Debian Sarge Sicherheit?!?

[BA53]

Hallo zusammen,

seitdem ich in Gentoo Kde und andere Programme komilieren musste bin ich absoluter Debianfan.
Jedoch wenn man dann lesen muss ( http://www.heise.de/newsticker/meldung/54536 ) das in den alten Versionen von libtiff schwere Sicherheitslücken existieren und man feststellen muss das man in der testing immer noch mit diesen alten Paketen unterwegs ist (Version 3.6.1), stellt sich mir ehrlich gesagt die Frage ob man die Stabilität, die man ohne jegliche Frage mit Debian erreicht, durch einen starken Einschnitt in die Sicherheit bezahlen muss?
Ich kann ja schließlich auch nicht die stable Version auf einem Desktoprechner benutzen. Wieso werden dann solche sicherheitsrelevanten Pakete nicht aktualisiert?

Wie beurteilt ihr die Sicherheit von Debian (also nicht von stable sondern testing)?

MfG BA53

[dirk_74]

Auch für Sarge/Testing existieren mittlerweile Sicherheitsupdates. Allerdings wird hier, im Gegensatz zu Woody, häufig ein Update mit einer neueren Version aus Unstable gemacht.
Du kannst Dich nicht generell darauf verlassen, dass bei Testing-Releases SecUpdates erfolgen. Die Einbindung in das Security-Team erfolgt bei Testing-Releases meist erst kurz vor der Freigabe.
Bei einem Stable-Release wird die bestehende Version gepatcht. Daher kann die Versionsnr. durchaus älter sein, es wird aber der Revisionszähler höher gesetzt (z. B. kernel-image 2.6.8.1-5).

Gruß
Dirk74

[BA53]

Oh ja ich sehe gerade im Changelog das libtiff/tif_dirread.c geupdated wurde. Habe mich leider von der Versionsnummer zu obigem verleiten lassen und dabei die -3 übersehen. Denn letztendlich ist es ja egal wie die Lücke behoben wird durch eine neue Version oder einen Fix.

Danke für die schnelle Antwort (fühle mich jetzt wieder etwas sicherer ).

[Feuerzwerg]

IMO ist das Patchen sogar die bessere Alternative. Bei einem Update auf eine neuere Version koennten Seiteneffekte auftreten, weil es noch andere Änderungen gab. Das kann zu schwer nachvollziehbaren Seiteneffekten führen.

[peschmae]

Auch für Sarge/Testing existieren mittlerweile Sicherheitsupdates.

Ja? Ich glaube nein. Ansonsten bin ich aber 100%ig einverstanden mit dem was du sagst. Guck mal hier vorbei: http://www.debian.org/debian-security/d ... g/updates/
Das ist noch arg leer.

MfG Peschmä

[dirk_74]

Habe ich übersehen, wurde mal so angekündigt. Offenbar wird momentan lieber eine neuere Version eingespielt, als die alte zu fixen. Ist bei testing auch in Ordnung.

Gruß
Dirk74

[Feuerzwerg]

Manchmal wäre ich froh ich hätte mal nicht Recht.

http://www.debianforum.de/forum/viewtop ... highlight=