Nieuws
Nieuwe versie Turnstile Gateway verhelpt 10 kwetsbaarheden
Illustratie bij dit bericht.
Turnstile heeft een nieuwe versie van Turnstile Gateway uitgebracht waarin 10 kwetsbaarheden zijn verholpen, waarvan enkele als ernstig zijn beoordeeld.
Voor de vorige hoofdversie verschijnt nog een half jaar ondersteuning.
Wat te doen
Naast de beveiligingsfixes bevat de versie een aantal verbeteringen in het beheerpaneel.
De update wordt automatisch aangeboden; handmatig installeren kan via de downloadpagina.
22 reacties
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Dat is te kort door de bocht. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Niet helemaal. Ik heb het hier net getest en kan het bevestigen.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Aanvullend: De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Dat valt in de praktijk tegen. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Dank voor het artikel. Kort, concreet en met bronvermelding, precies wat je wil lezen op een vrijdagmiddag.
Niet helemaal. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Dank, dat verklaart wel het een en ander. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Goed punt, maar In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Eens, met een kanttekening: Ik heb het hier net getest en kan het bevestigen.
Reageren kan na registratie.
Inloggen
Meer nieuws