Gnome 2.6 release vertraagd door serveronregelmatigheden

Afgelopen woensdag is door Jeff Waugh, medewerker van het Gnome-project, bekendgemaakt dat de release van Gnome 2.6 is uitgesteld tot 31 maart. Het uitstel is het gevolg van de recente inbraak in een van de Gnome-webservers afgelopen dinsdag. Ondanks dat geen van de al uitgebrachte sources is veranderd, wilden de sysadmins geen enkel risico lopen en hebben ze ervoor gekozen om eerst de server te analyseren en opnieuw in te richten en daarna pas Gnome 2.6 vrij te geven. Dit zal op 31 maart gaan gebeuren. In een e-mail die gestuurd is aan de announce-list van Gnome biedt Waugh namens het Gnome-team zijn excuses aan, vooral aan iedereen die afgelopen woensdag naar een van de Gnome 2.6 release feestjes had willen gaan. Het is de afgelopen maanden vaker voorgekomen dat een van de servers van een open-sourceproject is binnengedrongen door onbevoegden.

In november en december zijn respectievelijk de servers van Debian en Gentoo ten prooi gevallen aan hackers. In augustus vorig jaar waren de servers van The GNU Project al hetzelfde lot ten deel gevallen. De indringing is afgelopen dinsdag om 1 uur PST ontdekt toen Widget, een bugdatabaseserver, vreemd begon te doen. Eerst werd gedacht dat dit gedrag veroorzaakt werd door een update van de databasesoftware, maar al snel werden enkele vreemde programma's op de server ontdekt. Tussen de ontdekking van de inbraak en de indringing zelf heeft ongeveer twee uur gezeten. Tijdens de zoektocht naar de oorzaak, zijn de admins een root kit tegengekomen. Op dit moment denkt men dat de inbraak mogelijk is geweest door een vulnerability in Rsync. Dit is waarschijnlijk een soortgelijke bug als waar Gentoo last van had op het moment suprème afgelopen december.

Reacties (46)

[wzzrd]

Trouwens triest als dit dezelfde vulnarability is als bij Gentoo misbruikt is, daar is al lang een patch voor. *n?x mensen moeten beter weten, zeker programmeurs!

Wat denk je nou? Dat dat dezelfde mensen zijn die daar de servers beheren en die aan Gnome knutselen?

[Equator]

Nou, inderdaad..
Ik ken enkele developers, die ik onder geen beding op mijn servers wil toelaten..

Helaas komt het nog altijd overal voor dat er vanwege werkdruk, danwel andere redenen een update niet wordt geinstalleerd.

Het valt natuurlijk wel onder een stukje dagelijks beheer, maar als je op iedere patch direct moet reageren is het bijna een complete dagtaak.. (En dat geld voor zowel Microsoft Windows als Linux)
Dat een patch eerst grondig wordt getest, voordat het op de productieservers wordt geplaatst lijkt mij niet meer dan logisch, en dan kan het wel eens voorkomen dat je wat laat bent met het uitrollen van een belangrijke securitypatch. Maar enkele maanden is natuurlijk niet zo netjes.

Helaas blijkt maar weer dat er eerst iets moet gebeuren erdat het op hogerhand ook duidleijk wordt dat tijd/geld voor vrij gemaakt moet worden om dergelijk werkgoed op te pakken.

*n?x mensen moeten beter weten, zeker programmeurs!

Niet alleen de unix/linux etc. mensen, maar ook de Windows beheerders.
zoals al eerder vermeld, dit gebeurt op alle OS'en

[Verwijderd]

Zou zomaar kunnen, hosted by RedHat. Die doen flink wat Gnome ontwikkeling.

Wie beter om een netwerkserver te maintainen dan een programmeur die de Netwerk software zelf heeft geschreven?
En er zijn ook netwerrk packages in Gnome, dus is het helemaal niet uitgesloten dat er beheerders daar zijn die ook aan Gnome werken.

Wil natuurlijk niet zeggen dat het zo is.

