Profiel van milan_ict
Laatste reacties van milan_ict
Aanvullend: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit. Ik hoor het graag als iemand het anders ziet.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Mooi dat dit ook doorwerkt naar andere partijen.
Aanvullend: Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Changelog lezen blijft nuttig, er zit vaak meer in dan de aankondiging zegt.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Niet helemaal. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Eens, met een kanttekening: Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Dat is te kort door de bocht. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Waarom hangt dit soort apparatuur uberhaupt aan het internet?
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Aanvullend: Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Niet helemaal. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Niet helemaal. Formeel klopt het, praktisch schiet je er weinig mee op.
Niet helemaal. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
62 instellingen die hun patienten moeten informeren vanwege een keuze van een leverancier. Ketenrisico in het echt.