Nieuws
Onderzoekers vinden lek in Statera Identity waardoor aanvallers code konden uitvoeren
Illustratie bij dit bericht.
Onderzoekers hebben een kwetsbaarheid beschreven in Statera Identity waardoor aanvallers code konden uitvoeren. De leverancier heeft het probleem inmiddels verholpen.
Gebruikers hoeven zelf niets te doen zolang ze de automatische updates aan hebben staan.
Gevolgen voor gebruikers
In hun rapport wijzen ze erop dat de fout al jaren in de code zat en bij een eerdere audit niet was opgevallen.
De onderzoekers meldden hun bevindingen eerst bij de leverancier en wachtten met publiceren tot er een oplossing was.
16 reacties
Netjes dat ze gewacht hebben met publiceren tot er een fix was.
Jaren in de code en niet opgevallen bij een audit. Dat zegt iets over die audits.
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Eens, met een kanttekening: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Goed punt, maar De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Goed punt, maar Formeel klopt het, praktisch schiet je er weinig mee op.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Dank, dat verklaart wel het een en ander. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Reageren kan na registratie.
Inloggen
Meer nieuws