[Verwijderd]

Om de stabiliteit van Gnome zelf gaat het inderdaad niet. Heb het al een tijdje draaien, eerst 2.5 versies nu 2.6. Na aanvankelijk een dependency probleempje bij de installatie ben ik geen bugs meer tegen gekomen. RC1 draait als eenn zonnetje. Dat maakt het zo jammer dat een inbraak op de webserver tot uitstel leidt.

Gnome 2.6 is er klaar voor!

Voor de mensen hier die nu tot 31 maart wachten, het is het wachten waard!

Spatial mode nautilus is heel handig, al moet je er even aan wennen, je hebt een muis met 3 knoppen nodig om lekker te werken maar wie heeft dat nu niet in 2004?

Tevens werkt het allemaal iig subjectief sneller.

De nieuwe nautilus werkt met een stuk meer websites, maar dat ligt waarschijnlijk meer aan de gebruikte versie van Gecko dan aan Nautilus an sich.

De nieuwe gtk filechooser werkt ook een stuk beter. Ik ben er nog niet helemaal aan gewend, heel anders als onder windows en heel anders als de oude standaard

Trouwens triest als dit dezelfde vulnarability is als bij Gentoo misbruikt is, daar is al lang een patch voor. *n?x mensen moeten beter weten, zeker programmeurs!

[Verwijderd]

Alleen zou er natuurlijk nu een backdoor in kunnen zitten, ik zou er iig niet gerust op zijn.

[Verwijderd]

Wat moet een simpele gebruiker nu denken, als zelfs de programmeurs van OS'en hun servers niet vrij kunnen houden van hackers....

[pietje63]

1; hoge bomen vangen veel wind
2; ze schrijven geen os
3; als het goed is worden alle belangrijke met het www verbonden webservers door een prof beheert
4; waarschijnlijk zijn het niet de programmeurs die verantwoordelijk zijn voor de website

Ik zeg TOP dat ze niet het risico willen nemen dat iemand iets aan de download verandert, dat ze de security van de eindgebruiker belangrijker vinden dan hun eigen bedrijfsnaam/resultaten.

[Verwijderd]

Ik vindt het echt ongeloofelijk slecht dat ze rsync niet hebben geupdate. Deze vunerability is echt al maanden oud. En ze moeten dan ook nog verouderde kernels draaien. Anders had die rootkit niet geinstalleerd kunnen worden.

Kort om slecht.

[_JGC_]

Mja, er is bijzonder weinig over bekendgemaakt, welke rootkit, welke exploit en of er wel een rootkit geinstalleerd is.

Een tijd geleden hadden we logins uit vreemde landen in onze terminalservers, ook rootkits tot en met die we vonden bij sommige users. In paniek raken? Nee, we hebben alleen die troep verwijderd en de users met slappe passwords even geschopt, die mochten een nieuw password invullen.

De Cracker die dit geflikt heeft wist waarschijnlijk niet eens dat dit de gnome WWW server was, waarschijnlijk was het gewoon een van de vele servertjes uit een scan. Het moet ook wel een scriptkiddie geweest zijn, want iemand die weet wat ie doet laat zn rootkits niet in /tmp staan

edit: waarom wij niet in paniek raakten vanwege die rootkits was omdat we de rootkits waar het om ging wel kenden, en waar wij zeker van wisten dat onze grsecurity kernels dat nooit toe zouden staan.

[YaPP]

Een tijd geleden hadden we logins uit vreemde landen in onze terminalservers, ook rootkits tot en met die we vonden bij sommige users. In paniek raken? Nee, we hebben alleen die troep verwijderd en de users met slappe passwords even geschopt, die mochten een nieuw password invullen.

Als een server gehackt wordt is het idd niet de bedoeling om in paniek te raken, maar wel om de plug eruit te trekken, en de server opnieuw op te zetten. (verste install dus!), en ook je config niet domweg kopieren.

