Nieuws
Duizenden Medvault EPD-systemen vanaf internet bereikbaar
Illustratie bij dit bericht.
Uit een inventarisatie blijkt dat duizenden systemen met Medvault EPD rechtstreeks vanaf het internet bereikbaar zijn, waaronder honderden in Nederland.
Het gaat vooral om systemen waarvan de beheerinterface bewust of per ongeluk open is gezet.
Wat te doen
Eigenaren van de systemen worden via hun provider geinformeerd.
Een deel van de gevonden systemen draait een versie waarvoor al maanden een update beschikbaar is.
18 reacties
Shodan is een deprimerende manier om je dag te beginnen.
Providers die hun klanten waarschuwen: dat werkt echt, blijkt keer op keer.
Dank, dat verklaart wel het een en ander. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Dat valt in de praktijk tegen. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Dat valt in de praktijk tegen. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
De vraag is niet of je gehackt wordt, maar hoe snel je het merkt. Detectie is bij de meeste organisaties nog steeds het zwakke punt.
Dat is te kort door de bocht. Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Eens, met een kanttekening: Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Reageren kan na registratie.
Inloggen
Meer nieuws