Back-upsoftware Acronis True Image bevat beveiligingslek
De populaire back-upsoftware Acronis True Image bevat een beveiligingslek waardoor gebruikers met malware besmet kunnen raken en een update is nog niet beschikbaar. De back-upsoftware, die er voor Mac en Windows is, controleert en downloadt updates op onveilige wijze, waardoor een aanvaller in het ergste geval willekeurige code met beheerdersrechten kan uitvoeren.
De software blijkt updates via het onbeveiligde http uit te voeren. Daarnaast worden updates, op de door de server aangeboden md5-hash na, niet gecontroleerd. Een aanvaller die zich op hetzelfde netwerk als een gebruiker bevindt of het netwerkverkeer van een gebruiker kan beïnvloeden, kan via de updatefunctie willekeurige code met beheerdersrechten uitvoeren, zo meldt het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit. Een update is nog niet beschikbaar, alsmede een praktische oplossing. Dit weekend waarschuwde het CERT/CC ook voor een beveiligingslek in de updatefunctie van de Samsung Magician-software.
Erg jammer en heel slecht.
En blijkbaar blijven ze de producten gewoon verkopen omdat er maar weinig klanten duidelijke requirements opstellen en/of controleren.
Erg jammer en heel slecht.
En blijkbaar blijven ze de producten gewoon verkopen omdat er maar weinig klanten duidelijke requirements opstellen en/of controleren.
De thuisgebruiker kan geen requirements opstellen. Op zijn best komen er keurmerk voor.
Bij bedrijven vertrouwt men d dd leverancier of het nu fout zit of niet maakt niet uit. Het ncsc draagt uit dat je de instructies van dd leverancier moet volgen.
Zorg altijd dat je zelf voldoende kennis hebt, en test de afgenomen producten.
Indien je aan outsourcing doet: weet wat je koopt en controleer dit.
Werkt ClamAV niet op een dergelijke manier? En MBAM?
Een ander euvel is DLL planting/hijacking waardoor je eenvoudig admin of system rechten kunt verkrijgen. Dan even je tooltjes excluden in de virusscanner en je zit voor altijd op het systeem.
met het normale mechanisme (dus geen extra checks op het certificaat).
Wat men echt zou moeten doen is de code signen en na download checken alvorens deze geinstalleerd wordt.
Dan bestrijk je de hele keten en maak je je niet afhankelijk van wat voor certificaten er op de client computer staan en
hoe betrouwbaar de certificaatuitgevers vandaag zijn.
Hetzelfde geldt voor updates van firmware op devices. Er zijn vaak meerdere mechanismen (device zelf een update laten
downloaden, updated firmware uploaden, netwerk boot met bootp/tftp enz) en die signing van de code lost het
allemaal in een keer op.
Our Acronis-team noticed your postings on the Acronis True Image vulnerability issue. We would like to provide a brief statement from our side.
Acronis is aware of a minor security issue related to Acronis True Image 2017 (Build 8053 and earlier) that was reported by our colleagues at CERT Coordination Center (CERT/CC) at Carnegie Mellon University's Software Engineering Institute.
We immediately fixed the vulnerability, prepared a patch for our newest update, and are currently notifying users of the issue.
While the threat to users is considered low-risk since multiple, rare occurrences would need to happen in order for someone to exploit the vulnerability, we are urging all Acronis True Image 2017 customers to apply the patch by opening the application and selecting “Check for Updates.”
Acronis takes data protection very seriously, which is why we have acted so quickly to respond to this threat. We will examine this incident further to ensure no similar vulnerabilities remain in our products.
If you have any feedback or questions, feel free to reach out to us. Unfortunately, we do not have a local Dutch speaker; therefore, we would prefer to communicate in English.
Thank you.
Your Acronis-Team
Our Acronis-team noticed your postings on the Acronis True Image vulnerability issue. We would like to provide a brief statement from our side.
Acronis is aware of a minor security issue related to Acronis True Image 2017 (Build 8053 and earlier) that was reported by our colleagues at CERT Coordination Center (CERT/CC) at Carnegie Mellon University's Software Engineering Institute.
We immediately fixed the vulnerability, prepared a patch for our newest update, and are currently notifying users of the issue.
While the threat to users is considered low-risk since multiple, rare occurrences would need to happen in order for someone to exploit the vulnerability, we are urging all Acronis True Image 2017 customers to apply the patch by opening the application and selecting “Check for Updates.”
Acronis takes data protection very seriously, which is why we have acted so quickly to respond to this threat. We will examine this incident further to ensure no similar vulnerabilities remain in our products.
If you have any feedback or questions, feel free to reach out to us. Unfortunately, we do not have a local Dutch speaker; therefore, we would prefer to communicate in English.
Thank you.
Your Acronis-Team
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.