Je weet namelijk niet waar de hacker nog backdoors heeft geplaatst.. (wie weet in /bin/login ... ? )


Verder ben ik het wel met je eens... een echte cracker zal zijn tools niet in de temp-map achter laten behoorlijk lame.

[Verwijderd]

4 jaar is misschien overdreven:
http://www.tweakers.net/nieuws/30991

Tussen de ontdekking van vulnarabilities van Linux en de openbaarmaking zit meestal geen 6 maanden. Kijk voor een van de meest uitgestelde warnings maar eens naar ssh-problemen:
http://www.tweakers.net/nieuws/22287

Dit was een vervelende waarbij eerst verteld werd hoe je de service uit moest zetten (of vervangen door een gepatchte versie) en een week of 2 later werd de bug uitgelegd.

Feit is dat bij een open source systeem de bug openbaar gemaakt moet worden als je een security fix introduceert. De ergste hackers zien nl wel de mogelijkheden die niet elke systeembeheerder ziet.

Security by obscurity (= doodzwijgen) is gewoon niet mogelijk bij open source. Je ziet ook altijd bij de meest betrokken sites tussenoplossingen verschijnen )bijvoorbeeld aanpassingen op kernels) voordat de uiteindelijke versie de problemen oplost. Dat betekent een mentaliteit van problemen voorkomen en een oplossing zoeken. Als je dat een beetje volgt weet je in elk geval zonder je eigen systeem in detail te bekijken hoe erg het probleem voor jouw machines is.

Nee, dan is blind updates installeren echt veeeel beter.

[macnerd]

Ik ben geen expert op Linux-gebied, maar is er onderhand nog geen tooltje voor automatische updates, zoals bij Windows?
Juist zoiets (makkelijk beheer) zou een enorm verschil kunnen maken. Veel mensen vermijden Linux omdat het te moeilijk voor ze is, denk ik.

Eventueel zou je moeten kunnen aangeven dat patches zo snel mogelijk toegepast moeten worden, of juist dat ze eerst goed getest moeten zijn door een grote hoeveelheid gebruikers.

[Verwijderd]

emerge -uD world
apt-get upgrade
up2date
yast (?)

Elke distro heeft wel zo iets, je moet het alleen runnen...

[DaWaN]

Die hackers moeten ook altijd alles verpesten

[Verwijderd]

Dat is waar ja. Maar als het met Windows mis loopt roept iedereen : slecht beveiligd! Bah, updates, kan het dan echt niet anders! en ga zo maar door.
Ik neem aan dat er door Gates, Ballmore en anderen met leedvermaak naar dit bericht wordt gekeken.
Dat neemt natuurlijk niet weg dat ik dit afkeur. Ten tweede vind ik het jammer dat Gnome 2.6 is uitgesteld. De beperkte tijd die ik in Linux spendeer breng ik graag door in de Gnome omgeving. Ik hoop trouwens nog steeds op de goodwill van sommige softwarefabrikanten zodat ik al mijn werk in Linux kan verichten.

[RobT]

Is niet waar, alleen de foute mannetjes wijzen met leedvermaak naar Windows/MS, vooral als er een exploit gebruikt wordt waarvoor al een fix door MS uitgebracht is. (MSBlaster bv.)


Echter:
1) zo'n fix van MS is voor de meesten een kwestie van afwachten, hoor je niet dat het een boel systemen verneukt, dan kan je er misschien zelf ook aan beginnen. Ik weet niet waarom dat zo is, maar die houding heeft men vaak. Je ziet ook regelmatig dat fixes andere dingen breken, en dat zie je veel minder bij BSD of Linux (misschien door de opbouw, alles is veel meer modulair/minder verweven?).
2) bij MS flikken ze het wel een security update uit te brengen die extra voorwaarden met zich meebrengt: WMP patch. Die extra rechten, die je aan MS geeft als je die fix installeert zie ik als 'legale trojan' (itt een binair trojan)....

Bovendien zijn er genoeg mensen die bij linux hetzelfde roepen.

