Back-upsoftware Acronis True Image bevat beveiligingslek
De populaire back-upsoftware Acronis True Image bevat een beveiligingslek waardoor gebruikers met malware besmet kunnen raken en een update is nog niet beschikbaar. De back-upsoftware, die er voor Mac en Windows is, controleert en downloadt updates op onveilige wijze, waardoor een aanvaller in het ergste geval willekeurige code met beheerdersrechten kan uitvoeren.
De software blijkt updates via het onbeveiligde http uit te voeren. Daarnaast worden updates, op de door de server aangeboden md5-hash na, niet gecontroleerd. Een aanvaller die zich op hetzelfde netwerk als een gebruiker bevindt of het netwerkverkeer van een gebruiker kan beïnvloeden, kan via de updatefunctie willekeurige code met beheerdersrechten uitvoeren, zo meldt het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit. Een update is nog niet beschikbaar, alsmede een praktische oplossing. Dit weekend waarschuwde het CERT/CC ook voor een beveiligingslek in de updatefunctie van de Samsung Magician-software.
Erg jammer en heel slecht.
En blijkbaar blijven ze de producten gewoon verkopen omdat er maar weinig klanten duidelijke requirements opstellen en/of controleren.
Erg jammer en heel slecht.
En blijkbaar blijven ze de producten gewoon verkopen omdat er maar weinig klanten duidelijke requirements opstellen en/of controleren.
De thuisgebruiker kan geen requirements opstellen. Op zijn best komen er keurmerk voor.
Bij bedrijven vertrouwt men d dd leverancier of het nu fout zit of niet maakt niet uit. Het ncsc draagt uit dat je de instructies van dd leverancier moet volgen.
Zorg altijd dat je zelf voldoende kennis hebt, en test de afgenomen producten.
Indien je aan outsourcing doet: weet wat je koopt en controleer dit.
Werkt ClamAV niet op een dergelijke manier? En MBAM?
Een ander euvel is DLL planting/hijacking waardoor je eenvoudig admin of system rechten kunt verkrijgen. Dan even je tooltjes excluden in de virusscanner en je zit voor altijd op het systeem.
met het normale mechanisme (dus geen extra checks op het certificaat).
Wat men echt zou moeten doen is de code signen en na download checken alvorens deze geinstalleerd wordt.
Dan bestrijk je de hele keten en maak je je niet afhankelijk van wat voor certificaten er op de client computer staan en
hoe betrouwbaar de certificaatuitgevers vandaag zijn.
Hetzelfde geldt voor updates van firmware op devices. Er zijn vaak meerdere mechanismen (device zelf een update laten
downloaden, updated firmware uploaden, netwerk boot met bootp/tftp enz) en die signing van de code lost het
allemaal in een keer op.
Our Acronis-team noticed your postings on the Acronis True Image vulnerability issue. We would like to provide a brief statement from our side.
Acronis is aware of a minor security issue related to Acronis True Image 2017 (Build 8053 and earlier) that was reported by our colleagues at CERT Coordination Center (CERT/CC) at Carnegie Mellon University's Software Engineering Institute.
We immediately fixed the vulnerability, prepared a patch for our newest update, and are currently notifying users of the issue.
While the threat to users is considered low-risk since multiple, rare occurrences would need to happen in order for someone to exploit the vulnerability, we are urging all Acronis True Image 2017 customers to apply the patch by opening the application and selecting “Check for Updates.”
Acronis takes data protection very seriously, which is why we have acted so quickly to respond to this threat. We will examine this incident further to ensure no similar vulnerabilities remain in our products.
If you have any feedback or questions, feel free to reach out to us. Unfortunately, we do not have a local Dutch speaker; therefore, we would prefer to communicate in English.
Thank you.
Your Acronis-Team
Our Acronis-team noticed your postings on the Acronis True Image vulnerability issue. We would like to provide a brief statement from our side.
Acronis is aware of a minor security issue related to Acronis True Image 2017 (Build 8053 and earlier) that was reported by our colleagues at CERT Coordination Center (CERT/CC) at Carnegie Mellon University's Software Engineering Institute.
We immediately fixed the vulnerability, prepared a patch for our newest update, and are currently notifying users of the issue.
While the threat to users is considered low-risk since multiple, rare occurrences would need to happen in order for someone to exploit the vulnerability, we are urging all Acronis True Image 2017 customers to apply the patch by opening the application and selecting “Check for Updates.”
Acronis takes data protection very seriously, which is why we have acted so quickly to respond to this threat. We will examine this incident further to ensure no similar vulnerabilities remain in our products.
If you have any feedback or questions, feel free to reach out to us. Unfortunately, we do not have a local Dutch speaker; therefore, we would prefer to communicate in English.
Thank you.
Your Acronis-Team
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?