|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
 |
|
|
|
Von Anonymer Feigling am Thursday 15. March 2007, 18:36 MES (#1)
|
|
|
|
|
auch openbsd ist nicht vor solchen problemen sicher - schliesslich ist ein betriebssystem komplex und die programmierung dessen schon sehr fehleranfaellig. openbsd hat es doch geschaft in den letzten 10 jahren lediglich 2 loecher zu haben welche eine codeausfuehrung ermoeglichen.
ich find das system nach wie vor großartig - vorallendigen finde ich die einfachheit und strukturiertheit und der drang zu vollstaendiger offenheit anerkennenswert.
go on puffy!
|
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Thursday 15. March 2007, 18:54 MES (#2)
|
|
|
|
|
> openbsd hat es doch geschaft in den letzten 10 jahren lediglich 2 loecher zu haben welche eine codeausfuehrung ermoeglichen.
2 'offizielle Loecher'
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 23:20 MES (#14)
|
|
|
|
|
In der Default-Konfiguration wohlgemerkt. D.h., hätte man IPv6 per Default abgeschaltet, wäre es immer noch nur 1 Lücke in 10 Jahren. Da bei OpenBSD per Default AFAIK sowieso keine Dienste laufen - was inzwischen bei vielen OS der Fall ist - ist es aber auch nicht unglaublich verwunderlich, das es nur wenige remote exploits in der Default-Installation gab. Ich will OpenBSD nicht schlecht machen, aber man kann es eben sehr schlecht mit anderen OS vergleichen, die eine viel breitere Anwenderschaft bedienen wollen oder müssen. Jedes andere BSD oder Linux mit einer minimalistischen Konfiguration dürfte kaum weniger sicher sein.
Ich bin aber immer wieder erstaunt, wie leicht Leute sich manipulieren lassen. Kaum bezeichnet jemand sein Projekt als sicher, wird gleich reihenweise davon ausgegangen dieses sei das sicherste überhaupt. Dabei kennen viele OpenBSD nur vom Hörensagen oder schmeissen es gar mit einem anderen BSD in einen Topf.
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Thursday 15. March 2007, 19:53 MES (#4)
|
|
|
|
|
also ich würde auch erstmal prüfen in wieweit der bugreport recht hat und so weiter und so fort.
es ist ja alles auf der openbsd.org webseite geaendert wurden.
ich find es nur lustig wie die halbe welt die openbsd entwickler draengt mal einen bug "anzuerkennen" und wenn mal im linux oder im freebsd oder sonstwo nen bug drin ist wird dann geschrieben "ja da ist mal wieder nen bug und da noch einer" und zur tagesordnung weitergehen.
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 22:21 MES (#12)
|
|
|
|
|
arroganz wäre ein "Only 0 remote holes in 10 years" ;)
|
|
|
|
|
|
|
|
|
|
|
|
|
Das waere dann eher Ignoranz. :)
- Hubert
|
|
|
|
|
|
|
|
|
|
|
|
|
(Es geht übrigens um "remote root", also nicht
die, wo man lokal angemeldet sein muß oder
nur DoSt. MirBSD hat jetzt eins in 4½ Jahren,
der Bug betraf uns auch.)
Naja, das find ich auch schwachsinnig, daß
sie sogar noch versucht haben, das herunter-
zuspielen, als sie vom proof of concept be-
nachrichtigt wurden.
Ich hab den Patch glücklicherweise sofort als
er verfügbar wurde auch bei uns (MirBSD) appli-
ziert, und als ich dann - auf undeadly.org
erst - von der Sicherheitsrelevanz erfuhr,
schickte ich sofort 'ne Mail an unsere Liste;
genialerweise wurde vorher ein Binärsnapshot
bereits mit dem Patch veröffentlicht, unsere
User sind also gut versorgt.