Het grote verschil: bij linux/FLOSS is er niet een bedrijf dat je de schuld kunt geven, nu wordt ook gezegd: het is de schuld van de webmaster/maintainer. Bij MS is het gemakkelijker naar MS te wijzen, dan je eigen webmaster aan te spreken.
Dit heeft natuurlijk wel het VOORDEEL voor MS - dat men voor de keuze gesteld: MS of FLOSS vaak liever MS kiest, dan blijft men zelf buiten schot.

[K.C.]

Even aanvullend op Kris.

Op zich zegt de header van dit item al veel over de algemene mening bij velen hier. "Gnome 2.6 release vertraagd door serveronregelmatigheden" terwijl er in het artikel staat "gevolg van de recente inbraak". Als dit bij andere minder populaire clubs zou gebeuren zou dit met meer "sensatie" als een hack zijn gepost.

[Verwijderd]

Crackers, niet hackers.

Een hacker zou de site admin inlichten over de gevonden security vulnerability, en aanwijzingen geven om het lek te dichten.

Het verschil tussen een Hacker en een Cracker is wel iets wat tweakers nu onderhand zouden mogen weten.

[Ritch]

Het verschil tussen een Hacker en een Cracker is wel iets wat tweakers nu onderhand zouden mogen weten.

En zeker die tweakers die er over gaan zeuren en het dan nog fout hebben ook.
Hacken is software schrijven op een minder nette manier. Zo heb ik voor m'n werk vaak genoeg wat in elkaar gehackt om iets te testen, of om te kunnen werken met rare eigenschappen van VisualBasic ofzo.
Als we dan toch hacken gebruiken voor het binnendringen van een server hebben we het imho over whitehat and blackhat hackers en niet meer over crackers.

[frozensky_]

Ik ben van mening dat crackers de mensen zijn die software kraken, om bv. time bombs van eval versies onschadelijk te maken. Of om de functies van dongles te vervangen in software zodat deze dongles niet meer nodig zijn. Hacken is meer het inbreken in servers OF het inelkaar zetten van software op een snelle/vieze manier zoals ritch al melde. Het engelse wordenboek vermeld alleen de tweede versie, de nederlandse alleen de eerste (afhankelijk van welke editie enzo natuurlijk) dus het is nogal schimmig allemaal.

[BezurK]

hackers zijn degenen die gnome maken, crackers zijn degenen die het kraken

[Verwijderd]

Even flauw doen hoor, maar waar staat dat het servers zijn waar een linux distributie op draait? Ik lees het niet in het artikel. Dus mischien zijn het wel windows servers waar op ingebroken is.

Maar alle gekheid op een stokkie, natuurlijk is geen enkel systeem veilig ook de diverse Linux distributies bevatten fouten. Het verschil met windows in mijn ogen is echter dat men er eerlijk voor uit komt als er een bug is en MS er soms (niet altijd) 6 maanden mee wacht om het te melden aan het grote publiek.
Updaten is voor elk OS belangrijk!

@Omega Supreme
Dat kan er wel staan, maar dan nog staat er niet welk os er gebruikt wordt, Ook MS heeft wel eens een ander os gebruikt voor hun servers.

[Verwijderd]

Even flauw terug doen: er staat onder aan de gnome site ´hosted by RedHat´ die gebruiken echt geen windows en zeken ook geen SystemV.

Voor de rest 100% eens

[Verwijderd]

De hosting wordt door RedHat verzorgd, maar het zijn Debian servers.

[Verwijderd]

Yep, ook voor linux geld "Draai je update's"

[Verwijderd]

en nog vaker dan windows

[somnus]

Het typeert echt wel dat zo'n soort posts gedoemd zijn om 0 of -1 te krijgen, je hebt geluk dat ie nu nog op 1 staat en dankzij mij zelfs inzichtvol heeft gekregen (voorlopig toch)

Het is al langer bekend dat er alleen maar commentaar op ms mag gegeven worden en niet op linux want dan wordt er dadelijk met flamebait gemodereerd...

