Profiel van martijn_nb
Laatste reacties van martijn_nb
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf. Maar goed, dat terzijde.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit. Benieuwd hoe dit zich ontwikkelt.
Waarom hangt dit soort apparatuur uberhaupt aan het internet?
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
Sterkte voor de beheerders daar, dat worden lange weken.
Automatisch aanbieden is prima, zolang je maar kunt terugrollen.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Eerder gewaarschuwd en toch doorgegaan. Dan is dit terecht.
Waarom hangt dit soort apparatuur uberhaupt aan het internet?
Apparatuur die nog prima werkt maar geen updates meer krijgt, is gewoon elektronisch afval maken.
Eens, met een kanttekening: Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Niet helemaal. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
CVSS 9.8 en dan geen automatische update. Dat is in 2026 echt niet meer uit te leggen aan je klanten.
Dank, dat verklaart wel het een en ander. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Eens, met een kanttekening: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Sterkte voor de beheerders daar, dat worden lange weken.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Waarom hangt dit soort apparatuur uberhaupt aan het internet?
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Dat is te kort door de bocht. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.