<div dir="ltr"><a href="https://www.riskbasedsecurity.com/2016/04/two-year-anniversary-for-heartbleed-still-many-vulnerable-devices/" target="_blank">https://www.riskbasedsecurity.com/2016/04/two-year-anniversary-for-heartbleed-still-many-vulnerable-devices/</a><br><div><br></div><div><p style="margin:0px;padding:0px 0px 10px;color:rgb(68,68,68);font-family:Arial,Tahoma,Verdana;font-size:13px;line-height:20px;background-color:rgb(247,247,247)">Yesterday was the two year anniversary for <span><a href="http://heartbleed.com/" style="color:rgb(0,103,162);text-decoration:none" target="_blank">Heartbleed</a></span>, the ‘named’ vulnerability that received a huge amount of attention. While not the first to be named, it started the now (in)famous trend of researchers naming their vulnerability discoveries to get attention, and it also lead to a positive change: Vendors and enterprises started focusing more on vulnerabilities in 3rd party libraries.</p><div style="color:rgb(68,68,68);font-family:Arial,Tahoma,Verdana;font-size:13px;line-height:20px;background-color:rgb(247,247,247)">Doing a search on <a href="http://shodan.io/" style="color:rgb(0,103,162);text-decoration:none" target="_blank">Shodan.io</a>, there are currently 224,858 Internet connected systems still vulnerable to <span>Heartbleed</span>. The top 5 countries are United States, Germany, China, France, and United Kingdom in that order.</div><div style="color:rgb(68,68,68);font-family:Arial,Tahoma,Verdana;font-size:13px;line-height:20px;background-color:rgb(247,247,247)"><br></div><div style="color:rgb(68,68,68);font-family:Arial,Tahoma,Verdana;font-size:13px;line-height:20px;background-color:rgb(247,247,247)">Digging a bit more into the results, many of the affected systems are actually appliances or devices that either haven’t been patched or do not even have patches available. Of these, we found a lot of Fortinet appliances, but also many vulnerable DVR systems from various vendors including Hikvision, ABUS, Swann, and FLIR Lorex. We also found vulnerable Polycom SoundPoint IP phones, various access points and routers, WatchGuard firewalls, Western Digital, Synology, and QNAP storage devices, digital signage, and printers.</div><div style="color:rgb(68,68,68);font-family:Arial,Tahoma,Verdana;font-size:13px;line-height:20px;background-color:rgb(247,247,247)"><p style="margin:0px;padding:0px 0px 10px"></p><div>There are <a href="https://filippo.io/Heartbleed/" style="color:rgb(0,103,162);text-decoration:none" target="_blank">several tools available</a> to <a href="https://www.ssllabs.com/ssltest/" style="color:rgb(0,103,162);text-decoration:none" target="_blank">check if your servers and devices</a> are still affected by <span>Heartbleed</span>. Every organization should test to ensure you do not have sensitive devices spilling too much information to attackers via the Internet. If you do, make sure to apply the latest firmware updates if any are available from your vendor. If your vendor still has not released updates, you should question how serious the vendor is about security.</div><p style="margin:0px;padding:0px 0px 10px"></p><div>Tracking vulnerabilities in 3rd party libraries is critical not only to device vendors, who bundle these in their products, but also to enterprises using these products to understand when they are vulnerable. It may be a painful task, but it is important to do.</div><p style="margin:0px;padding:0px 0px 10px"></p><div>We continue to invest heavily into our <a href="http://www.riskbasedsecurity.com/vulndb/" style="color:rgb(0,103,162);text-decoration:none" target="_blank">VulnDB solution to assist organizations that need help monitoring vulnerabilities</a> affecting devices in your infrastructure, with a significant focus on 3rd-party Libraries.</div></div></div></div>