Afgelopen woensdag was hèt nieuws van de dag de lekken in PHP die openbaar waren geworden, waardoor veel sites offline gingen in afwachting van de oplossing. MacFreak bleef trouwens gewoon bereikbaar, want als het goed is hebben wij geen privé-informatie van onze leden.

Maar heb jij een NAS, dan is het zaak die meteen een update te geven. En is die update (nog) niet voorhanden, dan is het waarschijnlijk beter je NAS offline te halen.


Want juist op een NAS worden vaak veel persoonlijke documenten gezet, omdat dit vaak het doel van zo’n apparaat is: overal bij jouw spullen kunnen, zonder ze mee te hoeven nemen.

Heb je een NAS van Synology dan heb je geluk, dit bedrijf heeft het gat in een nieuwe versie al gedicht en de benodigde updates klaarstaan. Heb je een QNAP dan is het beter die op dit moment offline te halen, want daar zijn ze nog bezig met het werken aan een oplossing.

Totdat de patches arriveren raadt QNAP zelf trouwens aan om directe blootstelling aan het internet te verwijderen door onnodige poort-doorverwijzingingen, UPnP en externe toegangsservices uit te schakelen. Heb je persé een  externe verbinding nodig, dan wordt aangeraden om een VPN gebruiken en de toegang van het management tot vertrouwde netwerken beperken.

Dank voor de waarschuwing, Robert. Synology hier, dus meteen geüpdatet.

want als het goed is hebben wij geen privé-informatie van onze leden

Nou is de mijne al tig keer gelekt, maar een email adres voelt wel als privé-informatie.

@Ezz: als je je ergens registreert en je wilt dat je mailadres nooit uitlekt dan kan je beter een apart mailadres daarvoor aanmaken (dat is niet alleen een raad van mij, maar een algemene).

Verder zijn we op de achtergrond wel bezig om te kijken hoe wij dit kunnen aanpakken, maar zal jammer genoeg niet heel erg snel gaan (want het forum waar MacFreak op draait zal bijvoorbeeld een grote update moeten krijgen, en dat duurt echt wel even).

Wijze raad Robert.
(en ik weet meteen meer waarom mijn NAS niet aan het internet hangt en alleen lokaal te gebruiken is in mijn eigen thuisnetwerk... )

Nou is de mijne al tig keer gelekt, maar een email adres voelt wel als privé-informatie.

Dat is het ook. En ook al worden er overal e-mailadressen gelekt, het blijft de verantwoordelijkheid van de forumbeheerder om daar zorgvuldig mee om te blijven gaan en niet te denken "het zal wel meevallen" of "dat komt over een paar maanden wel".

Als je dat belangrijk vindt of daar zorgen over hebt dan is dit ook een oplossing. Zo kan je niks gebeuren:

https://support.apple.com/nl-nl/guide/iphone/iphcb02e76f7/ios

Ik gebruik al een apart e-mailadres speciaal voor deze site, dat is makkelijk als je een eigen domein hebt.
Ik maak me geen zorgen om mijn eigen veiligheid. Wat me wel stoort is de nonchalance van een forumbeheerder die het niet nodig vindt om gecompromitteerde software snel te updaten omdat die denkt geen persoonsgegevens van anderen te bezitten, terwijl op de server dus wel de e-mailadressen van 16.556 leden staan...
En het gaat niet alleen om die gegevens, maar ook het risico dat de server deel gaat uitmaken van een botnet of dat ie malware gaat verspreiden. Nu is dat laatste (de malware) gezien de doelgroep een heel erg klein risico, maar niet nul.

Nu helpt het niet dat ik de afgelopen dagen bezig geweest ben om een website veilig te maken omdat de hoster geen maatregelen treft (ze zeggen van wel, alleen klopt het niet). Waar mogelijk dingen PHP-vrij te maken, of anders te verplaatsen naar een andere server. Eigenlijk zou de hele boel moeten verhuizen, maar dat is lastig door zaken waar ik geen invloed op heb...
Wordt er wel een beetje kriegelig van.

Wat me wel stoort is de nonchalance van een forumbeheerder die het niet nodig vindt om gecompromitteerde software snel te updaten omdat die denkt geen persoonsgegevens van anderen te bezitten, terwijl op de server dus wel de e-mailadressen van 16.556 leden staan...

Ik vind dat je overdrijft. E-mail adressen zijn totaal onbelangrijk, alsof je die geheim kunt houden tegenwoordig. Het gaat om de combinatie met andere persoonsgegevens die iets gevaarlijk kunnen maken, zie de Odido hack. Daar is hier helemaal geen sprake van. Ik begrijp niet waar je je druk om maakt, en bovendien is MacFreak inmiddels ook up-to-date; heel kort na die - nogal overdreven - paniekreactie in Nederland. Ik denk dat er nog duizenden website beheerders niet zo snel hebben gereageerd.. En ook die zullen er wel mee wegkomen .

Mooi dat de update toch snel geregeld kon worden.
In dit topic werd nog gesproken over een aantal maanden, vandaar mijn reactie. Die is inmiddels overbodig geworden, maar dat wist ik toen nog niet.

Ik heb een Synology D212 die tot volle tevredenheid al een jaartje of 15 probleemloos z’n werk doet.

Maar …..
In het verleden was deze benaderbaar via een menu om de performance en schijven capaciteit in te zien.
Volgens mij via het IP-adres. Dat lukt nu niet.
Of iets als DSM monitor. Ja k’weet het, beetje verwarrend.

Is er een app, tool of iets anders waardoor ik “binnen” kan kijken?
En wellicht de software kan updaten. Mocht dat nodig zijn.

Probeer eens in een browser deze link:
http://diskstation.local:5000

Ik heb een DS213 en die kan ik al een tijd lang niet meer updaten. DSM 6.2.4 is de laatste versie. DSM 7 & 8 kunnen niet geïnstalleerd worden. Dus die php-kwetsbaarheid bliijft er bij mij inzitten. Gelukkig hangt ie niet aan het Internet.

Probeer eens in een browser deze link:
http://diskstation.local:5000

Ik heb een DS213 en die kan ik al een tijd lang niet meer updaten. DSM 6.2.4 is de laatste versie. DSM 7 & 8 kunnen niet geïnstalleerd worden. Dus die php-kwetsbaarheid bliijft er bij mij inzitten. Gelukkig hangt ie niet aan het Internet.

Same here met DS214+...
maar ik zie dat ik 7.x wel zou kunnen installeren. Hoezo lukt het jou niet?

En ik voel ook niet de behoefte om die te vervangen, ook veelal offline functies (binnenhuis alleen te benaderen).

Het wordt niet aangeboden, er staat dat de firmware van mijn NAS up to date is in de web interface en de download site van Synology laat DSM 6 als laatste versie zien.

https://www.synology.com/en-eu/support/download/DS213

Probeer eens in een browser deze link:
http://diskstation.local:5000

Helaas ome Kor. krijg geen verbinding. We laten het maar zo.

Op het moment dat je jouw Synology een andere naam hebt gegeven, zoals ik ooit gedaan heb, dan is die niet meer met bovenstaande link te vinden. Je moet dan http://"de naam van je Synology".local:5000 invoeren. Let op: het is poort 5000 is http, poort 5001 is https. Dat is tenminste de standaard poort wanneer je die niet hebt aangepast.