Onafhankelijk sinds 2004security & privacy, elke werkdag
Nieuws

Duizenden Duinstate Portaal-systemen vanaf internet bereikbaar

Illustratie bij dit bericht.

Uit een inventarisatie blijkt dat duizenden systemen met Duinstate Portaal rechtstreeks vanaf het internet bereikbaar zijn, waaronder honderden in Nederland.

Het gaat vooral om systemen waarvan de beheerinterface bewust of per ongeluk open is gezet.

Wat er precies gebeurde

Eigenaren van de systemen worden via hun provider geinformeerd.

Een deel van de gevonden systemen draait een versie waarvoor al maanden een update beschikbaar is.

Onderwerpen: kwetsbaarheidbeheer
15 reacties
Anoniem  vrijdag 26 augustus 2022, 15:29   +3
Shodan is een deprimerende manier om je dag te beginnen.
Erik van Straten expert  vrijdag 26 augustus 2022, 16:34   +0
Providers die hun klanten waarschuwen: dat werkt echt, blijkt keer op keer.
Overvloed  vrijdag 26 augustus 2022, 22:14   +1
Dank voor het artikel. Kort, concreet en met bronvermelding, precies wat je wil lezen op een vrijdagmiddag.
hans_  vrijdag 26 augustus 2022, 23:07   +0
Dat is te kort door de bocht. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
johanw  vrijdag 26 augustus 2022, 23:55   +3
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
simswapper  27 augustus 2022, 00:36   +5
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Bitwise  27 augustus 2022, 07:46   +4
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
sandra_  27 augustus 2022, 08:53   +2
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
MrBiggles  27 augustus 2022, 10:07   +10
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
marcel_nb  27 augustus 2022, 13:02   +7
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Bitwise  27 augustus 2022, 13:09   +0
Eens, met een kanttekening: Ik heb het hier net getest en kan het bevestigen.
Tha Cleaner  27 augustus 2022, 18:04   +0
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
tim1  27 augustus 2022, 19:36   +8
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Anoniem  27 augustus 2022, 23:48   +7
CVSS 9.8 en dan geen automatische update. Dat is in 2026 echt niet meer uit te leggen aan je klanten.
quantum18  28 augustus 2022, 09:39   +12
Dat is te kort door de bocht. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Reageren kan na registratie.
Inloggen
Meer nieuws