Prefilter Anlagen nach Dateiformat abweisen ohne Funktion

CK_beats

Hallo zusammen,
vielleicht könnt ihr mir Licht ins Dunkel bringen, warum die “Globalen Prefilter” bei mir ohne Funktion sind.
Es geht darum, dass wir als Dateianhänge nur Bild-, Video- und PDF-Dateien akzeptieren möchten. Keine Office-Dokumente etc.

Dies wurde in der Admin-Konsole unter “E-Mail -> Konfiguration -> Filter -> Prefilter” für das entsprechende Postfach gemäß Vorlage definiert:

require ["reject","body","regex"];
if anyof (body :raw :regex ["filename=\".*\\.(doc|exe|bat|vbs|xls|sh|docx|odt|svg|flac|wav|avi|mkv|pptjs|ai|ld|eps|cdr|psd|flv|m3u|acc|ogg|svg|apk|ipa|sys|bin|log|csv|css|docm|dotx|dotm|docb|dot|wbk|xlt|xlm|xlsx|xla|xlam|xll|xlw|oft|ost|pst|pot|pps|ppa|pptx|pptm|potx|docx|potm|ppam|ppsx|ppsm|sldx|sldm|pub|accde|accdb)\""]) {
  reject text:
Lieber E-Mail Sender,
die von Ihnen versendete E-Mail an uns enthält leider eine Datei, die von unserem System blockiert wird. 
Wir können aus Sicherheitsgründen KEINE Office-Dateien annehmen. 
Bitte versenden Sie als Bilddatei oder PDF!
Vielen Dank!
.
;
}

Dateiformat *.docx wurde explizit aufgenommen, E-Mail wird aber ganz normal verarbeitet.
RspamD reagiert überhaupt nicht auf diese Anweisung.
Die Nachricht wurde zwar in die Quarantäne verschoben, jedoch aufgrund anderer Flags.

Habe ich hier etwas falsch gemacht in der Einrichtung des Prefilters?

Viele Grüße
Onkel Costa

stefan21

email Sender in whitelist?

CK_beats

stefan21
Keinerlei Sender Whitelists vorhanden. Auch in den Benutzer-Postfächern nicht.
SPAM / HAM etc. werden komplett global für die ganze Domäne bzw. den kompletten Server gesteuert.

stefan21

Vielleicht mal hier konfigurieren:

data/conf/rspamd/local.d/mime_types.conf

"###############################################################################
"# MIME Types configuration for Rspamd
"# Compatible with Outlook, Mailbird, Thunderbird, and other major email clients
"###############################################################################
-snip-
"# Dangerous files inside archives (high penalty)
bad_archive_extensions = {
bat = 12,
cmd = 12,
exe = 20,
jar = 12,
js = 12,
vbs = 20,
msi = 12,
};
-snip-
"# Forbidden MIME types
forbidden_type {
application/x-msdownload = 1;
application/x-executable = 1;
application/x-dosexec = 1;
application/x-bat = 1;
application/x-cmd = 1;
application/javascript = 1;
application/x-javascript = 1;
application/x-sharedlib = 1;
application/java-archive = 1;
application/x-msi = 1;
application/x-iso9660-image = 1;

"# Safe MIME types that Outlook sometimes mislabels
application/octet-stream = 0; # critical: allows generic binaries like zip, docx, pdf
application/x-zip-compressed = 0; # critical for Outlook/Mailbird to attach zip files
};
-snip-

CK_beats

stefan21
Danke für den Tipp.
Hier hatte ich aber schon eine Änderung vorgenommen:

bad_extensions = {
  apk = 4,
  appx = 4,
  appxbundle = 4,
  bat = 20,
  cab = 20,
  cmd = 20,
  com = 20,
  dmg = 8,
  exe = 20,
  jar = 12,
  jnlp = 12,
  js = 12,
  jse = 12,
  lnk = 20,
  mjs = 12,
  msi = 12,
  msix = 12,
 msixbundle = 12,
  ps1 = 12,
  scr = 20,
  sct = 20,
  vb = 20,
  vbe = 20,
  vbs = 20,
  py = 12,
  reg = 12,
  doc = 12,
  docx = 12,
  xls = 12,
  xlsx = 12,

Wurde leider ebenfalls ignoriert. Im RspamD-Log war überhaupt keine Reaktion auf diese Einstellungen zu finden.

