sich «Hierarchisches Adressbuch» nennt. Das Ganze sieht wie folgt aus:

Der Aufbau eines hierarchischen Adressbuches wird über Verteilerlisten gesteuert. Diese werden ineinander verschachtelt und so gekennzeichnet, dass sie im hierarchischen Adressbuch berücksichtigt werden. Wie das geht, zeige ich anhand einer Step by Step Anleitung am Beispiel der Firma, in welcher ich arbeite. Das Ziel ist, ein hierarchisches Adressbuch aufzubauen, wie ihr es oben in der Ausbildung sehen könnt.

Mail versenden mit Alias

Hatte gerade eine Anforderung eines Kunden. Dort sollen Leute Mails wahlweise unter einem Alias versenden können anstelle unter der Standard Antwort Adresse die im Postfach konfiguriert ist. Grundsätzlich ist dies nicht möglich. Es musste also ein Workaround gefunden werden.

Als erstes habe ich natürlich daran gedacht, einfach den Alias vom Postfach zu entfernen und ein separates Postfach mit der Adresse zu erstellen. Dann gibt man noch «Vollzugriff» und «Senden als» Berechtigungen für die Person, welche die Adresse verwenden will.
Nachteil dieser Lösung ist, dass der User am Ende eine weiteres Postfach im Outlook hat und auch die gesendeten Mails werden natürlich in diesem zusätzlichen Postfach abgelegt. Diese Lösung gefiel dem Kunden nicht. Die User sollen weiterhin nur ein Postfach im Outlook haben und über die Auswahl im «Von Feld» die zweite Adresse auswählen können. Auch sollen die gesendet Mails in diesem einen Postfach abgelegt werden.

Im Internet findet man auch Lösungsansätze, die sich mit einem POP3 «dummy» Postfach behelfen. Ich wollte keine POP3 auf dem Exchange aktivieren und habe weiter nach einer bessern Lösung gesucht.

Exchange 2013 - Maintenance Mode

In einer hoch verfügbaren Exchange Organisation lassen sich einzelne Exchange Server der Organisation warten, ohne dass die User bei ihrer Arbeit gestört werden. Der Prozess, einen der Exchange Server in den Maintenance Mode zu versetzen, ist aber etwas mühsam, sprich, es sind diverse Schritte nötig. Daher liegt es auch nahe, dies mit Hilfe eines Scripts zu erledigen. Ich bin nicht wirklich der Scripter, doch es gibt ja zum Glück begnadete Scripter, welche ihre Scripts auch immer wieder mit der Welt teilen. In diesem Post will ich zeigen, wie der Prozess, einen Exchange Server in den Maintenance Mode zu versetzen, mit Hilfe der Scripts von Michael Van Horenbeeck vereinfacht werden kann.

Exchange 2013 - CU8 verfügbar

Seit dem 17.03.2015 ist das CU8 für Exchange 2013 verfügbar. Informationen dazu gibt es auf dem Exchange Team Blog.

Download: http://www.microsoft.com/en-us/download/details.aspx?id=46373

Knowledge Base Article: https://support.microsoft.com/en-us/kb/3030080

Remote Wipe oder Mobile Device Verwaltung für User deaktivieren

Seit Exchange 2010 können User ihre Mobile Devices über OWA selbst verwalten. Diese Funktion erlaubt den Usern auch für ihre Mobile Devices selbst Remote Wipes durchzuführen. Dies ist so nicht immer gewünscht und kann mittels einer OWA Mailbox Policy eingeschränkt werden.

Eine Default OWA Mailbox Policy wird bei der Installation von Exchange erstellt, diese OWA Mailbox Policy wird aber nicht automatisch auf User angewendet. Es kann also die Default OWA Mailbox Policy angepasst oder eine neue OWA Mailbox Policy erstellt werden.

