Niet toestaan om .msg of .eml bestanden als bijlage toe te voegen (SLSR-I-672)

[Anonymous]

Op dit moment is het voor een gebruiker mogelijk om .msg en .eml bestanden als bijlage toe te voegen aan een mutatie in Self Service. Maar .msg en .eml-bestanden zijn onveilig. Er kan een kwaadwillende code worden verpakt in dit type bestand.

Het verbaast ons dan ook dat het in Self Service nog steeds mogelijk is om dit type bestand toe te voegen aan een Self Service mutatie en vervolgens te verzenden naar de volgende persoon in de workflow, die de bijlage kan openen en daarmee wellicht een virus kan activeren. 

[Former Member]

Hartelijk dank voor je idee. Het toegekende nummer is: SLSR-I-672

[Anonymous]

Goed punt.

[Bastiaan Friederichs]

Hi @Anonymous ik heb even kort overleg gehad met onze Security Officer.

We zijn tot de conclusie gekomen dat het blokkeren van .msg en .eml (beide vormen van Email-bestanden) weinig toevoegt aan verhoogde veiligheid. Er zijn immers andere bestands-formaten, denk aan PDF en XLSX, waarbij veel meer potentiele kwetsbaardheden bekend zijn dan .msg en .eml. (denk bijv. aan het gebruik van macro's) en die daarnaast veel vaker gebruikt worden.

Ik heb ook even uitgezocht hoeveel bijlagen er van de beide types gebruikt worden door onze klanten, en dat is best een behoorlijk aantal. Met name rondom processen als uitdienst en contractwijzingen zie ik dat deze bijlage veel gebruikt worden.

Ik zou me kunnen voorstellen dat we configuratie kunnen toevoegen op klant-niveau om de lijst met ondersteunde bestandstypen inrichtbaar te maken, maar daar hebben we momenteel geen concrete plannen voor.

Ik zal de comments op het idee open laten staan zodat jij - en anderen - nog informatie toe kunnen voegen. Mocht je een concreet voorbeeld of voorval hebben opgemerkt, laat dit dan vooral via het ServiceCenter weten, dan kunnen we hier verder naar kijken.

[Christiaan Sluis]

Dit idee is inmiddels gerealiseerd. Uit overleg is gebleken dat het toch wenselijk was om deze bestandstypen niet meer toe te staan. Bij deze update ik ook de status van het idee.