Nieuws
Nieuwe versie Duinstate Portaal verhelpt 24 kwetsbaarheden
Illustratie bij dit bericht.
Duinstate Digital heeft een nieuwe versie van Duinstate Portaal uitgebracht waarin 24 kwetsbaarheden zijn verholpen, waarvan enkele als ernstig zijn beoordeeld.
De update wordt automatisch aangeboden; handmatig installeren kan via de downloadpagina.
Gevolgen voor gebruikers
Voor de vorige hoofdversie verschijnt nog een half jaar ondersteuning.
Naast de beveiligingsfixes bevat de versie een aantal verbeteringen in het beheerpaneel.
24 reacties
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
Dat is te kort door de bocht. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Dank voor het artikel. Kort, concreet en met bronvermelding, precies wat je wil lezen op een vrijdagmiddag.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Eens, met een kanttekening: Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Niet helemaal. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Ik zou toch echt eerst willen weten of er data is weggesluisd voordat ik zeg dat het meevalt.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Dank, dat verklaart wel het een en ander. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Aanvullend: De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Reageren kan na registratie.
Inloggen
Meer nieuws