Nieuws
Kestrel dicht kritiek lek in Kestrel Firewall
Illustratie bij dit bericht.
Kestrel heeft een beveiligingsupdate uitgebracht voor Kestrel Firewall die kritiek kwetsbaarheid verhelpt. Beheerders wordt aangeraden de update met voorrang uit te rollen.
De kwetsbaarheid is gemeld door een externe onderzoeker en werd via een gecoordineerd traject afgehandeld. Details worden pas over enkele weken openbaar gemaakt.
Reactie
Volgens de leverancier bevindt het probleem zich in de verwerking van gebruikersinvoer. Een aanvaller kan daardoor bestanden buiten de opslagmap benaderbaar waren.
Organisaties die de update niet direct kunnen installeren, kunnen het getroffen onderdeel tijdelijk uitschakelen. Dat kost wel functionaliteit.
19 reacties
Weer een dinsdag, weer een patchronde. Bij ons gaat dit gelukkig automatisch.
Fijn dat de details pas later komen, dat geeft beheerders even lucht.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Precies dit. Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
CVSS 9.8 en dan geen automatische update. Dat is in 2026 echt niet meer uit te leggen aan je klanten.
Dit is precies waarom segmentatie zo belangrijk is. Eén lek betekent dan niet meteen het hele netwerk.
Dat is te kort door de bocht. Ik heb het hier net getest en kan het bevestigen.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Goed punt, maar Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Eens, met een kanttekening: De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Dat valt in de praktijk tegen. Formeel klopt het, praktisch schiet je er weinig mee op.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Reageren kan na registratie.
Inloggen
Meer nieuws