Barracuda: Patchen hilft nicht, kauft lieber gleich neue Geräte
Von wegen geschickt programmiert!!! Die haben sowas von geschlampt und es ist ad-hoc nicht mal patchbar, sonst würden sie jetzt nicht zum Kontakt mit Support und Austausch der Hardware auffordern! (Wer den Austausch dann zahlt wird nicht disclosed - wär aber meiner Meinung nach ein Thema der Herstellergewährleistung, ungeachtet der genauen Ausgestaltung des Supportvertrags!)
Durch bestimmt benannte .tar-Anhänge lassen sich ungeprüfte Befehle in einem Perl-Interpreter im System- bzw. Root-Kontext ausführen!!! All jene die halbwegs mit Security zu tun haben können ermessen, was das bezüglich Nicht-Härtung/Schlamperei bedeutet! Unsanitized Input auf einem Sicherheitsprodukt in so banaler Weise ist echt unpackbar.
Siehe auch die Erläuterungen von Pau1 auf BornCity - außerdem nutzen sie scheinbar auf den Appliances nicht mal gängige Mechanismen wie RBL, DKIM & Co - nur um Statistiken aufzubessern und bandbreitenbezogen (scheinbar ein Volumensmodell) dem Kunden mehr Geld aus der Tasche ziehen zu können!
Die CloudGen-Firewall funktioniert sicherheitstechnisch glücklicherweise besser, aber ich kann Euch sagen, wenn man sich dort den konzeptionellen Umgang/das Verständnis des Herstellers bezüglich dem Tausch von CA-Zertifikaten anschaut - dann könnte man Depressionen bekommen; alle anderen haben gescheckt, dass man parallel ein neues Zertifikat einspielt um eine sanfte Umstellung/Auslaufen bis zum Ablauf des alten Zertifikats zu haben; aber nein, bei der Barracuda sind CA-Zertifikate mit gleichem CN ident und dürfen nicht gleichzeitig importiert werden!!! Wer sich einigermaßen mit Zertifikaten auskennt, liegt jetzt im Koma! Da gibt's ein paar mehr Parameter die Zertifikate unterscheiden, Ausstellungsdatum, Seriennumer, Schlüsselkennung/öffentlicher Schlüssel, Thumbprint, ... Also ich sehe das softwareentwicklungstechnisch als Fakt, dass die mitunter bei Barracuda nicht alle Steine auf der Schleuder haben! Was bei einem Hersteller von Sicherheitsprodukten, wo höchste Qualitätsstandards und Expertise Anwendung finden sollten, echt peinlich ist!
https://www.borncity.com/blog/2023/06/08/barracuda-email-security-gateway-appliance-esg-sofort-austauschen/
Kommentare
13
Kommentare
geschrieben
6
Antworten
erhalten
9
Likes
erhalten
Barracuda: Patchen hilft nicht, kauft lieber gleich neue Geräte
Von wegen geschickt programmiert!!! Die haben sowas von geschlampt und es ist ad-hoc nicht mal patchbar, sonst würden sie jetzt nicht zum Kontakt mit Support und Austausch der Hardware auffordern! (Wer den Austausch dann zahlt wird nicht disclosed - wär aber meiner Meinung nach ein Thema der Herstellergewährleistung, ungeachtet der genauen Ausgestaltung des Supportvertrags!)
Durch bestimmt benannte .tar-Anhänge lassen sich ungeprüfte Befehle in einem Perl-Interpreter im System- bzw. Root-Kontext ausführen!!! All jene die halbwegs mit Security zu tun haben können ermessen, was das bezüglich Nicht-Härtung/Schlamperei bedeutet! Unsanitized Input auf einem Sicherheitsprodukt in so banaler Weise ist echt unpackbar.
Siehe auch die Erläuterungen von Pau1 auf BornCity - außerdem nutzen sie scheinbar auf den Appliances nicht mal gängige Mechanismen wie RBL, DKIM & Co - nur um Statistiken aufzubessern und bandbreitenbezogen (scheinbar ein Volumensmodell) dem Kunden mehr Geld aus der Tasche ziehen zu können!
