Nieuws
Nieuwe versie Vaultis Kluis verhelpt 41 kwetsbaarheden
Illustratie bij dit bericht.
Vaultis heeft een nieuwe versie van Vaultis Kluis uitgebracht waarin 41 kwetsbaarheden zijn verholpen, waarvan enkele als ernstig zijn beoordeeld.
Voor de vorige hoofdversie verschijnt nog een half jaar ondersteuning.
Achtergrond
Naast de beveiligingsfixes bevat de versie een aantal verbeteringen in het beheerpaneel.
De update wordt automatisch aangeboden; handmatig installeren kan via de downloadpagina.
22 reacties
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Eens, met een kanttekening: De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Dat valt in de praktijk tegen. Ik heb het hier net getest en kan het bevestigen.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Hoeveel van dit soort meldingen krijgen we per week? Op een gegeven moment gaan mensen ze negeren.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Dat is te kort door de bocht. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Goed punt, maar Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Niet helemaal. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Goed punt, maar Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Reageren kan na registratie.
Inloggen
Meer nieuws