Nieuws
Turnstile dicht ernstig lek in Turnstile Gateway
Turnstile heeft een beveiligingsupdate uitgebracht voor Turnstile Gateway die misbruiken kwetsbaarheid verhelpt. Beheerders wordt aangeraden de update met voorrang uit te rollen.
De kwetsbaarheid is gemeld door een externe onderzoeker en werd via een gecoordineerd traject afgehandeld. Details worden pas over enkele weken openbaar gemaakt.
Wat te doen
Volgens de leverancier bevindt het probleem zich in de verwerking van gebruikersinvoer. Een aanvaller kan daardoor inloggen zonder wachtwoord mogelijk was.
Organisaties die de update niet direct kunnen installeren, kunnen het getroffen onderdeel tijdelijk uitschakelen. Dat kost wel functionaliteit.
14 reacties
Weer een dinsdag, weer een patchronde. Bij ons gaat dit gelukkig automatisch.
Niet helemaal. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Dat valt in de praktijk tegen. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
De vraag is niet of je gehackt wordt, maar hoe snel je het merkt. Detectie is bij de meeste organisaties nog steeds het zwakke punt.
Niet helemaal. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
Goed punt, maar De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
Dank, dat verklaart wel het een en ander. Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Reageren kan na registratie.
Inloggen
Meer nieuws