Mit folgendem Befehl kann der/die Name/n der bestehenden OWA Mailbox Policy/s ausgelesenen werden:

Get-OwaMailboxPolicy |  select name

Ob einem User schon eine OWA Mailbox Policy zugewiesen ist kann mit folgenden Befehl geprüft werden:

Get-CASMailbox b.brunner | FL OWAMailboxPolicy

Um die Mobile Verwaltung für User in OWA zu unterbinden kann die OWA Mailbox Policy folgendermassen angepasst werden:

Set-OwaMailboxPolicy "Default" -ActiveSyncIntegrationEnabled:$false

Nun muss die OWA Mailbox Policy nur noch einem User zugewiesen werden:

Set-CASMailbox b.brunner -OwaMailboxPolicy "Default"

Bei der nächsten Anmeldung des Users in OWA ist der Navigationspunkt "mobile devices" nicht mehr ersichtlich.

Exchange Shell Befehle remote ausführen

Wenn Exchange Shell Befehle von einem Server ohne Exchange Installation ausgeführt werden sollen kann folgendes verwendet werden:

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://<URL virtuelles Verzeichniss Powershell>/powershell -Authentication Kerberos
Import-PSSession $Session -AllowClobber
<COMMANDS>
Remove-PSSession $Session

Exchange 2013 - Mobile Device Policy zuweisen

Um eine Mobile Device Policy mehreren Benutzern zuzuweisen können folgende Cmdlets verwendet werden:

Allen Benutzern im AD die gleiche Mobile Device Policy zuweisen:

Get-CASMailbox -ResultSize Unlimited | Where {$_.ActiveSyncMailboxPolicyIsDefaulted -eq $false} | Set-CASMailbox -ActiveSyncMailboxPolicy "My_MPR"

Allen Benutzern in einer OU eine Mobile Device Policy zuweisen:

Get-Mailbox -ResultSize Unlimited | Where {$_.OrganizationalUnit -eq "my.domain.com/iTrain/Mitarbeiter" -and $_.RecipientType -eq "UserMailbox"} | Set-CASMailbox -ActiveSyncMailboxPolicy "My_MPR"

Anmeldung an Exchange 2013 EAC mit internem Zertifikat nicht möglich

Unser gute Franky hat einen guten Blogeintrag zum Thema interne Zertifikate für Exchange 2013 verfasst: http://www.frankysweb.de/exchange-2013-san-zertifikat-und-interne-zertifizierungsstelle-ca/

Den Tipp von Franky habe ich schon oft benutzt, vor allem in Umgebungen mit einer .local Domain.

Nun habe ich bei einem Kunden mal wieder die interne CA bemüht um die CAS Kommunikation intern damit abzusichern. Nach Anleitung von Franky habe ich eine Zertifikatsvorlage erstellt und damit ein Zertifikat für die Exchange Server ausgestellt.

Nachdem wir dem Zertifikat den Dienst IIS zugewiesen haben konnten wir uns erstaunlicherweise nicht mehr an der EAC anmelden. Also haben wir über den IIS wieder das öffentliche Wildcard-Zertifikat zugewiesen. Siehe da, die Anmeldung an der EAC war wieder möglich.

Exchange Migrationen - Übernahme der internen Relay Konnektoren

Die meisten Firmen mit einer Exchange Umgebung haben auf ihren Exchange Servern spezielle Empfangs-Konnektoren konfiguriert welche es internen Systemen erlauben Mails über den Exchange Server zu senden, ohne sich authentifizieren zu müssen. Wie man solche Empfangs-Konnektoren konfiguriert habe ich ein einem früheren Blogpost erläutert: Exchange 2013 - Interner Relay Konnektor erstellen

In diesem Post will ich eine Möglichkeit aufzeigen, wie solche Konnektoren bei einer Migration einfach übernommen werden können.

