Nieuws
Nieuwe versie Medvault EPD verhelpt 30 kwetsbaarheden
Illustratie bij dit bericht.
Medvault heeft een nieuwe versie van Medvault EPD uitgebracht waarin 30 kwetsbaarheden zijn verholpen, waarvan enkele als ernstig zijn beoordeeld.
Naast de beveiligingsfixes bevat de versie een aantal verbeteringen in het beheerpaneel.
Hoe het werd ontdekt
Voor de vorige hoofdversie verschijnt nog een half jaar ondersteuning.
De update wordt automatisch aangeboden; handmatig installeren kan via de downloadpagina.
18 reacties
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Goed punt, maar Ik heb het hier net getest en kan het bevestigen.
Ik ben benieuwd hoeveel systemen er over een half jaar nog ongepatcht zijn. Meestal is dat percentage schrikbarend hoog.
Hoeveel van dit soort meldingen krijgen we per week? Op een gegeven moment gaan mensen ze negeren.
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Dat valt in de praktijk tegen. Formeel klopt het, praktisch schiet je er weinig mee op.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Aanvullend: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Grappig hoe zo'n woordvoerder altijd spreekt van 'een beperkt aantal klanten'. Dat blijkt achteraf structureel anders.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Niet helemaal. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Reageren kan na registratie.
Inloggen
Meer nieuws