KB3000483 zusätzliche Schritte notwendig

[tesso 360]

Nur den Patch hilft installieren hilft nicht. Es müssen weitere Schritte unternommen werden.

Genaueres in den unten stehenden Links.

 

http://www.heise.de/newsticker/meldung/Sicherheitsluecke-in-Gruppenrichtlinien-Mit-dem-Patchen-allein-ist-es-nicht-getan-2550209.html

https://support.microsoft.com/kb/3000483

[cenobite 10]

Hat das schon jemand hier umgesetzt?

[NorbertFe 1.810]

Oh, hat dann doch auch mal jemand gelesen was das Problem war und festgestellt, dass man nicht alles nur mit Einspielen eines Hotfixes lösen kann? ;)

 

Achja, falls jemand wieder mal über Spiegel.de stolpert und die reißerische Schlagzeile liest:

http://www.spiegel.de/netzwelt/gadgets/microsoft-windows-update-stopft-15-jahre-alte-sicherheitsluecke-jasbug-a-1017854.html

 

Es sollte nach lesen des MS Artikels https://support.microsoft.com/kb/3000483/en klar sein, dass der Patch allein nicht ausreicht, sondern dann auch die entsprechenden Gruppenrichtlinien konfiguriert werden müssen. Ansonsten hat man zwar den Patch, aber die Lücke weiterhin offen. Nicht, dass ich soviel Info in einem Spiegel-Artikel zu lesen erwarte, aber gibt ja genügend die solche Dinge rumschicken. ;)

Bye

Norbert

 

PS: Klar sollte man das konfigurieren, wenn man keine alten Systeme mehr hat, aber ich denke dieses Angriffsszenario ist schon "sehr speziell", als dass davon die breite Masse betroffen sein dürfte. ;)

[daabm 1.187]

Ich zitiere mal Ned:

 

We recommend you patch all Windows and Windows Server computers, regardless of SKU or role, in your entire domain environment. These updates only change behavior from a client (as in “client-server distributed system architecture”) standpoint, but all computers in a domain are “clients” to SYSVOL and Group Policy; even the DCs themselves.

 

Regardless of known attacks, now that these updates are out, the world’s lowlifes will start looking at this vector now. You should patch ASAP.

[NorbertFe 1.810]

Jupp sollte man einfach als Standard einstellen. Wer noch alte dcs hat, hat sowieso ein Problem und Clients ist's soweit ich Ned verstanden hab egal, wenn sie zu alt sind.

[Emmermacher 15]

Hallo.

 

Zu dem Einstellungen, die noch vorgenommen werden sollen habe ich eine Frage an Euch.

Wie verhalten sich Eure Systeme, wenn statt einer Freigabe auf einem Windowsserver ein Storagesytem wie Netapp angesprochen werden soll?

RequireMutualAuthentication= 1

RequireIntegrity= 1

RequirePrivacy= 1

 

Wie stellt man das am besten ein, damitman auch auf die CIFS-Shares kommt?

 

Wir nutzten hier eine Netapp FAS2020 A mit Ontap 7.3.2 gegen Windows 2008 R2 DCs. Eine neuere Ontap-Version werden wir nicht mehr installieren, da das System dieses Jahr noch getauscht werden soll.

 

Vielen DAnk im voraus für Eure Antworten.

 

LG

 

Dirk Emmermacher

[matze-it 10]

Ich würde die Einstellung für einen einzelnen Client umsetzen und das dann erstmal in Ruhe testen....

[daabm 1.187]

Wenn die Netapp voll in die Domäne integriert ist und Kerberos unterstützt ("MutualAuthentication" erzwingt Kerberos!), dann gibt es kein Problem. Aber wie schon geschrieben: Das kannst Du auf einem Testrechner ganz einfach mal aktivieren (klappt sogar ohne Reboot) und den Zugriff testen.

 

Wenn ich aufgrund Deiner Frage raten soll: Nein, Kerberos wird nicht unterstützt, und dann ist der Zugriff nicht mehr möglich :D

[Emmermacher 15]

Hallo.

 

Herzlichen Dank für Eure Antworten. Dann werde ich mal testen. Probleme würde ich hier nicht ausschließen. Die Cifs-Shares auf der Netapp arbeiten zwar, aber auf den DCs tauchen regelmäßig Fehlermeldungen der Authentifizierung der Netapps auf. W2K8 R2 und Ontap 7.3.2 passen hier leider nicht mehr optimal zueinander. Als 7.3.2 noch aktuell war, gab es vermutlich max. W2k8. Wir haben auch einen W2k12 R2 Server im Einsatz. Hier musste ich schon reichlich die Sicherheitseinstellungen verändern, damit ein Zugriff auf die Netapp möglich wurde...

 

LG

 

Dirk