Nieuws
Kritieke kwetsbaarheid in Beacon SSO actief misbruikt
Illustratie bij dit bericht.
Aanvallers maken actief misbruik van een kwetsbaarheid in Beacon SSO. Er is inmiddels een update beschikbaar, maar volgens onderzoekers is alleen updaten niet genoeg.
Organisaties wordt aangeraden te controleren op onbekende beheeraccounts en op automatische doorstuurregels.
Achtergrond
Omdat aanvallers voor het uitkomen van de patch al binnen konden komen, adviseren onderzoekers om sleutels en sessietokens te vervangen.
Het misbruik werd ontdekt nadat een beheerder verdacht verkeer in de logbestanden aantrof. Vervolgonderzoek wees uit dat aanvallers al langer toegang hadden.
20 reacties
Als het al misbruikt wordt, is patchen alleen niet genoeg. Ga uit van compromittatie.
Dit is precies waarom je logging langer dan dertig dagen wil bewaren.
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Eens, met een kanttekening: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Precies dit. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
Precies dit. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Eens, met een kanttekening: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Goed punt, maar Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Eens, met een kanttekening: Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Eens, met een kanttekening: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Aanvullend: Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Reageren kan na registratie.
Inloggen
Meer nieuws