clamav defekte signatur

[Andreas Wass - Glas Gasperlmair]

Hallo Liste!

Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber seit
heute morgen haben wir massive Probleme mit ein und ausgehenden Mails.
Alle werden in Quarantäne gestellt:

May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
(Win.Exploit.CVE_2019_0903-6966169-0) {RejectedInternal,Quarantined},
ORIGINATING LOCAL ...

Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich ein
whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
hinbekomme auf Centos 7.6.18.10.
Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und amavisd
neu gestartet:
Win.Exploit.CVE_2019_0903-6966169-0
CVE_2019_0903-6966169-0

Aber es funktioniert nicht.
Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
whitlisten von Signaturen konfigurieren kann?

Viele Grüße, Andi

[J. Echter]

Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:

> Hallo Liste!
>
> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber seit
> heute morgen haben wir massive Probleme mit ein und ausgehenden Mails.
> Alle werden in Quarantäne gestellt:
>
> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
> (Win.Exploit.CVE_2019_0903-6966169-0) {RejectedInternal,Quarantined},
> ORIGINATING LOCAL ...
>
> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich ein
> whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
> hinbekomme auf Centos 7.6.18.10.
> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
> whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und
> amavisd neu gestartet:
> Win.Exploit.CVE_2019_0903-6966169-0
> CVE_2019_0903-6966169-0
>
> Aber es funktioniert nicht.
> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
> whitlisten von Signaturen konfigurieren kann?
>
> Viele Grüße, Andi

Hi Andi,

war bei mir dasselbe, habe dann den Server neu gestartet dann hat er das
whitelisting geschluckt.

Viele Grüsse

Jürgen

[Andreas Wass - Glas Gasperlmair]

Hallo Jürgen!

Vielen Dank für deine Antwort.
Kannst du mir noch folgende Fragen beantworten:
1.) Hast du auch CentOS?
2.) Wo genau hast du die Datei erstellt
3.) Wie genau muss die Datei heißen?
4.) Wie lautet der Inhalt der Datei?

Vg, Andi

Am 27.05.2019 um 09:27 schrieb J. Echter:

> Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:
>> Hallo Liste!
>>
>> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber seit
>> heute morgen haben wir massive Probleme mit ein und ausgehenden Mails.
>> Alle werden in Quarantäne gestellt:
>>
>> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
>> (Win.Exploit.CVE_2019_0903-6966169-0) {RejectedInternal,Quarantined},
>> ORIGINATING LOCAL ...
>>
>> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich ein
>> whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
>> hinbekomme auf Centos 7.6.18.10.
>> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
>> whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und
>> amavisd neu gestartet:
>> Win.Exploit.CVE_2019_0903-6966169-0
>> CVE_2019_0903-6966169-0
>>
>> Aber es funktioniert nicht.
>> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
>> whitlisten von Signaturen konfigurieren kann?
>>
>> Viele Grüße, Andi
>
> Hi Andi,
>
> war bei mir dasselbe, habe dann den Server neu gestartet dann hat er
> das whitelisting geschluckt.
>
> Viele Grüsse
>
> Jürgen
>

[J. Echter]

Hallo Andi,

ich habe eine /var/lib/clamav/whitelist.ign2 mit folgendem Inhalt:

Win.Exploit.CVE_2019_0903-6966169-0

ich habe noch benutzer:gruppe angepasst, in meinem Fall: amavis:clamupdate

Viel Erfolg

Jürgen

Am 27.05.19 um 09:37 schrieb Andreas Wass - Glas Gasperlmair:

