Nieuws
Duizenden Beacon SSO-systemen vanaf internet bereikbaar
Uit een inventarisatie blijkt dat duizenden systemen met Beacon SSO rechtstreeks vanaf het internet bereikbaar zijn, waaronder honderden in Nederland.
Een deel van de gevonden systemen draait een versie waarvoor al maanden een update beschikbaar is.
Hoe het werd ontdekt
Eigenaren van de systemen worden via hun provider geinformeerd.
Het gaat vooral om systemen waarvan de beheerinterface bewust of per ongeluk open is gezet.
17 reacties
Shodan is een deprimerende manier om je dag te beginnen.
Eens, met een kanttekening: Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Hoeveel van dit soort meldingen krijgen we per week? Op een gegeven moment gaan mensen ze negeren.
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Eens, met een kanttekening: Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Niet helemaal. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Ik draai hier al jaren alles in containers met read-only filesystem. Scheelt enorm bij dit soort meldingen.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Dat is te kort door de bocht. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Aanvullend: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Reageren kan na registratie.
Inloggen
Meer nieuws