Ausgehende Mails in Quarantaine

[achberger]

Hallo,

obwohl unter E-Mailfilter > Anhang > Einstellungen die Option "Ausgehende E-Mails filtern" deaktiviert ist, sind ausgehende Mails mit ZIP-Anhang (ca. 5MB) in der Quarantaine gelandet, ohne dass der lokale Absender informiert wurde. Da es sich um eine Terminsache handelte, ging das ums Haar schief.



Gibt es noch weitere Einstellungen, die ich evtl. übersehen habe?

Einstellungen "E-Mailfilter > Anhang > Einstellungen" siehe Anhang. Der Absender ist in der Gruppe "Alle", "Alle" hat unter Rechte die Standard-Filterliste zugeordnet.

[Gerd von Egidy]

Hallo,

ging die Email wirklich nur an externe Empfänger oder wurde die Email gleichzeitig per CC oder BCC auch an einen lokalen Empfänger gesendet?

Wurde die Email über eine Verteilerliste oder Weiterleitungsfunktion des Intranators kopiert oder weitergeleitet?

Herzliche Grüße,

v. Egidy

[achberger]

Hallo Herr v. Egidy,

Nein, die Mails wurden jeweils aus Entourage an einen externen Empfänger versendet. Verteilerliste oder Weiterleitungsfunktion des Intranators waren dabei nicht im Spiel.

hier finden Sie die anonymisierten Mail-Header der 3 Mails:



X-Quarantine-ID: <7pooJeDrW3BP>
X-Spam-Status: No, score=-308.799 tag=x tag2=5 kill=x
tests=[ALL_INTERNAL=-200, ALL_TRUSTED=-2, BAYES_00=-8,
HTML_MESSAGE=0.001, I2N_CLIENT_IS_AUTH=-99, MIME_QP_LONG_LINE=0.2]
autolearn=Intranator
X-Spam-Level: 0
Received: from mail.absenderdomain.de ([127.0.0.1])
by localhost (intranator.net.lan [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id 7pooJeDrW3BP for <empfaenger@empfaengerdomain.de>;
Wed, 29 Sep 2010 10:14:00 +0200 (CEST)
Received: from [198.168.1.160] (unknown [198.168.1.160])
(Authenticated sender: smtp-auth-user)
by mail.absenderdomain.de (Postfix) with ESMTPA id DF8BA17834
for <empfaenger@empfaengerdomain.de>; Wed, 29 Sep 2010 10:13:58 +0200 (CEST)
User-Agent: Microsoft-MacOutlook/14.0.0.100825
Date: Wed, 29 Sep 2010 10:13:57 +0200
Subject: Subject-Text
From: Lokaler Absender <absender@absenderdomain.de>
To: <empfaenger@empfaengerdomain.de>
Message-ID: <C8C8C1E4.38BD%absender@absenderdomain.de>
Thread-Topic: Subject-Text
Mime-version: 1.0
Content-type: multipart/mixed;
boundary="B_3368600039_1367662"

> This message is in MIME format. Since your mail reader does not understand
this format, some or all of this message may not be legible.
...



X-Quarantine-ID: <GKTnxjHxnV76>
X-Spam-Status: No, score=-308.799 tag=x tag2=5 kill=x
tests=[ALL_INTERNAL=-200, ALL_TRUSTED=-2, BAYES_00=-8,
HTML_MESSAGE=0.001, I2N_CLIENT_IS_AUTH=-99, MIME_QP_LONG_LINE=0.2]
autolearn=Intranator
X-Spam-Level: 0
Received: from mail.absenderdomain.de ([127.0.0.1])
by localhost (intranator.net.lan [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id GKTnxjHxnV76 for <empfaenger@empfaengerdomain.de>;
Wed, 20 Oct 2010 11:54:08 +0200 (CEST)
Received: from [192.168.1.14] (stgt-5f702fe1.pool.mediaWays.net [95.112.47.225])
(Authenticated sender: smtp-auth-user)
by mail.absenderdomain.de (Postfix) with ESMTPA id B9CF51782C
for <empfaenger@empfaengerdomain.de>; Wed, 20 Oct 2010 11:53:25 +0200 (CEST)
User-Agent: Microsoft-MacOutlook/14.0.0.100825
Date: Wed, 20 Oct 2010 11:53:24 +0200
Subject: FW: Subject-Text
From: Lokaler Absender <absender@absenderdomain.de>
To: Nadine Erben <empfaenger@empfaengerdomain.de>
Message-ID: <C8E488A9.4560%absender@absenderdomain.de>
Thread-Topic: Subject-Text
In-Reply-To: <C8D2352E.3CD9%absender@absenderdomain.de>
Mime-version: 1.0
Content-type: multipart/mixed;
boundary="B_3370420406_1392776"