Die CloudGen-Firewall funktioniert sicherheitstechnisch glücklicherweise besser, aber ich kann Euch sagen, wenn man sich dort den konzeptionellen Umgang/das Verständnis des Herstellers bezüglich dem Tausch von CA-Zertifikaten anschaut - dann könnte man Depressionen bekommen; alle anderen haben gescheckt, dass man parallel ein neues Zertifikat einspielt um eine sanfte Umstellung/Auslaufen bis zum Ablauf des alten Zertifikats zu haben; aber nein, bei der Barracuda sind CA-Zertifikate mit gleichem CN ident und dürfen nicht gleichzeitig importiert werden!!! Wer sich einigermaßen mit Zertifikaten auskennt, liegt jetzt im Koma! Da gibt's ein paar mehr Parameter die Zertifikate unterscheiden, Ausstellungsdatum, Seriennumer, Schlüsselkennung/öffentlicher Schlüssel, Thumbprint, ... Also ich sehe das softwareentwicklungstechnisch als Fakt, dass die mitunter bei Barracuda nicht alle Steine auf der Schleuder haben! Was bei einem Hersteller von Sicherheitsprodukten, wo höchste Qualitätsstandards und Expertise Anwendung finden sollten, echt peinlich ist!
https://www.borncity.com/blog/2023/06/08/barracuda-email-security-gateway-appliance-esg-sofort-austauschen/
Microsoft SQL Server läuft künftig auch auf Linux & die Hölle friert zu
@Knarzi81: Nachtrag:
"In Exchange 2013, the Managed Store is the name of the newly rewritten Information Store processes, Microsoft.Exchange.Store.Service.exe and Microsoft.Exchange.Store.Worker.exe. The new Managed Store is written in C# and tightly integrated with the Microsoft Exchange Replication service (MSExchangeRepl.exe) to provide higher availability through improved resiliency. In addition, the Managed Store has been architected to enable more granular management of resource consumption and faster root cause analysis through improved diagnostics."
https://technet.microsoft.com/en-us/library/jj150540(v=exchg.150).aspx#BKMK_Mail
Microsoft SQL Server läuft künftig auch auf Linux & die Hölle friert zu
@Knarzi81: Es ist schwer nachzuzählen, aber 80-90 % der DLLs und EXEn im Bin-Ordner sind Managed Assemblies und auch so benannt, siehe:
http://pastebin.com/cwvXG7Pg
Microsoft SQL Server läuft künftig auch auf Linux & die Hölle friert zu
@Knarzi81: Die sqlservr.exe von SQL 2014 ist wohl noch immer native, während im Exchange 2007 (Mail-Server) schon angefangen wurde, .NET zu verwenden ... vielleicht noch nicht durchgängig, die store.exe scheinbar nicht, aber im Exchange 2013 ist der Store-Service-Part auch schon eine .NET-Assembly ...
Was ich hier auf die Schnelle nicht feststellen kann ist, ob es sich vielleicht um C++/CLI-Code handelt.
(Tool: JetBrains dotPeek)
Black Hat zeigt Man-in-the-Middle-Angriff per Windows-Server-Update
@Gast11962: Aha, "arbeitsscheue Admins" - vielleicht können Sie uns erleuchten, wie man bei ca. 550 PCs und Laptops dann einen regelmäßigen Patchzyklus sicherstellt? 1-2 Admins nur für "Adidas Deployment" einstellen, damit die dann hoffentlich bis zum nächsten Patchday fertig sind? Vielleicht müssen die dann auch noch alle Hotfixes separat herunterladen, weil WindowsUpdate nicht vertrauenswürdig ist? Abgesehen davon sind vertrauenswürdige Hotfix-Downloads nicht immer leicht zu finden, weil nicht alle im Update Catalog oder Support-Bereich zu finden sind. Und wie kommen Sie auf die Abhängigkeiten, dass auf PC1 Hotfix X, Y, Z und auf PC2 Hotfix U, V, X benötigt wird?
Oder alle Hotfixes in einer Software-Verteilung einzeln paketieren - auch ne lustige Beschäftigung - und die oben genannten Probleme mit Abhängigkeiten usw. bleiben trotzdem. Es sei denn, Sie haben eine Software-Verteilung die einen eigenständigen Patch-Mechanismus bietet - ich kenne ein Produkt, aber selbst die klinken sich lieber in einen WSUS ein, weil Sie autark über die wsusscan.cab nicht alle Updates liefern können.
Von Reporting, wo welche Updates installiert sind oder noch fehlen habe ich noch gar nicht angefangen.
Sie glauben wohl auch, Admins hätten sonst nichts zu/keinen Druck mit anderen Projekten und Tätigkeiten.
