Thema: Debian: Weiterhin Probleme mit Sicherheits-Updates

[SiLæncer]

Infrastruktur des Debian-Sicherheitssystems arbeitet derzeit nicht zuverlässig

Seit dem Release von Debian GNU/Linux 3.1 alias Sarge hat Debian Probleme mit dem Bereitstellen von Sicherheits-Updates. Schien es zunächst eher ein Frage der Organisation und mangelnder Ressourcen, mahnte der zum Debian-Security-Team gehörende Martin "Joey" Schulze nun wiederholt Probleme mit der Infrastruktur zur Bereitstellung von Sicherheits-Updates an.

Zwar sind mittlerweile erste Sicherheits-Updates für Woody (Debian 3.0) und Sarge (Debian 3.1) erschienen, doch ganz rund scheint das System noch nicht zu laufen. So bemerkt Joey Schulze in seinem Blog, dass einige Updates nicht für alle Architekturen erstellt werden. Als Beispiele führt er "bzip2" und cvs an, die für die Plattformen "arm" und "ia64" noch immer fehlen. Bei "gzip" ist nur "ia64" betroffen, während "ht" für keine einzige Architektur in einer Version für Woody alias "oldstable" erzeugt worden ist.

Das System sei derzeit komplett unzuverlässig, so Schulze. Auch Michael Stone, ebenfalls Mitglied im Debian-Security-Team, habe ähnliche Probleme festgestellt und die für die Systeme verantwortlichen Administratoren darüber informiert.

Quelle : www.golem.de

[SiLæncer]

Security-Updates sollen wieder regulär erscheinen

Das Debian-Team hat seine Probleme im Hinblick auf Sicherheits-Updates in den Griff bekommen. Künftig sollen entsprechende Updates wieder regelmäßig zur Verfügung gestellt werden, aber bereits in den letzten Tagen erschienen einige Sicherheits-Updates.

Nach der Veröffentlichung von Debian GNU/Linux 3.1 alias Sarge hatte es bei Debian einige Probleme bei der Veröffentlichung von Sicherheits-Updates gegeben. Dies wurde unter anderem auf die personelle Situation im Debian-Security-Team zurückgeführt, letztendlich waren es aber vor allem technische Probleme in Debians Server-Infrastruktur, die die Veröffentlichung von Sicherheits-Updates in gewohntem Umfang verhindert haben.

Diese Probleme sind nun offenbar gelöst, wie Martin "Joey" Schulze, Mitglied im Debian-Security-Team, in seinem Blog schreibt. Bei einer erneuten Überprüfung konnte Ryan Murray die noch ausstehenden Probleme beseitigen und die Pakete, die bisher nicht erzeugt wurden, sind nun zum Teil bereits verfügbar.

Laut Schulze arbeitet Debians Sicherheitsinfrastruktur nun wieder zuverlässig, so dass Sicherheits-Updates wohl wieder regulär zur Verfügung gestellt werden können.

Quelle : www.golem.de

[SiLæncer]

Das Debian-Team erklärt in einem Anouncement, dass die Probleme bei der Bereitstellung von Sicherheits-Updates nun behoben seien und beteuert, dass man ab sofort wieder in der Lage sei, regelmäßig Updates für GNU/Linux 3.1 (Sarge) und 3.0 (Woody) bereitzustellen.

Tatsächlich sind in den vergangenen Tagen bereits eine ganze Reihe von Updates nachgereicht worden. Darunter findet sich beispielsweise ein Patch für eine Lücke im Concurrent Versions System (CVS), die bereits im April bekannt wurde, aber auch auf aktuelle Sicherheitsprobleme wie den gestern gemeldeten Pufferüberlauf in der Kompressionsbiliothek zlib hat das Team bereits reagiert. Andere Patches, wie der für die Lücke in SquirrelMail von vor zwei Wochen, warten allerdings noch auf ihre Freigabe.

heise Security hatte Ende Juni festgestellt, dass bereits seit geraumer Zeit keine Sicherheits-Patches für Debian mehr erschienen waren und das Security-Team nicht mehr auf E-Mails antwortete. In der folgenden Diskussion stellte sich heraus, dass es technische Probleme bei der Umstellung der Infrastruktur auf Debian GNU/Linux 3.1 gab und das Security-Team aus nur noch einem aktiven Mitglied bestand, das gerade anderweitig beschäftigt war. Debian beteuert nun: "Die Probleme wurden vollständig behoben und die Infrastruktur arbeitet wieder korrekt." Was das konkret für die weitere Arbeit des Teams bedeutet und insbesondere wie man sicherstellen will, dass keine weiteren derartigen Ausfälle auftreten, lässt das Announcement jedoch offen.

Debian GNU/Linux 3.0 alias Woody will das Debian-Team im Zweig "oldstable" noch bis Mai 2006 mit Updates versorgen, falls nicht vorher der Security-Support für das nächste Debian-Relase mit dem Codenamen "etch" anläuft.

Quelle und Links : http://www.heise.de/newsticker/meldung/61517

[SiLæncer]

Debian-Mitarbeiter Martin Schulze hat heute in der Mailing-Liste Debian Development Announcements das Ende seiner Tätigkeiten als stable release manager bekannt gegeben. Verbittert drückt er dabei sein Bedauern aus, dass er nicht länger gewillt sei, die Arbeitszustände zu akzeptieren.

Nach Schulzes Ansicht fehlt es an der nötigen Kooperationsgemeinschaft von Seiten der ftpmaster. Die ganze Situation mache ihn krank, wütend und frustriere ihn vollkommen, weshalb er nun aufgebe. Seinen Versuch, den stabilen Zweig von Debian regelmäßig mit Updates zu versorgen, sieht Schulze als gescheitert. Fünf Jahre lang widmete er sich dieser Aufgabe. Martin Zobel-Helas und Andreas Barth wollen die Nachfolge antreten.

Quelle : www.heise.de