> This message is in MIME format. Since your mail reader does not understand
this format, some or all of this message may not be legible.

--B_3370420406_1392776
...




X-Quarantine-ID: <W3I5Pq6RTa-Q>
X-Spam-Status: No, score=-308.799 tag=x tag2=5 kill=x
tests=[ALL_INTERNAL=-200, ALL_TRUSTED=-2, BAYES_00=-8,
HTML_MESSAGE=0.001, I2N_CLIENT_IS_AUTH=-99, MIME_QP_LONG_LINE=0.2]
autolearn=Intranator
X-Spam-Level: 0
Received: from mail.absenderdomain.de ([127.0.0.1])
by localhost (intranator.net.lan [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id W3I5Pq6RTa-Q for <empfaenger@empfaengerdomain.de>;
Wed, 6 Oct 2010 14:16:18 +0200 (CEST)
Received: from [198.168.1.160] (unknown [198.168.1.160])
(Authenticated sender: smtp-auth-user)
by mail.absenderdomain.de (Postfix) with ESMTPA id E6E391782C
for <empfaenger@empfaengerdomain.de>; Wed, 6 Oct 2010 14:16:16 +0200 (CEST)
User-Agent: Microsoft-MacOutlook/14.0.0.100825
Date: Wed, 06 Oct 2010 14:16:15 +0200
Subject: Subject-Text
From: Lokaler Absender <absender@absenderdomain.de>
To: "empfaenger@empfaengerdomain.de" <empfaenger@empfaengerdomain.de>
Message-ID: <C8D2352E.3CD9%absender@absenderdomain.de>
Thread-Topic: Subject-Text
Mime-version: 1.0
Content-type: multipart/mixed;
boundary="B_3369219377_20127884"

> This message is in MIME format. Since your mail reader does not understand
this format, some or all of this message may not be legible.

--B_3369219377_20127884
...

[Gerd von Egidy]

Hallo,

Sie haben ja die Standard-Filterliste auch auf "Alles erlaubt" gestellt. Wenn sich hinter diesem Namen nicht etwas anderes verbirgt, haben Sie den Anhangfilter also eigentlich sowieso auf "Durchzug" gestellt.

Ich könnte mir daher also vorstellen, daß die Ursache gar nicht der Anhangfilter ist. Wenn der Intranator eine Email abbekommt, bei der Emailscanner aus irgendeinem Grund abbricht, wird diese auch in die Anhangquarantäne gestellt.

Wir sollten verifizieren ob das bei dieser Email der Fall ist und wenn ja warum. Dies können wir am besten in der maillog-Protokolldatei des Intranators sehen (Information > System > Logdateien).

Sie können einen Ausschnitt (z.B. 20.10. 11:53 bis 11:55 Uhr) komplett hier ins Forum stellen. Allerdings ist das dann natürlich für jedermann sichtbar. Alternativ können Sie gerne auf unserer Webseite unter Support-Anfrage ein Support-Ticket erstellen und uns dann die Logdatei als Email-Anhang zukommen lassen.