Windows 10: So kommt man bei vergessenem Passwort ins System
Das ist der Grund, warum man BIOS-Kennwörter vergibt und die Boot-Order umstellt, sodass man nicht oder nur mit Passwort von Wechseldatenträgern booten kann :-) Ich kann genauso ein Linux/FreeBSD offline mit Live-DVD/Stick "hacken" indem ich mir die passwd/shadow vorknöpfe. Da hilft sonst nur noch geli/Bitlocker/TrueCrypt, auch gegen clear CMOS - sofern Key/PIN nicht mit dem Gerät verstaut wird :-)
Ansonsten wenn jemand mal physikalisch Zugriff hat, ist das nun mal ne heiße Angelegenheit :-)
Windows 10 Build 10240 Release Notes: Kaum Bugs in der "Final"
Fakt 1: Nicht nur Großkunden und OEM sondern auch Windows Insider (also Windows-10-Testinstallationen) haben die 10240 erhalten.
Fakt 2: Vieles lässt sich eher aus der Feedback-App heraus lesen, wobei vieles eher Anregungen/Wünsche sind. Ein konkreter Bug ist jedoch, dass das "Unpin" von Ordnern im Quick Access nicht funktioniert. Ansonsten sehe ich noch viel Verbesserungspotenzial im Edge-Browser von der Oberfläche her (z. B. Save As, Save Target As, PDF-Plugin Zoom/Print Buttons, ...).
Mozilla wettert gegen Standard-App-Regelung in Windows 10
Ich sage nur so viel: Ich hatte gerade den gleichen Dialog bei Microsofts hauseigenem "Skype for Desktop" ...
Windows 10 ist kein 'kostenloses Upgrade', sondern Marketing-'Trick'
@BitDoctor: Da muss ich jetzt snoopi und 0711 beipflichten!
OEM-Version ist nicht gleich OEM-Version!
Wenn ich einen Laptop, PC, ... von einem OEM-Hersteller kaufe, mit einem vorinstalliertem Windows, dann handelt es sich dabei um eine Verbindung der Windows-Lizenz mit dem BIOS über ein Zertifikat. Wer dann Windows frisch von fremden Datenträgern/Test-ISOs installiert, wird dann bei der Eingabe des Keys blöd schauen - man kann/muss nämlich dann über slmgr.vbs /ilc ein passendes OEM-Zertifikat (.xrm-ms) installieren, dann kann man das Ding auch in sich wieder aktivieren. Man muss auch bei so einer OEM-Maschine normal keine Reaktivierungen vornehmen weil das über den Konnex mit dem BIOS läuft.
Die zweite Geschichte sind sogenannte Systembuilder-Lizenzen (SB), was landläufig auch als OEM verstanden wird - die kann man aufgrund der Rechtslage soweit ich weiß in der DACH-Region frei (entbündelt) von der Hardware erwerben und da hat man natürlich einen Key, den man auch nach einem Hardware-Wechsel weiterverwenden kann. Um eine Aktivierung kommt man aber nicht umhin und Wechsel innerhalb zu kurzer Zeiträume lassen bei MS die Alarmglocken schrillen. Da muss man dann mitunter mit einem/einer MS-Mitarbeiter/in telefonisch sprechen.
Abgesehen davon müsste man rechtlich auch bei SB den Product Key auf das Gehäuse kleben und dann sind die zwei verheiratet - der aufgeklebte Product Key ist der Produktnachweis und hier ist ein Transfer nicht vorgesehen. Wobei man ja bei einem "Defekt" dann durchaus das Innenleben tauschen und reaktivieren kann, wenn es in Maßen bleibt.
https://de.wikipedia.org/wiki/Software_Licensing_Description_Table
MOMO7W für 46 Euro: Das billigste Windows 8.1-Tablet bisher
Naja, eines der günstigsten Varianten im europäischen Raum ist wahrscheinlich dieses hier mit Gratiszustellung (wenn man der Problematik chinesische Produkte ausweichen will, was man meiner Meinung nach auch sollte):
http://www.microsoftstore.com/store/mseea/de_AT/pdp/productID.308686500?icid=tablet_modA_HPStream_07112014
Da ich das Tablet nicht besitze, kann ich sonst nicht viel Aussage drüber treffen. Reizen würde es mich zwar, aber ich habe eh schon genug Technik-Zeugs und zu wenig Zeit :-)