Overheid VS krijgt deadline voor patchen van Android- en MikroTik-lekken
Amerikaanse federale overheidsinstanties moeten verschillende actief aangevallen kwetsbaarheden in Android, MikroTik, Zoho ManageEngine ServiceDesk en Apache HTTP Server binnen een gestelde deadline binnen hun organisatie patchen, anders zijn ze in overtreding van een "Binding Operational Directive".
Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security publiceerde vorige maand een lijst met honderden actief aangevallen kwetsbaarheden en gaf federale overheidsinstanties via de directive de opdracht die voor een bepaalde datum te verhelpen. De lijst is nu met vijf kwetsbaarheden uitgebreid.
Het gaat om twee kwetsbaarheden in de Zoho ManageEngine ServiceDesk (CVE-2021-37415 en CVE-2021-44077) en een beveiligingslek in Apache HTTP Server (CVE-2021-40438). Deze drie kwetsbaarheden moeten voor 15 december van dit jaar op alle betreffende systemen zijn verholpen. Updates voor actief aangevallen beveiligingslekken in MikroTik-routers (CVE-2018-14847) en Android (CVE-2020-11261) moeten voor 1 juni volgend jaar zijn geïnstalleerd.
Afgelopen maart waarschuwde Google voor misbruik van het Android-lek. Dat is aanwezig in onderdelen van chipfabrikant Qualcomm. Het gaat dan specifiek om het onderdeel dat de graphics verzorgt. Door het niet goed valideren van invoer kan een malafide app 'memory corruption' veroorzaken. Om misbruik van het beveiligingslek te maken moet een aanvaller al toegang tot het systeem hebben, bijvoorbeeld door een malafide app die de gebruiker heeft geïnstalleerd, fysieke toegang of in combinatie met een tweede kwetsbaarheid.
Mogelijk kan je wel een Compliance Policy maken die alleen Andoid met een minimale versie toestaat, maar dan zullen mogelijk de telefoons met lagere versie niet meer gebruikt kunnen worden als ze geen updates meer krijgen.
dan patchen we nog niet.
Doe eens een shodannetje.
Mogelijk kan je wel een Compliance Policy maken die alleen Andoid met een minimale versie toestaat, maar dan zullen mogelijk de telefoons met lagere versie niet meer gebruikt kunnen worden als ze geen updates meer krijgen.
Goede reactie, maar ik ben eigenlijk geneigd dit anders te lezen. Het kan ook worden gezien als een verplichting om alle Android toestellen, die niet meer gepatched worden, af te voeren. Andere mogelijkheid: hiermee alle fabrikanten verplichten om het patchen altijd door te voeren.
wordt gefixed in je router! Je moet wel de tijd hebben om de nieuwe firmware binnen je organisatie goed uit te testen,
en 3.5 jaar is daarvoor wel erg krap. Ik zou ze nog een half jaartje geven!
Oh wacht, dat doen ze ook! Klasse hoor, tijdsdruk erop zetten is niet goed.
(dat is de reden dat er dit jaar weer een golf van problemen was)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
