security-relevant nieuws

[begintmeta]

nieuws: Miljoenen Exim-mailservers aangevallen door lek dat root-toegang via ... herinnerde me aan een nieuwssubmit van mij een tijdje terug over deze kwetsbaarheid. Dat nieuws was toen verder niet geplaatst (voor zover ik weet, tenzij ik het heb gemist). Ik weet dat niet over plaatsing van nieuwssubmits wordt gediscussieerd, dat vind ik ook prima.

Wat ik me wel afvraag is of het gezien het bereik van T.net niet toch handig zou zijn nieuws over kritieke kwetsbaarheden in veelgebruikte software zoveel mogelijk publiciteit te geven. Nu zou ik natuurlijk niet weten of dat ook maar een geval had voorkomen, tenslotte zijn er diverse bronnen die er wel over hebben gepubliceerd, maar toch...

Ik vroeg me af of een redactioneel beleid bestaat voor 'veiligeidsrelevant' nieuws

[TijsZonderH]

Hoi! Ik denk dat het in dit geval eigenlijk niks anders is dan 'gewoon overheen gekeken' of 'inschattingsfout' gemaakt of iets in die richting. We krijgen heel erg veel submits binnen en daar schieten we zoals je weet het merendeel wel van af, maar in sommige gevallen kijken we ook gewoon over een dergelijk nieuwtje heen. Verschillende redacteuren maken ook verschillende afwegingen als het gaat om zulke berichten dus waar ik misschien eerder iets publiceer over een kwetsbaarheid vinden anderen dat misschien niet zo interessant.

Er is geen echt standaardbeleid voor securitynieuws, al wil ik voor mezelf (als securityredacteur) wel proberen wat vuistregels op te stellen. Over het algemeen denk ik dan aan dingen als impact, hoeveel de software gebruikt wordt, hoe makkelijk/moeilijk een exploit uit te voeren is, of er Nederlandse slachtoffers bij zitten... Dat zijn afwegingen die iedere redacteur hier maakt.

Blijf vooral tippen hoor! En als je denkt dat het echt belangrijk is, stuur me hier gewoon even een privébericht of tag me ergens, dan reageer ik er sowieso op!

[begintmeta]

Dat laatste is eventueel nog een idee inderdaad, zal ik de volgende keer zeker overwegen, maar ik zou denken dat het eigenlijk voor iedereen het simpelst en overzichtelijkste is om het via het submissionsysteem te doen.

[hans3702]

@TijsZonderH

al wil ik voor mezelf (als securityredacteur) wel proberen wat vuistregels op te stellen
Over het algemeen denk ik dan aan dingen als impact, hoeveel de software gebruikt wordt, hoe makkelijk/moeilijk een exploit uit te voeren is,

Het zou mij als lezer van deze berichten ook prettig lijken als je bovenstaande punten in het gepubliceerde bericht er ook bij zet.

zoals bv nieuws: Onderzoekers tonen ddr-kwetsbaarheid RAMBleed op basis van Rowhammer
en dan aangevuld met: Wat is de kans dat een thuis gebruiker, een kantoor gebruiker en een server er mee te maken krijgt / er vatbaar voor is en wat zijn de rand voorwaarden bv ECC geheugen, OS, interactie van gebruiker. enz.

Hans