Welche Pakete in Stable bekommen Sicherheitsupdates?

se · Beitrag von se » 12.07.2006 20:43:05

Hi,

Ich betreibe einen Debian Sarge (Stable) Server. Ich frage mich allerdings, ob das eine gute Idee ist, da ich gesehen habe, dass anscheinend verschiedene Pakete, die ich einsetze und sicherheitstechnisch sehr relevant sind, keine Sicherheitsupdates bekommen.

Ein Beispiel: Ich würde gerne Webmin benutzen. Das Changelog (bezogen über aptitude) zeigt allerdings eine letzte Änderung am Paket vom 15.4.2005. Seit dem sind allerdings verschiedene Sicherheitslücken für Webmin bekannt geworden. Siehe z.B. hier:
http://secunia.com/search/?search=webmin

Wie finde ich also heraus, ob ein Paket dass ich einsetzen möchte, sicherheitstechnisch gewartet wird oder nicht? Ich weiss, dass Debian ein Comunity Projekt ist, von dem ich nichts verlangen darf; aber wenn ich mich hinterher eh selber um Sicherheitsupdates kümmern muss, lohnt es sich erst gar nicht, wenn ich zur Installation zunächst auf die Paketverwaltung setze.

Vielen Dank im Voraus...

I.C.Wiener · Beitrag von **I.C.Wiener** » 12.07.2006 21:00:42

Moin,

wenn du nur das offizielle Debianarchiv mit "main" in deiner sources.list hast, werden alle Pakete, die du von dort bezogen hast, in Bezug auf Sicherheit gewartet.
Z. B.

Code: Alles auswählen

deb http://ftp2.de.debian.org/debian/           sarge             main
deb http://security.debian.org/                 sarge/updates    main

MfG

/edit: Fehler korrigiert.

Beitrag von **blackm** » 12.07.2006 23:59:56

Von den Web- und Mailservern weggeschoben.

bye, Martin

se · Beitrag von se » 13.07.2006 11:07:38

Vielen Dank für die Antwort.

Ist es denn kein Widerspruch, dass die Pakete laut Changelog nicht geupdatet wurden, obwohl mehrere Lücken seitdem bekannt wurden? Webmin z.B. liegt in Main...

Vielen Dank...

Six · Beitrag von **Six** » 13.07.2006 11:43:59

Nicht unbedingt. Debian patcht die in stable vorhandene Version. Ein Versionsupdate findet nicht statt. Jetzt folgen ein paar Fallunterscheidungen:

1) Die Webmin-Version in Sarge hat die erwähnten Sicherheitslücken nicht, weil die Lücken z. B nur in neueren Versionen sind als die Version in Debian.

2) Die Webmin-Version in Sarge hat die erwähnten Sicherheitslücken.
2.1) Debian patcht die alte Version, ohne die Major- oder Minorrevisionnummer zu erhöhen. Lediglich der Debian-Patchlevel wird erhöht.
2.2) Die Maintainer patchen das Paket aud verschiedenen Gründen nicht. Es wäre ratsam, sich an die Maintainer zu wenden.