CK_beats

Update:
Gerade ist ein E-Mail mit einer Excel-Tabelle eingetroffen.
Eigentlich hätte diese verweigert werden müssen.
Im RspamD-Log ist aber nun folgendes zu finden:
call to (MIME_TYPES_CALLBACK) failed (2): /usr/share/rspamd/plugins/mime_types.lua:337: bad argument #2 to 'insert_result' (number expected, got table); trace: [1]:{[C]:-1 - insert_result [C]}; [2]:{/usr/share/rspamd/plugins/mime_types.lua:337 - check_extension [Lua]}; [3]:{/usr/share/rspamd/plugins/mime_types.lua:427 - check_filename [Lua]}; [4]:{/usr/share/rspamd/plugins/mime_types.lua:468 - <unknown> [Lua]};

Kann es sein, dass in der mime_types.conf ein Fehler ist ( = fehlt):

# Dangerous files inside archives (high penalty)
bad_archive_extensions = {
  bat = 12,
  cmd = 12,
  exe = 20,
  jar = 12,
  js = 12,
  vbs = 20,
  msi = 12,
  sys = 20,
  bin = 20,
};

# Forbidden MIME types
forbidden_type {
  application/x-msdownload = 1;
  application/x-executable = 1;
  application/x-dosexec = 1;

Zwischen forbidden_type = {

CK_beats

Hallo zusammen,
ich habe mich jetzt endlich um das Thema nicht erwünschte Dateianhänge gekümmert.
Es funktioniert wie folgt:

rm -f /opt/mailcow-dockerized/data/conf/rspamd/local.d/mime_types.conf
rm -f /opt/mailcow-dockerized/data/conf/rspamd/local.d/mime_types_group.conf

Alte Konfigurationsdateien löschen. Funktionieren nicht, da falsch codiert.

Eine neue Datei mit den unerwünschten Dateitypen erstellen:
/opt/mailcow-dockerized/data/conf/rspamd/local.d/banned_extensions.map
Inhalt (eine Endung pro Zeile, fügen Sie hier alle Office- oder Skriptformate hinzu, die Sie blockieren möchten).

exe
bat
cmd
com
msi
js
vbs
scr
lnk
jar
docx
xlsx
pptx
doc
xls
apk
appx
appxbundle
cab
diagcfg
diagpack
DMG
ex
ex_
img
jar
jnlp
js
jse
lnk
mjs
MSI
msix
msixbundle
ps1
scr
vbe
vbs
vhd
py
reg
scf
vhdx
pptx
xlsx
sh
odt
svg
flac
wav
avi
mkv
pptjs
ai
ld
eps
cdr
psd
flv
m3u
acc
ogg
svg
ipa
sys
bin
log
csv
css
docm
dotx
dotm
docb
dot
wbk
xlt
xlm
xlsx
xla
xlam
xll
xlw
oft
ost
pst
pot
pps
ppa
pptx
pptm
potx
potm
ppam
ppsx
ppsm
sldx
sldm
pub
accde
accd

Eine neue Datei hier erstellen:
/opt/mailcow-dockerized/data/conf/rspamd/local.d/multimap.conf

Inhalt:

BANNED_FILE_EXTENSION {
  type = "filename";
  filter = "extension";
  map = "$LOCAL_CONFDIR/local.d/banned_extensions.map";
  symbol = "BANNED_FILE_EXTENSION";
  score = 50.0;
  description = "Unerwünschte Dateiendung im Anhang oder Archiv";
}

Docker neu starten: docker compose restart rspamd-mailcow

Ergebnis:

Die Mail wurde in die systemeigene Quarantäne verschoben und kann dort auch wieder released werden, falls benötigt und Dateiinhalt persönlich als sicher eingestuft.

Wer auch unterbinden möchte, dass gesperrte Dateien nach außen verschickt werden dürfen:
Erstellen oder bearbeiten Sie die Datei: /opt/mailcow-dockerized/data/conf/rspamd/local.d/settings.conf

Inhalt:

# Verhindert, dass die Dateiprüfung bei authentifizierten Benutzern übersprungen wird
force_actions {
  BANNED_FILE_EXTENSION {
    action = "reject"; # oder "add header" / "rewrite subject", falls gewünscht
    expression = "BANNED_FILE_EXTENSION";
  }
}