> Hallo Jürgen!
>
> Vielen Dank für deine Antwort.
> Kannst du mir noch folgende Fragen beantworten:
> 1.) Hast du auch CentOS?
> 2.) Wo genau hast du die Datei erstellt
> 3.) Wie genau muss die Datei heißen?
> 4.) Wie lautet der Inhalt der Datei?
>
> Vg, Andi
>
> Am 27.05.2019 um 09:27 schrieb J. Echter:
>> Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:
>>> Hallo Liste!
>>>
>>> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber
>>> seit heute morgen haben wir massive Probleme mit ein und ausgehenden
>>> Mails.
>>> Alle werden in Quarantäne gestellt:
>>>
>>> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
>>> (Win.Exploit.CVE_2019_0903-6966169-0)
>>> {RejectedInternal,Quarantined}, ORIGINATING LOCAL ...
>>>
>>> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich ein
>>> whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
>>> hinbekomme auf Centos 7.6.18.10.
>>> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
>>> whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und
>>> amavisd neu gestartet:
>>> Win.Exploit.CVE_2019_0903-6966169-0
>>> CVE_2019_0903-6966169-0
>>>
>>> Aber es funktioniert nicht.
>>> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
>>> whitlisten von Signaturen konfigurieren kann?
>>>
>>> Viele Grüße, Andi
>>
>> Hi Andi,
>>
>> war bei mir dasselbe, habe dann den Server neu gestartet dann hat er
>> das whitelisting geschluckt.
>>
>> Viele Grüsse
>>
>> Jürgen
>>
>

[J. Echter]

ups vergessen, ja auch CentOS. :

Am 27.05.19 um 09:37 schrieb Andreas Wass - Glas Gasperlmair:

> Hallo Jürgen!
>
> Vielen Dank für deine Antwort.
> Kannst du mir noch folgende Fragen beantworten:
> 1.) Hast du auch CentOS?
> 2.) Wo genau hast du die Datei erstellt
> 3.) Wie genau muss die Datei heißen?
> 4.) Wie lautet der Inhalt der Datei?
>
> Vg, Andi
>
> Am 27.05.2019 um 09:27 schrieb J. Echter:
>> Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:
>>> Hallo Liste!
>>>
>>> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber
>>> seit heute morgen haben wir massive Probleme mit ein und ausgehenden
>>> Mails.
>>> Alle werden in Quarantäne gestellt:
>>>
>>> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
>>> (Win.Exploit.CVE_2019_0903-6966169-0)
>>> {RejectedInternal,Quarantined}, ORIGINATING LOCAL ...
>>>
>>> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich ein
>>> whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
>>> hinbekomme auf Centos 7.6.18.10.
>>> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
>>> whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und
>>> amavisd neu gestartet:
>>> Win.Exploit.CVE_2019_0903-6966169-0
>>> CVE_2019_0903-6966169-0
>>>
>>> Aber es funktioniert nicht.
>>> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
>>> whitlisten von Signaturen konfigurieren kann?
>>>
>>> Viele Grüße, Andi
>>
>> Hi Andi,
>>
>> war bei mir dasselbe, habe dann den Server neu gestartet dann hat er
>> das whitelisting geschluckt.
>>
>> Viele Grüsse
>>
>> Jürgen
>>
>

[Andreas Wass - Glas Gasperlmair]

Hallo Jürgen!

Komisch, so wie es zur Zeit aussieht, aussieht genügt ein reload oder
restart von amavisd tatsächlich nicht.
Mal sehen, ob ich den Server Mittag neu starten kann.

Vielen Dank vorerst

Am 27.05.2019 um 09:40 schrieb J. Echter:

> ups vergessen, ja auch CentOS. :
>
> Am 27.05.19 um 09:37 schrieb Andreas Wass - Glas Gasperlmair:
>> Hallo Jürgen!
>>
>> Vielen Dank für deine Antwort.
>> Kannst du mir noch folgende Fragen beantworten:
>> 1.) Hast du auch CentOS?
>> 2.) Wo genau hast du die Datei erstellt
>> 3.) Wie genau muss die Datei heißen?
>> 4.) Wie lautet der Inhalt der Datei?
>>
>> Vg, Andi
>>
>> Am 27.05.2019 um 09:27 schrieb J. Echter:
>>> Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:
>>>> Hallo Liste!
>>>>
>>>> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber
>>>> seit heute morgen haben wir massive Probleme mit ein und
>>>> ausgehenden Mails.
>>>> Alle werden in Quarantäne gestellt:
>>>>
>>>> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
>>>> (Win.Exploit.CVE_2019_0903-6966169-0)
>>>> {RejectedInternal,Quarantined}, ORIGINATING LOCAL ...
>>>>
>>>> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich
>>>> ein whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
>>>> hinbekomme auf Centos 7.6.18.10.
>>>> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und eine
>>>> whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt und
>>>> amavisd neu gestartet:
>>>> Win.Exploit.CVE_2019_0903-6966169-0
>>>> CVE_2019_0903-6966169-0
>>>>
>>>> Aber es funktioniert nicht.
>>>> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
>>>> whitlisten von Signaturen konfigurieren kann?
>>>>
>>>> Viele Grüße, Andi
>>>
>>> Hi Andi,
>>>
>>> war bei mir dasselbe, habe dann den Server neu gestartet dann hat er
>>> das whitelisting geschluckt.
>>>
>>> Viele Grüsse
>>>
>>> Jürgen
>>>
>>