In einem ersten Schritt werden die erlaubten IPs, welche den Konnektor verwenden dürfen, in eine Variable geschrieben:

$ips = (Get-ReceiveConnector "SRVEXC01\Internal Relay").RemoteIPRanges

SRVEXC01         = Name des Exchange Servers
Internal Relay     = Name des Empfangs-Konnektors

Nun kann der neue Empfangs-Konnektor über die Shell erstellt werden. Dabei werden die Remote IPs mit Hilfe der Variable eingefügt:

New-ReceiveConnector -TransportRole FrontendTransport -Name "Internal Relay" –Server "SRVEXCNEW01” -Usage Custom -AuthMechanism ExternalAuthoritative -PermissionGroups ExchangeServers,ExchangeLegacyServers,AnonymousUsers -Bindings 0.0.0.0:25 -RemoteIPRanges $ips

Welche Parameter es für das Cmdlet New-ReceiveConnector gibt ist übersichtlich auf TechNet aufgelistet: New-ReceiveConnector

Installationsprobleme Exchange 2013 - Check whether this is a valid user account

Bei der Vorbereitung einer AD für die Installation von Exchange 2013 wurde mir bei der Ausführung des Befehls "Setup /PrepareAD" folgende Fehlermeldung angezeigt:

Active Directory must be prepared with 'Setup /PrepareAD'. However, the current user account doesn't have the permissions required even though it's a member of the 'Enterprise Admins' group. Check whether this is a valid user account.

 Die Meldung ist mal wieder nicht besonders Aussagekräftig. "Du hast alles richtig gemacht aber irgendwas stimmt noch immer nicht, rate doch was es ist ;-)"

Nach längerer Suche haben wir dann das Problem gefunden. Wahrscheinlich durch ein etwas zu ambitioniertes Harding der Domäne wurde die "Default Domain Controller Policy" angepasst. Normalerweise wird über die "Default Domain Controller Policy" den Administratoren das Recht "manage auditing and security log" vergeben.

 Durch die Berechtigung der Administratoren können bei der Installation von Exchange auch die Exchange Server eingetragen werden. Bei diesem Kunden war nun die Berechtigung für Administratoren entfernt. Dies war der Grund für die Fehlermeldung. Nachdem der User, unter welchem wir Exchange installieren wollten, diese Berechtigung erhalten hat (gpudate /force) klappte die Vorbereitung der AD ohne Probleme.

Exchange ESE Performance: Spanender Blog-Post von Michel de Rooij

Wir bekommen von Microsoft bei jeder neuen Exchange Version neue Zahlen zu Performance-Verbesserung auf der DB-Seite vorgesetzt. Michel de Rooij hat sich nun mal die Mühe gemacht und die Performance von Exchange 2010 und 2013 im LAB verglichen. Hier sein äusserst spannender Blog-Post zum Thema:

http://eightwone.com/2013/12/16/exchange-storage-performance-2010-versus-2013/

Ich wünsche allen Interessierten viel Spass beim lesen.

Exchange DAG Cluster Fehler 1196 (Source Microsoft-Windows-FailoverClustering)

Normalerweise muss der Failover Cluster Manager für die Verwaltung einer DAG nicht bemüht werden. Doch wenn ich mir eine Exchange Umgebung anschaue will ich natürlich auch immer wissen ob in den Clusterereignissen Fehler zu finden sind.

Häufig treffe ich dann auf folgenden Fehler:

Protokollname:             System
Quelle:                    Microsoft-Windows-FailoverClustering
Datum:                     13.12.2013 11:50:42
Ereignis-ID:               1196
Aufgabenkategorie:         Netzwerknamenressource
Ebene:                     Fehler
Schlüsselwörter:
Benutzer:                  SYSTEM
Computer:                  EXCLAB-MBX01.mydomain.ch

Beschreibung:
Die Cluster-Netzwerknamensressource "Clustername" konnte mindestens einen dazugehörigen DNS-Namen nicht registrieren. Ursache:
Der DNS-Vorgang wurde abgelehnt.

Exchange 2013 - DAG Netzwerke für Clients und Replikation trennen

Auch unter Exchange 2013 ist es für eine DAG möglich, die Netzwerke für den Clientzugriff und die DAG Replikation zu trennen. Wie dies eingerichtet wird, zeige ich in diesem Post.