Herzliche Grüße,

v. Egidy

[achberger]

Hallo Herr v. Egidy,

das scheint ein Treffer gewesen zu sein. Hier der Auszug aus dem Log:

Oct 20 11:54:08 crewmail amavis[31598]: (31598-04) LMTP::10024 /var/spool/vscan/amavis/amavis-20101020T114708-31598: <lokal@absenderdomain.de> -> <extern@empfaengerdomain.de> SIZE=4193623 Received: from mail.absenderdomain.de ([127.0.0.1]) by localhost (intranator.net.lan [127.0.0.1]) (amavisd-new, port 10024) with LMTP for <extern@empfaengerdomain.de>; Wed, 20 Oct 2010 11:54:08 +0200 (CEST)
Oct 20 11:54:09 crewmail amavis[31598]: (31598-04) Checking: GKTnxjHxnV76 [1.2.3.4] <lokal@absenderdomain.de> -> <extern@empfaengerdomain.de>
Oct 20 11:54:11 crewmail amavis[31598]: (31598-04) run_av (F-Secure Antivirus): UNSCANNED - unexpected exit 9, output="F-Secure Security Platform version 2.10 build 9306\nCopyright (c) 1999-2008 F-Secure Corporation. All Rights Reserved.\n\nScan started at Wed Oct 20 11:54:10 2010\nDatabase version: 2010-10-20_04\n\np003: ERROR: Bad archive\np026: ERROR: Bad archive\n\nScan ended at Wed Oct 20 11:54:11 2010\n16 files scanned\n2 files could not be scanned"

Dass die Mail in der Quarantäne landet, ohne dass jemand etwas davon mitbekommt, ist natürlich etwas ungeschickt. Gibt es hierfür eine Lösung?

Die Dateien wurden übrigens mit dem Mac-Archivierungsprogramm erstellt.


Viele Grüße
Jürgen Achberger

[Gerd von Egidy]

Hallo,

das eine Archivdatei nicht gescannt werden kann und dann in dieser Form abgebrochen wird kommt normal nur bei Übertragungsfehlern etc. vor. Das ist daher ein Fall für den Administrator. Daher wird bei solchen Emails eine Warnung an den Administrator versendet.

Enthält die von Ihnen versendete Archivdatei vertrauliche Daten? Oder können Sie uns eine solche Archivdatei mit harmlosen Daten erstellen die genauso den Virenscanner durcheinanderbringt?

Ich würde eine solche Datei gerne an unseren Antivirus-Hersteller zur Analyse und Produktverbesserung weitergeben.

Wenn Sie dazu bereit wären, legen Sie bitte auf unserer Webseite unter Support-Anfrage ein Support-Ticket an, verweisen Sie auf diesen Forumseintrag und senden uns dann die betroffene Datei per Email.

Herzliche Grüße,

v. Egidy

[achberger]

Hallo Herr v. Egidy,

ich eröffne ein Ticket und sende Ihnen 3 eml-Dateien zu, die ich aus der Quarantaine heruntergeladen habe.


Viele Grüße
Jürgen Achberger

[achberger]

Hallo Zusammen,

ich habe gerade bemerkt, dass das Problem seit mindestens einer Woche wieder auftritt. Das ist sehr ärgerlich, da die Postmaster Mails (Administrator) nicht regelmäßig gecheckt werden. Wurde das F-Secure-Modul nicht in der Zwischenzeit aktualisiert? Ich möchte nur ungern den Virenscanner bei den Mails deaktivieren.

Viele Grüße
Jürgen Achberger

[Thomas Jarosch]

Hallo Herr Achberger,

ich habe gerade bemerkt, dass das Problem seit mindestens einer Woche wieder auftritt. Das ist sehr ärgerlich, da die Postmaster Mails (Administrator) nicht regelmäßig gecheckt werden. Wurde das F-Secure-Modul nicht in der Zwischenzeit aktualisiert? Ich möchte nur ungern den Virenscanner bei den Mails deaktivieren.

Ursprünglich wollten wir den Virenscanner im 5.3.6 Update aktualisieren. Durch die vielen Sicherheitsupdates hat sich das leider verschoben. Das Update des Virenscanners ist einer der nächsten Punkte auf der Roadmap.

Herzliche Grüße,
Thomas Jarosch