Neu JTL Unicorn - Warnung vom BSI

[x86]

Hallo Leute,

ich kann nicht sagen ob wir die einzigen sind, aber wir haben die Tage eine Meldung vom BSI erhalten
mit einer Warnung zu offenen MSSQL Ports, diese sind zwar von außen bei uns generell erreichbar
aber ansonsten per PKI abgesichert. Nun erreicht uns allerdings eine Mail mit folgendem Inhalt

Sehr geehrte Damen und Herren,

MS-SQL ist der SQL-Server von Microsoft, welcher einen Browserdienst
mitbringt, der standardmäßig auf Port 1434/udp lauscht.
Wird der Zugriff aus dem Internet auf diesen Dienst nicht unterbunden,
können Angreifer dies ausnutzen, um Informationen über das Netzwerk
auszuspähen, in dem der SQL-Server betrieben wird. Weiterhin kann
der Dienst für DDoS-Reflection-Angriffe gegen IT-Systeme Dritter
missbraucht werden.

Nachfolgend senden wir Ihnen eine Liste betroffener Systeme in Ihrem
Netzbereich. Der Zeitstempel (Zeitzone UTC) gibt an, wann auf dem
jeweiligen System ein offener Browserdienst identifiziert wurde.

Wir möchten Sie bitten, den Sachverhalt zu prüfen und Maßnahmen zur
Absicherung der MS-SQL Server Browserdienste auf den betroffenen
Systemen zu ergreifen bzw. Ihre Kunden entsprechend zu informieren.

Falls Sie kürzlich bereits Gegenmaßnahmen getroffen haben und diese
Benachrichtigung erneut erhalten, beachten Sie bitten den angegebenen
Zeitstempel. Wurde die Gegenmaßnahme erfolgreich umgesetzt, sollten
Sie keine Benachrichtigung mit einem Zeitstempel nach der Umsetzung
mehr erhalten.

Weitere Informationen zu dieser Benachrichtigung, Hinweise zur
Behebung gemeldeter Sicherheitsprobleme sowie Antworten auf häufig
gestellte Fragen finden Sie unter:

Diese E-Mail ist mittels PGP digital signiert. Informationen zu dem
verwendeten Schlüssel finden Sie unter vorgenannter URL.

Bitte beachten Sie:
Dies ist eine automatisch generierte Nachricht. Antworten an die
Absenderadresse werden NICHT gelesen
und automatisch verworfen. Bei Rückfragen wenden Sie sich bitte
unter Beibehaltung der Ticketnummer [CB-Report#...] in der
Betreffzeile an .

Format: ASN | IP address | Timestamp (UTC) | Version | Server Name | Instance Name
31400 | IP.X.X.X.X.X.X | 2017-04-02 05:58:09 | 12.0.2000.8 | WIN-XXXXXXXX | UNICORN21

Die IP Adresse, sowie den Servernamen haben wir maskiert.
Nun kenne ich Unicorn zwar aber nicht was für Dienste eine laufende Instanz beansprucht, offensichtlich nutzt dieser einen von außen erreichbaren Browserdienst, den unsere anderen Schnittstellen nicht benötigen, der wie o.g. auf Port 1434 lauscht. Wenn Unicorn 2 gekillt wird, existiert laut Ticketnachfrage dieses Problem nichtmehr.
Und ja, unsere MSSQL Datenbank (nicht der Browserdienst) müssen von außen ansprechbar sein.

Kann sich jemand von Marcos Software dazu äußern?

Grüße

 

[marcos software]

Servus,

bei so konkreten Fragen bitte am besten immer direkt an uns wenden (support@marcos-software.de), wir lesen nicht 24/7 hier im Forum mit und könnten uns sonst direkt telefonich an dich wenden, was das Problem (in dem Fall das offene Scheunentor) schneller löst / schließt

Also:
Wir öffnen keine Ports und lauschen auch auf keine mit unseren Diensten.
Natürlich kommunizieren wir mit dem Endpunkten der APIs, aber das öffnet dir nichts lokal, sondern spicht nur extern an.
Port 1434 scheint mir auch eher ein Port einer MSSQL Instanz zu sein. Bitte prüfen daher doch einmal, ob (naheliegend) die UNICORN SQL Instanz bei dir auf Port 1434 erreichbar ist (oder eben eine andere SQL Instanz).
Wir selbst vergeben keinen festen Port bei der Installation des SQL Instanz (Standard SQL Instanz), sondern lassen es im default dynamisch. Natürlich kannst du (und solltest du, wenn dein PC von außen erreichbar ist) den Port auf einen eben nicht SQL typischen Port abändern (und damit von dynamisch auf fest ändern) (und per Firewall von außen blockieren, zumal auf die unicorn SQL Instanz eh keiner von außen zugreifen muss).

Bitte gib mir kurz eine Rückmeldung ob es das war und falls nicht, schreib am besten direkt an support@marcos-software.de mit Verweis auf den Thread hier.

PS:

Und ja, unsere MSSQL Datenbank (nicht der Browserdienst) müssen von außen ansprechbar sein.

Dann wirst du natürlich immer solche Warnungen bekommen, da diese nur nach offenen Ports suchen. Was ja grundsätzlich nicht falsch ist, für eben Kommunikation auf die SQL Instanz von außen ist es ja nötig, was du ja auch schreibst. Nur für unsere Instanz braucht es das eben nicht, daher kannst du getrost hier den Port ändern von außen blockieren.

Gruß,
Marc