Vorbereitung

Grundsätzlich müssen die MBX Server, die Mitglied der DAG sind mal zwei Netzwerkkarten haben, um die Netze trennen zu können. Ich habe mir dazu auf dem Hyper-V Host einen privaten virtuellen Switch erstellt. Unter Hyper-V bedeutet ein privater virtueller Switch, dass nur VM's die mit dem Switch verbunden sind, miteinander kommunizieren können. Auch der Hyper-V Host selbst kommt nicht an das Netzt ran. Also also ob man zwei Hardware Server über einem Switch miteinander verbindet.

Installation kumulatives Update (CU) oder Service Packs (SP) für Exchange 2013

Die Installation von kumulativen Updates oder Service Packs für Exchange 2013 sind immer etwas speziell, da diese Updates einen Service Unterbruch oder gar ein Schema Update bedeuten. Hier möchte ich euch eine kleine Anleitung für diese Updates bieten. Bis auf weiteres kann diese Anleitung für alle CUs oder SPs verwendet werden.

Released: Exchange Server 2013 Cumulative Update 3

Am 25.11.2013 wurde das CU3 für Exchange 2013 released. Folgende Neuerungen kommen mit dem CU3:

• Nutzung von Online Rights Management Server für OnPremise Umgebungen
• Verbesserte Gruppenverwaltung in der ECP
• Verbessertes Admin Audit Logging
• Windows 8.1/IE11 sind nicht mehr auf OWA Light beschränkt.

Server 2012 R2 und Exchange

Heute habe ich in diversen Blogs gelesen, dass es nicht zu empfehlen ist Exchange (2010 oder 2013) unter Windows Server 2012 R2 zu betreiben. Soweit ich dies beurteilen kann, gibt es vor allem Probleme wenn man einen In-Place Update des OS unter dem Exchange macht. Danach war bei den meisten die Exchange Power Shell nicht mehr verfügbar und die DBs liessen sich nicht mehr mounten.

Grundsätzlich sollte man aber wissen, dass ein In-Place OS Upgrade eines Exchange Servers schon seit Exchange 2003 nicht mehr supportet ist!

Weiter ist es sicher auch wichtig, dass man sich vor der Installation anschaut, welche OS-Versionen für die Exchange-Version die man verwenden will, supportet ist:
http://technet.microsoft.com/en-us/library/ff728623(v=exchg.150).aspx

Ich betreibe im Moment eine LAB-Umgebung mit Server 2012 R2 und Exchange 2013 CU2. Dies läuft ohne Probleme. Doch ich würde dies nie in einer produktiven Umgebung einsetzen, bevor Microsoft dies nicht offiziell supportet.

Im Übrigen sollte man sich mit der Inbetriebnahme eines DCs unter Server 2012 R2 in einer Domäne mit Exchange Organisation auch noch etwas Zeit lassen, bis Microsoft auch dies offiziell supportet.

Hier noch der Link zum TechNet Blog zu dem Thema: http://blogs.technet.com/b/rmilne/archive/2013/09/17/exchange-support-for-windows-server-2012-r2.aspx

Update: Das SP1, welches im ersten Quartal 2014 erscheinen soll, wird die Unterstützung von 2012 R2 mitbringen.

DB Mounten bei DAG Problemen

Bei Problemen mit der DAG unter Exchange 2010 oder 2013 kann es dazu kommen, dass sich die Mailbox-DBs nicht mehr mounten lassen, weil die DAG nicht funktionsfähig ist. Natürlich sollte das Problem der DAG analysiert und behoben werden. Doch es kann auch der Fall auftreten, dass die DBs so schnell wie möglich wieder gemountet werden müssen und man dann in Ruhe nach dem Problem der DAG suchen kann.
Dies geht aber nicht, weil jede DB einen Master hat. In Umgebungen ohne DAG ist dies der MBX Server auf welchem die DB läuft. Wenn eine DAG erstellt wurde, wird als Master der DB die DAG eingetragen. Darum lassen sich DBs nur mounten, wenn die DAG, welche der Master ist, auch funktionsfähig ist.