Naja, es wird ja eh gemunkelt, außer in den
Subprojekten (OpenSSH, OpenBGPd, OpenOFPFd,
OpenRIPd, OpenRCS) tue sich bei OpenBSD eh'
nichts mehr seit 4.1 - nichts an der Treiber-
front (von den Meinberg Funkuhren mal abge-
sehen), keine wirklichen Verbesserungen im
Basissystem (einzig ACPI wird peu à peu nutz-
barer gemacht), und sie kümmern sich um nichts
mehr - erschreckend, daß auch Sicherheitslük-
ken dazugehören.
Ich bin BSDler, ich darf das!
Dieser Platz zu vermieten!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 11:28 MES (#7)
|
|
|
|
|
Is it possible to fix the exploit without starting to learn all the theory about compiling the OpenBSD system? I have a system installed from binaries and have no time to learn all the theory.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 11:52 MES (#8)
|
|
|
|
|
block in inet6
You could also download a snapshot-kernel.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 23:08 MES (#13)
|
|
|
|
|
Wenn Theo das ersnt meinte, würde er IPv6-Support einfach rausschmeissen. Tut er aber wohl nicht. Er wird schon wissen warum.
|
|
|
|
|
|
|
|
|
|
|
|
|
"Drang zur vollstaendigen Offenheit"? Hmm, hmm.
Wenn ich mir das 'Logfile' auf der von Slashdot verlinkten Seite ansehe, scheint es mir eher so, als ob da hin und wieder ein paar Dinge verharmlost werden sollen, nur damit der kernige Werbespruch nicht geaendert werden muss. Ich weiss nicht, ob man das noch als vollstaendige Offenheit bezeichnen kann.
|
|
|
|
|
|
|
|
|
|
|
|
|
Ach, das kommt noch besser. allbsd.de hat eine
"Stop Blob" Kampagne gestartet, weil die ande-
ren BSDs sich damit auch identifizieren kön-
nen, und Theo meinte, sie würden sein gei-
stiges Eigentum gefährden, Ideën klauen und
den Pufferfisch illegitim aufm Poster nutzen.
(Die Mail ging an die allbsd-misc Mailingli-
ste, find nur gerade keinen Archivlink.) Die
Kampagne heißt jetzt NoBlob:
http://misc.allbsd.de/Kampagnen/NoBlob/
Ich bin BSDler, ich darf das!
Dieser Platz zu vermieten!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 20:12 MES (#11)
|
|
|
|
|
Ich wollte OpenBSD logo auf Ronja website nutzen, und auch konnte nicht (unter verwendbare bedingungen).
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Saturday 17. March 2007, 13:22 MES (#16)
|
|
|
|
|
Du liest misc@, oder? Theo hat erklärt warum er (und somit OpenBSD) nichts mit NoBlob zu tun haben will. FreeBSD baut immer mehr Blobs ins System blockiert mit all den NDAs die Versuche Dokumentation zu kriegen und und soll dann neben OpenBSD in einer Kampagne für freie Dokumentation stehen. Das ist hirnrissig.
Mit IP allein hat das wohl eher wenig zu tun.
|
|
|
|
|
|
|
|
|
|
|
|
|
Nein, lese ich nicht.
Ich bin BSDler, ich darf das!
Dieser Platz zu vermieten!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 16. March 2007, 23:47 MES (#15)
|
|
|
|
|
was die leute hier oder dort wahrscheinlich nicht wissen, weil sie sich das advisory von corelabs nicht durchgelesen haben ist, dass sich die luecke nur vom lan ausnutzen laesst (bzw. durch einen tunnel zum ziel). s. corelabs.
sowas wird nie bei hei$e & co. erwaehnt ... typisch? ;-(
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Och, Dein ISP kann Dir auch auf dem pppoe(4)
Interface (oder ähnlich) sowas schicken...
Übrigens gibt's seit eben (grr!) eine zweite
Auflage des Patches, beim ersten haben sie
wohl (in der Eile, und ich mache da auch kei-
nen Vorwurf draus, ist nur halt ärgerlich,
schon wieder neu bauen zu müssen) was verkackt.
Ich bin BSDler, ich darf das!
Dieser Platz zu vermieten!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Sunday 18. March 2007, 17:49 MES (#20)
|
|
|
|
|
huch, das ist mir jetzt zu viel des boesen...
aha.
|
|
|
|
|
