Microsoft Exchange Server Güvenlik Güncellemesi (SU) paketlerini yeniden yayınladı. Özgün sürümün (8/8/2023’te yayınlanan) İngilizce olmayan bir işletim sistemi üzerinde çalışan Exchange Server’da bir yerelleştirme sorunu nedeniyle kurulumun beklenmedik bir şekilde durmasına ve Exchange hizmetlerinin devre dışı bırakılmasına neden olduğu belirtildi.
Gerekli eylemleri anlamanıza yardımcı olmak için, orijinal Ağustos 2023 SU ile yeniden yayımlanan arasında ayrım yapmak üzere aşağıdaki adlandırma kuralını kullanırız:
- Ağu SUv1: orijinal Ağustos 2023 SU (yayınlanma tarihi: 8/8/2023)
- Ağu SUv2: Ağustos 2023’te yeniden yayımlandı SU (8.15.2023’te yayımlandı)
Güncellenmiş SUs, yerelleştirme sorununu çözerken, bu sorundan etkilendiyseniz ve özgün sürümü yüklemek için geçici bir çözüm uyguladıysanız, harekete geçmeniz gerekmektedir. Harekete geçmeniz gereken durumları anlamanıza yardımcı olmak için aşağıdaki tablo oluşturulmuştur:
| Ağustos SUv1 ise… | Ve siz… | O zaman, yapmalısınız … |
| … herhangi bir sorun veya sorun olmadan manuel olarak kurulduysa | (düzeltici bir eyleme gerek yoktu) | İsteğe bağlı olarak Ağustos SUv2’yi yükleyin veya daha sonraki SU’ları yükleyin (piyasaya sürüldüğünde) |
| … herhangi bir sorun veya sorun olmadan otomatik olarak yüklendi (Microsoft / Windows Update) | (düzeltici bir eyleme gerek yoktu) | Ağu SUv2 otomatik olarak indirilecektir. Daha sonraki SU’ları yükleme (yayımlandığında) |
| … Kurulum sırasında başarısız oldu ve Exchange hizmetlerini devre dışı bıraktı | … ServiceControl.ps1 AfterPatch (veya başka yollarla) kullanarak Exchange hizmetlerini yeniden başlattınız, ancak Ağu SUv1’i yüklemediniz | Ağustos SUv2’yi ve ardından sonraki SU’ları yükleme (yayımlandığında) |
| … Kurulum sırasında başarısız oldu ve Exchange hizmetlerini devre dışı bıraktı | … ServiceControl.ps1 AfterPatch (veya başka yollarla) kullanarak Exchange hizmetlerini yeniden başlattınız ve el ile bir “Ağ Hizmeti” hesabı oluşturmak için geçici çözümü kullandınız ve ardından Ağustos SUv1’i yüklediniz | 1. Ağu SUv1’i kaldırın ve yeniden başlatın 2. Manuel olarak oluşturulan “Ağ Servisi” hesabını kaldırın (hala varsa) 3. Ağustos SUv2’yi ve ardından sonraki SU’ları yükleme (yayımlandığında) |
| … yüklenmedi/hiç yüklenmedi | … Exchange sunucunuzu güncel tutmak istiyorsanız | Ağustos SUv2’yi ve ardından sonraki SU’ları yükleme (yayımlandığında) |
İndirme bağlantıları, Ağustos 2023 SU duyuru blog gönderisinde güncellenmiştir.
Released: August 2023 Exchange Server Security Updates – Microsoft Community Hub
Ağustos 2023 SUv2’ye güncellendikten sonra ortamınızda yapmanız gereken ek eylemler için lütfen özgün sürüm blog gönderisine bakın. Her zaman Exchange Sağlık Denetleyicisini çalıştırmalısınız, böylece ek adımların gerekip gerekmediğini bilebilirsiniz.
Sıkça Sorulan Sorular
Orjinal Aug SUv1’i manüel olarak yükledik ve hiçbir sorun yaşamadık. Aug SUv2’yi yüklememiz gerekiyor mu? Hayır. Orjinal sürümü (Aug SUv1) manüel olarak yükleyen ve hiç hata almadan kurulumu tamamlayan ortamlarda, Aug SUv2’nin yüklenmesi isteğe bağlıdır.
Orjinal Aug SUv1’i Microsoft / Windows Güncelleme yoluyla yükledik ve hiçbir sorun yaşamadık. Sunucumuz otomatik olarak Aug SUv2’yi yükleyecek mi? Evet. Yeniden yayınlanan Ağustos SU paketinin sürümü, orjinal Ağustos SU sürümünden daha yüksektir ve Windows Güncellemesi yoluyla güncellemeleri alan sunucular otomatik olarak yeni yeniden yayınlanan sürümü alacaktır.
Aug SUv2 ve Aug SUv1 güncelleme paketleri arasındaki farklar nelerdir? Ağustos 2023 SU paketinin orijinal sürümü ile yeniden yayınlanan sürümü arasındaki tek fark, orijinal sürümün İngilizce olmayan işletim sistemi sunucularında başarısız olmasına neden olan yerelleştirme sorununun çözülmesidir. Başka değişiklikler yok. Orjinal sürüm blog gönderisi, CVE’ler ve sonrasında önerilen eylemler hala geçerlidir.
Eğer Aug SUv1’i önerdiğimiz geçici çözümü takip ederek yükledik ve önerildiği gibi kaldırmazsak ne olur? İngilizce olmayan bir işletim sistemi üzerinde Exchange Server çalıştırıyorsanız ve sadece Aug SUv1’i önerdiğimiz geçici çözümü takip ederek yükleyebildiyseniz, Aug SUv1’i kaldırmalısınız. Eğer Aug SUv1’i kaldırmazsanız, makinede yüklü olan CU sürümüne uygulanan gelecekteki herhangi bir SU ile sahte “Network Service” hesabının gerekliliği devam edecektir.
Diğer bir deyişle: Geçici çözümü kullanıp Aug SUv1’i kaldırmazsanız ama “Network Service” sahte hesabını silerseniz, Aug SUv2’nin (veya sonraki SUs’nin) kurulumu Aug SUv1’deki gibi aynı davranışla başarısız olacaktır.
Eğer Aug SUv1’i kaldırmamız gerekiyorsa, bu daha önce aldığımız CVE-2023-21709 eylemlerine herhangi bir etkisi olacak mı? Hayır. CVE-2023-21709’u manüel olarak ya da sunduğumuz script’i kullanarak ele almak, Ağustos 2023 SU paketinin kurulumuyla doğrudan ilgili değildir. Aug SUv1’i kaldırsanız bile, CVE-2023-21709’u ele almak için yaptığınız her şeyi tekrar yapmanız gerekmez. Kalan Ağustos 2023 CVE’leri Ağustos SU paketine bağlıdır ve Aug SUv2’yi (veya sonrasında yayınlanan SUs’yi) yüklemek bunları ele alacaktır. Eğer CVE-2023-21709’u henüz ele almadıysanız, bunu herhangi bir zamanda yapabilirsiniz.