Profiel van jesse_ict
Laatste reacties van jesse_ict
Jaren in de code en niet opgevallen bij een audit. Dat zegt iets over die audits.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Sterkte voor de beheerders daar, dat worden lange weken.
'Geen aanwijzingen dat de gegevens verder zijn verspreid' betekent meestal: we weten het niet.
Eens, met een kanttekening: Ik heb het hier net getest en kan het bevestigen.
Netjes dat ze gewacht hebben met publiceren tot er een fix was.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
Als het al misbruikt wordt, is patchen alleen niet genoeg. Ga uit van compromittatie.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Jaren in de code en niet opgevallen bij een audit. Dat zegt iets over die audits.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Precies dit. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Dit speelt al jaren en er verandert structureel weinig.
Netjes dat ze gewacht hebben met publiceren tot er een fix was.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Een openbare evaluatie zou de norm moeten zijn.
Eens, met een kanttekening: Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Goed punt, maar Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.