Event id 40968 Server neustart

[MrC00l 10]

Hallo allerseits,

 

da mein Windows 2003 Server unerwartet neu gestartet hat bin ich auf folgenden Fehler im Ereignissprotokoll gestoßen:

 

Ereignistyp: Warnung

Ereignisquelle: LSASRV

Ereigniskategorie: SPNEGO (Vermittlung)

Ereigniskennung: 40968

Datum: 14.09.2005

Zeit: 19:53:10

Benutzer: Nicht zutreffend

Computer: NTSRV01

Beschreibung:

Das Sicherheitssystem hat eine Authentifizierungsanforderung empfangen, die nicht decodiert werden konnte. Die Anforderung ist fehlgeschlagen.

 

Im Web habe ich leider nicht viel dazu gefunden. Bin aber auf folgendes gestossen:

 

http://www.derkeiler.com/Mailing-Lists/Securiteam/2004-04/0058.html

 

Zeitlich würde es natürlich passen, da ich am Tag zuvor in unser $FW das Exchange Webmail für den Zugriff von aussen aufgemacht habe. Hat jemand schonmal ähnliches erlebt ?. Weiß jemand Rat ?. Habe auf jeden Fall den Webmail zugriff vorerst wieder geschlossen.

 

Grüße

MrC00l

[MrC00l 10]

*push

[MrC00l 10]

Ereignistyp: Fehler

Ereignisquelle: Winlogon

Ereigniskategorie: Keine

Ereigniskennung: 1015

Datum: 18.09.2005

Zeit: 15:46:49

Benutzer: Nicht zutreffend

Computer: NTSRV01

Beschreibung:

Ein kritischer Systemprozess C:\WINDOWS\system32\lsass.exe ist fehlgeschlagen mit den Statuscode c0000354. Der Computer muss neu gestartet werden.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

 

Würde denke ich Dazu passen:

 

[QOUTE]When a carefully crafted SPNEGO NegTokenInit request is sent, a null

pointer reference error might occur in LSASRV.DLL, resulting in LSASS.EXE

crash. This will make all the operations related to system authentication

(such as remote access to SMB share, or interactive local login)

unavailable. For Windows 2003, it will result in automatic shutting off or

bluescreen

 

Werde die Situation weiter beobachten

 

Grüße

MrC00l

[zahni 587]

Sind *ALLE* Sicherheitsupdates und Servicepacks in Windows 2003 und Exchange instaliert ? Ohne SP kann so ein Fehler u.U. bei bestimmten LDAP-Queries auftreten.

 

Siehe http://support.microsoft.com/search/default.aspx?qu=c0000354+lsass&catalog=LCID%3D1033

 

Wenn ja, sieht das nach einen Sicherheitsproblem aus. Ich würde da einen Case bei MS aufmachen.

 

-Zahni