Nieuws
Onderzoekers vinden lek in Turnstile Gateway waardoor aanvallers code konden uitvoeren
Illustratie bij dit bericht.
Onderzoekers hebben een kwetsbaarheid beschreven in Turnstile Gateway waardoor aanvallers code konden uitvoeren. De leverancier heeft het probleem inmiddels verholpen.
In hun rapport wijzen ze erop dat de fout al jaren in de code zat en bij een eerdere audit niet was opgevallen.
Achtergrond
De onderzoekers meldden hun bevindingen eerst bij de leverancier en wachtten met publiceren tot er een oplossing was.
Gebruikers hoeven zelf niets te doen zolang ze de automatische updates aan hebben staan.
23 reacties
Netjes dat ze gewacht hebben met publiceren tot er een fix was.
Jaren in de code en niet opgevallen bij een audit. Dat zegt iets over die audits.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Goed punt, maar Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Ik zou toch echt eerst willen weten of er data is weggesluisd voordat ik zeg dat het meevalt.
Eens, met een kanttekening: Ik heb het hier net getest en kan het bevestigen.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Dank, dat verklaart wel het een en ander. Formeel klopt het, praktisch schiet je er weinig mee op.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Ik ben benieuwd hoeveel systemen er over een half jaar nog ongepatcht zijn. Meestal is dat percentage schrikbarend hoog.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Niet helemaal. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Aanvullend: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
Eens, met een kanttekening: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Niet helemaal. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Dank, dat verklaart wel het een en ander. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Reageren kan na registratie.
Inloggen
Meer nieuws