Metaaldetectoren via kritieke kwetsbaarheden op afstand aan te passen
Onderzoekers van Cisco hebben in metaaldetectoren van fabrikant Garrett verschillende kritieke kwetsbaarheden gevonden waardoor het mogelijk is voor aanvallers om de configuratie op afstand aan te passen of willekeurige code op de apparaten uit te voeren.
De in totaal negen beveiligingslekken zijn aanwezig in de Garrett iC Module. Deze module biedt netwerkconnectiviteit voor verschillende metaaldetectoren van Garett en maakt het mogelijk voor remote gebruikers om allerlei statistieken te bekijken, zoals het aantal alarmen dat is afgegaan en het aantal gecontroleerde bezoekers. Tevens kan op afstand de configuratie van de metaaldetector worden aangepast, zoals het aanpassen van de gevoeligheid van de machines.
De gevaarlijkste beveiligingslekken (CVE-2021-21901 en CVE-2021-21903) in de module maken het mogelijk voor een ongeauthenticeerde aanvaller om door het versturen van een speciaal geprepareerd pakket een buffer overflow te veroorzaken en vervolgens willekeurige code uit te voeren. De impact van de twee kwetsbaarheden is op een schaal van 1 tot en met 10 met een 9,8 beoordeeld.
De overige zeven kwetsbaarheden maken remote code execution, session hijacking en path traversal mogelijk, maar hebben een lagere impactscore. De fabrikant werd op 17 augustus door Cisco over de kwetsbaarheden ingelicht en maakte op 13 december beveiligingsupdates beschikbaar. Daarop zijn nu de details van de beveiligingslekken door Cisco openbaar gemaakt.
Red teaming is meer sexy, levert meer op, en is beter voor je carriere dan bugs fixen en//of zorgen dat hackers buiten blijven. Ooit gezien dat blue teamers duizenden euro's krijgen voor hun goede werk?
Ook het melden van bugs in de producten van je baas wordt vaak niet op prijs gesteld in veel bedrijven. Dus pak je de producten van de concullega's maar.
Waarom wil je zo graag laten zien dat je geen fuck van de IT business snapt , en daarom maar complotten en afleidingen verzint ?
Cisco heeft ook een Threat Intelligence service (TALOS) - die kun je als klant afnemen voor _allerhande_ security analyses. Het zou geen goede business zijn als ze alleen maar naar andere Cisco producten keken .
Sterker - daar zou ik als klant geen aparte dienst voor afnemen, dat verwacht ik gewoon als patches en updates.
En wanneer ik me als klant afvraag of een security vendor/threat intelligence dienst een beetje goed is - kan ik alleen maar kijken naar wat ze gevonden en gepubliceerd hebben.
En om eerlijk te zijn, vondsten in hun eigen spullen zou ik maar half waarderen - "ja ja, lekker makkelijk, source erbij, zicht op de bug rapporten van klanten, zo is het makkelijk zoeken" . (Ja - Het _is_ makkelijker zoeken als de klanten het creatieve gebruik, de crashes, en feitelijk de fuzzing al aangeleverd hebben. En de source kunnen zien scheelt ook).
Plus dat je de verdenking kunt hebben dat vondsten in eigen producten stilletjes op de lange termijn gepatched worden, en niet gemeld met een 90 dagen tot publicatie deadline.
Je kunt er behoorlijk zeker van zijn dat dit probleem gevonden is omdat een van de klanten deze metaaldetectoren heeft en een analyse bestelde - of er in het wild mee aangevallen werd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?