Nieuws
Duizenden Trivor ERP-systemen vanaf internet bereikbaar
Illustratie bij dit bericht.
Uit een inventarisatie blijkt dat duizenden systemen met Trivor ERP rechtstreeks vanaf het internet bereikbaar zijn, waaronder honderden in Nederland.
Het gaat vooral om systemen waarvan de beheerinterface bewust of per ongeluk open is gezet.
Hoe het werd ontdekt
Een deel van de gevonden systemen draait een versie waarvoor al maanden een update beschikbaar is.
Eigenaren van de systemen worden via hun provider geinformeerd.
18 reacties
Shodan is een deprimerende manier om je dag te beginnen.
Goed punt, maar In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Dat valt in de praktijk tegen. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Precies dit. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Goed punt, maar Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Goed punt, maar Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Dat is te kort door de bocht. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Reageren kan na registratie.
Inloggen
Meer nieuws