Skip to content

Commit

Permalink
113 security patches (#992)
Browse files Browse the repository at this point in the history 
* Bump vulture from 2.13 to 2.14

Bumps [vulture](https://github.com/jendrikseipp/vulture) from 2.13 to 2.14.
- [Release notes](https://github.com/jendrikseipp/vulture/releases)
- [Changelog](https://github.com/jendrikseipp/vulture/blob/main/CHANGELOG.md)
- [Commits](jendrikseipp/vulture@v2.13...v2.14)

---
updated-dependencies:
- dependency-name: vulture
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <[email protected]>

* Bump coverage from 7.6.8 to 7.6.9

Bumps [coverage](https://github.com/nedbat/coveragepy) from 7.6.8 to 7.6.9.
- [Release notes](https://github.com/nedbat/coveragepy/releases)
- [Changelog](https://github.com/nedbat/coveragepy/blob/master/CHANGES.rst)
- [Commits](nedbat/coveragepy@7.6.8...7.6.9)

---
updated-dependencies:
- dependency-name: coverage
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <[email protected]>

* Afspraken controleren kwetsbaarheden opgeleverde software.

In de paragraaf "Oplevering software" van het Template PvA Realisatiefase afspraken toegevoegd over het controleren van opgeleverde software op beveiligingskwetsbaarheden.

Closes #963.

* Toevoegen dat we geen browsers en andere software ondersteunen waarvoor leveranciers geen security patches uitbrengen.

Closes #113.

---------

Signed-off-by: dependabot[bot] <[email protected]>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
  • Loading branch information
@fniessink @dependabot
fniessink and dependabot[bot] authored Dec 13, 2024
1 parent b28d034 commit 8742e30
Show file tree
Hide file tree
Showing 4 changed files with 74 additions and 70 deletions.
4 changes: 2 additions & 2 deletions Content/Templates/NFE/Template-Inhoud.md
View file
Original file line number Diff line number Diff line change
Expand Up @@ -184,9 +184,9 @@ BIO en SSD bevatten ook een aantal maatregelen ten aanzien van software en/of de
| 12 | Een applicatie heeft een instelbare maximale sessieduur en een maximale duur van inactiviteit. Na deze periode wordt een sessie automatisch afgesloten, alsof de gebruiker zelf de sessie beëindigd heeft | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 13 | De maximale sessieduur en maximale inactiviteit zijn door (of namens) de opdrachtgevende organisatie in te stellen. De instelbare waarden zijn per default begrenst op 10 uur (sessieduur) en 15 minuten (inactiviteit). Alleen op expliciet aangeven van de opdrachtgevede organisatie kan hiervan worden afgeweken | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 14 | Applicaties maken gebruik van gangbare protocollen en cryptografische technieken, versleutelen informatie volgens de maatregelenselectie in het IB-plan en borgen de onweerlegbaarheid van daartoe aangewezen transacties via cryptografische technieken. De gebruikte cryptografische algoritmen voor versleuteling zijn als open standaard gedocumenteerd en zijn door onafhankelijke betrouwbare deskundigen getoetst. De cryptografische beveiligingsvoorzieningen en componenten voldoen aan algemeen gangbare beveiligingscriteria (zoals FIPS 140-2 en waar mogelijk NBV) | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 15 | (Web)applicatie voorkomen de mogelijkheid van dynamische file includes. Indien gebruik gemaakt wordt van een applicatieserver sluit de serverconfiguratie file includes uit. Mocht het niet mogelijk zijn aan hieraan te voldoen, dan wordt voor de includes gebruik gemaakt van een vertrouwde locatie en een expliciete whitelist voor de files | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 15 | (Web)applicaties voorkomen de mogelijkheid van dynamische file includes. Indien gebruik gemaakt wordt van een applicatieserver sluit de serverconfiguratie file includes uit. Mocht het niet mogelijk zijn aan hieraan te voldoen, dan wordt voor de includes gebruik gemaakt van een vertrouwde locatie en een expliciete whitelist voor de files | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 16 | Applicaties hebben geen run-time afhankelijkheid van externe codebronnen | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 17 | Applicaties zijn gemaakt met de op het moment van uitleveren meest recente en/of door de leverancier aanbevolen versies van externe bibliotheken, raamwerken of andersoortige bouwblokken | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 17 | Applicaties zijn gemaakt met de op het moment van uitleveren meest recente en/of door de leverancier (lees in het geval van open source: de community) aanbevolen versies van externe bibliotheken, raamwerken of andersoortige bouwblokken. Applicaties gebruiken alleen externe bibliotheken, raamwerken of andersoortige bouwblokken waarvoor de leverancier beveiligingsupdates uitbrengt. Applicaties ondersteunen alleen besturingssystemen of browsers waarvoor de leverancier beveiligingsupdates uitbrengt | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 18 | Een applicatie vangt interne fouten (excepties) af op hoofdniveau, zonder ongecontroleerd te falen (crash). Afgevangen fouten worden vastgelegd (log) en aan gebruikers wordt een melding getoond die geen inhoudelijke details bevat. Een betekenisloze referentie (code) van de fout ten behoeve van communicatie over de fout mag wel getoond worden | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
| 19 | Een applicatie heeft een uniforme en veilige wijze van applicatie-logging. De logging bevat geen inloggegevens (credentials) of vertrouwelijke gegevens over personen. Referenties (bv identifiers) zijn wel toegestaan | {prio} | De logging zorgt voor traceerbaarheid van gebeurtenissen en activiteiten in relatie tot ten minste personen, systemen, applicaties en tijd | {software, hardware, combinatie} | {partij} | {bewijs} |
| 20 | Een applicatie beperkt de gebruikte protocollen, parameters (headers) en functionaliteit tot wat nodig is. Hieronder vallen ook HTTP-headers en HTTP-methoden (liefst niet meer dan GET en POST): | {prio} | {rationale} | {software, hardware, combinatie} | {partij} | {bewijs} |
Expand Down
4 changes: 4 additions & 0 deletions Content/Wijzigingsgeschiedenis.md
View file
Original file line number Diff line number Diff line change
@@ -1,5 +1,9 @@
# Versie 4.1.0, nog niet gereleased

## Template Niet-Functionele Eisen

* Toegevoegd in paragraaf 8.1, eis 17 dat de software alleen producten gebruikt of ondersteunt waarvoor de leverancier security patches uitbrengt.

## Template Plan van Aanpak Realisatiefase

* In de paragraaf "Oplevering software" afspraken toegevoegd over het controleren van opgeleverde software op beveiligingskwetsbaarheden.
Expand Down
4 changes: 2 additions & 2 deletions pyproject.toml
View file
Original file line number Diff line number Diff line change
Expand Up @@ -8,11 +8,11 @@ classifiers = [
"Programming Language :: Python :: 3.13",
]
dependencies = [
"coverage==7.6.8",
"coverage==7.6.9",
"lxml-stubs==0.5.1",
"python-docx==1.1.2",
"python-pptx==1.0.2",
"vulture==2.13",
"vulture==2.14",
"xlsxwriter==3.2",
]

Expand Down
Loading

0 comments on commit 8742e30

Please sign in to comment.