Aktuelle Sicherheitslücken

bzw. die Logs durchsuchen (sofern aktiviert) ob jemand mit "powershell.*autodiscover\.json" versucht hat auf den Exchange zu kommen.

<Path_IIS_Logs> .. zB. c:\inetpub\logs\LogFiles

Code:

Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern "powershell.*autodiscover\.json.*\@.*200"

Anschließend: im IIS einpflegen

ich würd einen deutschen exchange sofort installieren wenn der zu 100% eingedeutscht wäre, wenn dein OWA nicht mehr OWA heißt sondern AussichtNetzwerkZugriff, bist vermutlich vor 99,9% aller Angriffe allein dadurch "geschützt" dass die meisten vermutlich nur auf english URI gehen.

Zitat aus einem Post von userohnenamen

mir graust ja wenn ich da einen deutschen exchange seh
scnr

.. ist nicht meiner, Bild ist aus dem Internet

Geiler Freitag, so ca. 20 onprem Kunden haben wir schon auch noch... "Wir müssen jetzt dann mal neu starten, sorry, besser wärs nicht zu warten, CU noch nicht drauf, oje bissl mehr Zeit Einplanen .. sowas brauchst an einem Freitag wo ned nur Monats-, sondern auch Quartalsende is... Wundert mich halt nur nicht mehr.. btw danke für den hint, heute war ich mal schneller als der Kollege mit den heise news

Danke für die Info.

Zitat

Microsoft hat den Beitrag Customer Guidance for Reported Zero-day Vulnerabilities in Microsoft Exchange Server zum 2. Oktober 2022 um folgende Hinweise ergänzt:
Added to the Mitigations section: we strongly recommend Exchange Server customers to disable remote PowerShell access for non-admin users in your organization. Guidance on how to do this for single user or multiple users is here.

.. was spricht dagegen?

Zitat

By default, all user accounts have access to remote PowerShell.

Warum?! -.-

Zitat aus einem Post von mr.nice.

Spricht nichts dagegen, man muss nur etwas aufpassen, dass man sich als Admin nicht selbst aussperrt von der Exchange Powershell, wenn man das PS Remoting benötigt und es für alle Benutzer abdreht.

... sobald ein neuer User angelegt wird, bekommt dieser jedoch wieder "powershell-access" ..