Nieuws
Kritieke kwetsbaarheid in Halcyon Mail actief misbruikt
Illustratie bij dit bericht.
Aanvallers maken actief misbruik van een kwetsbaarheid in Halcyon Mail. Er is inmiddels een update beschikbaar, maar volgens onderzoekers is alleen updaten niet genoeg.
Organisaties wordt aangeraden te controleren op onbekende beheeraccounts en op automatische doorstuurregels.
Hoe het werd ontdekt
Het misbruik werd ontdekt nadat een beheerder verdacht verkeer in de logbestanden aantrof. Vervolgonderzoek wees uit dat aanvallers al langer toegang hadden.
Omdat aanvallers voor het uitkomen van de patch al binnen konden komen, adviseren onderzoekers om sleutels en sessietokens te vervangen.
15 reacties
Als het al misbruikt wordt, is patchen alleen niet genoeg. Ga uit van compromittatie.
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Aanvullend: Formeel klopt het, praktisch schiet je er weinig mee op.
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Dank, dat verklaart wel het een en ander. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Eens, met een kanttekening: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Ik draai hier al jaren alles in containers met read-only filesystem. Scheelt enorm bij dit soort meldingen.
Dank, dat verklaart wel het een en ander. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Reageren kan na registratie.
Inloggen
Meer nieuws