Nieuws
Nieuwe versie Turnstile Gateway verhelpt 31 kwetsbaarheden
Turnstile heeft een nieuwe versie van Turnstile Gateway uitgebracht waarin 31 kwetsbaarheden zijn verholpen, waarvan enkele als ernstig zijn beoordeeld.
Naast de beveiligingsfixes bevat de versie een aantal verbeteringen in het beheerpaneel.
Achtergrond
Voor de vorige hoofdversie verschijnt nog een half jaar ondersteuning.
De update wordt automatisch aangeboden; handmatig installeren kan via de downloadpagina.
16 reacties
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Dat is te kort door de bocht. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Hoeveel van dit soort meldingen krijgen we per week? Op een gegeven moment gaan mensen ze negeren.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Aanvullend: Formeel klopt het, praktisch schiet je er weinig mee op.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Dat valt in de praktijk tegen. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Reageren kan na registratie.
Inloggen
Meer nieuws