[Andreas Wass - Glas Gasperlmair]

Hallo Jürgen!

Neustart des Servers war nicht notwendig sondern nur ein Neustart vom
clamav Dienst.

"systemctl restart clamd@amavisd"

Vielen Dank nochmal für deine rasche Hilfe.
Vg, Andi

Am 27.05.2019 um 10:00 schrieb Andreas Wass - Glas Gasperlmair:

> Hallo Jürgen!
>
> Komisch, so wie es zur Zeit aussieht, aussieht genügt ein reload oder
> restart von amavisd tatsächlich nicht.
> Mal sehen, ob ich den Server Mittag neu starten kann.
>
> Vielen Dank vorerst
>
> Am 27.05.2019 um 09:40 schrieb J. Echter:
>> ups vergessen, ja auch CentOS. :
>>
>> Am 27.05.19 um 09:37 schrieb Andreas Wass - Glas Gasperlmair:
>>> Hallo Jürgen!
>>>
>>> Vielen Dank für deine Antwort.
>>> Kannst du mir noch folgende Fragen beantworten:
>>> 1.) Hast du auch CentOS?
>>> 2.) Wo genau hast du die Datei erstellt
>>> 3.) Wie genau muss die Datei heißen?
>>> 4.) Wie lautet der Inhalt der Datei?
>>>
>>> Vg, Andi
>>>
>>> Am 27.05.2019 um 09:27 schrieb J. Echter:
>>>> Am 27.05.19 um 09:14 schrieb Andreas Wass - Glas Gasperlmair:
>>>>> Hallo Liste!
>>>>>
>>>>> Ich glaub ich bin ev. nicht ganz richtig hier in der Liste, aber
>>>>> seit heute morgen haben wir massive Probleme mit ein und
>>>>> ausgehenden Mails.
>>>>> Alle werden in Quarantäne gestellt:
>>>>>
>>>>> May 27 08:40:26 mail amavis[20192]: (20192-11) Blocked INFECTED
>>>>> (Win.Exploit.CVE_2019_0903-6966169-0)
>>>>> {RejectedInternal,Quarantined}, ORIGINATING LOCAL ...
>>>>>
>>>>> Habe clamav in der amavisd.conf mittlerweile deaktiviert, da ich
>>>>> ein whitelisten der Signatur CVE_2019_0903-6966169-0 einfach nicht
>>>>> hinbekomme auf Centos 7.6.18.10.
>>>>> Laut Anleitungen im Internet haben wir eine whitelist.ign2 und
>>>>> eine whitelist-local.ign2 angelegt mit folgendem Inhalt erstellt
>>>>> und amavisd neu gestartet:
>>>>> Win.Exploit.CVE_2019_0903-6966169-0
>>>>> CVE_2019_0903-6966169-0
>>>>>
>>>>> Aber es funktioniert nicht.
>>>>> Habt ihr Lösungsvorschläge wie ich auf unserem Centos 7.6.18.10
>>>>> whitlisten von Signaturen konfigurieren kann?
>>>>>
>>>>> Viele Grüße, Andi
>>>>
>>>> Hi Andi,
>>>>
>>>> war bei mir dasselbe, habe dann den Server neu gestartet dann hat
>>>> er das whitelisting geschluckt.
>>>>
>>>> Viele Grüsse
>>>>
>>>> Jürgen
>>>>
>>>
>