Deze is dus ook gedoemd om maximum een 0 te krijgen. Maar ik trek het me niet aan, heb toch een hoog genoege score
Bewijs jullie en selecteer maar een paar keer flamebait ofzo.

[Verwijderd]

Facts: De Linux kernel had alleen al in 2003 15 vulnerabilities. Een gemiddelde Linux distributie heeft twee keer zo veel lekken als Windows.
bron: http://www.theinquirer.net/?article=13420

Linux servers worden overigens bij bosjes tegelijk gekraakt (iedere maand weer).
bron: http://www.zone-h.com/en/stats

[RobT]

Zo'n opmerking verlangt toch een aanvulling/correctie:
je kunt een distributie niet vergelijken met MSWin X vanwege de software die meegeleverd wordt. Security advisories tellen heeft weinig zin als je niet kijkt waarvoor die meldingen zijn.

Een gemiddelde linux INSTALLATIE (dus niet distributie, want dan tel je veel meer dingen mee die men vaak niet gebruikt/geinstalleerd heeft) heeft veel minder dan die vermelde lekken, en daarbij komt nog dat je moet kijken naar de ernst van een lek, hoe gemakkelijk je 'm kunt exploiten (via script/worm, remote of alleen lokaal etcetc), en naar de tijd die verstrijkt tussen het bekend worden van het lek en de fix.
Kijk ook hier:
http://www.eeye.com/html/Research/Upcoming/index.html

Wie gewoon naar aantal security issues kijkt, die klakkeloos optelt en dan concludeert wat dan wel het veiligste systeem zal zijn heeft geen kaas gegeten van security.

Daarnaast klopt je 2e opmerking als een bus, er worden inderdaad bij bosjes linux servers gehacked.


[edit]
Als linux advocaat vraag ik me toch af waarom yep hierboven opeens op 1 (troll) staat, wat hij zegt klopt precies. 2 (informatief) is het minste wat hij moet krijgen, van de andere kant geen 4, want mijn opmerking in aanmerking nemende is het duidelijk dat zijn informatie zoals hij het presenteert niet veelzeggend is. Het kan echter geen troll zijn, omdat hij de bewuste informatie niet interpreteert... Ah well, mijn mening...

[stvn]

Hoewel ik het met je eens ben dat linux absoluut niet onkwetsbaar is zijn je 'Facts' statistiek en iedereen weet of zou moeten weten:
er zijn leugens grote leugens en statistiek

Of zoals iets verderop op de site van zone-h staat:
(http://www.zone-h.com/en/winvslinux2):
'YOU SHOULD SEND ALL THIS ANALYSIS AND THESE GRAPHS IN /DEV/NULL'

Want webserver veiligheid is niet perse OS of server afhankelijk.

En over je linux distributie vs. Windows fact: vergeet niet dat een distributie meer bevat dan een OS; er zitten al snel een paar duizend applicaties in, kleine maar ook grote,

[NaliXL]

True, maar waarschijnlijk gaat het hier telkens om de laatste "stable" versies van de kernel...? Een wat oudere, verder doorontwikkelde kernelversie zal niet vaak vulnerabilities bevatten denk ik zo.

En tja, dat van die distro's: wat wil je ook, met vaak duizenden softwarepaketten keuze? Dat kán toch simpelweg niet allemaal veilig zijn....

[Seleucus]

Ik neem aan dat als de statistieken zouden uitwijzen dat Windows kwetsbaarder was je diezelfde statistieken geen leugens zouden vinden?

Ik zie een Windows CD ROM ook als een distributie, er zit toch ook een Browser een Mailprogramma en een Mediaspeler bij? En op de servereditie staat zelfs nog veel meer...

[maartena]

Ook een feit:

Linux gebruikers patchen lekken eerder en vaker omdat ze wat van computers afweten. 80% van de computer gebruikers in de wereld zullen pas na erg lang aandringen van nieuwsberichten eens na gaan denken "mischien moet ik mijn computer ook maar eens updaten..... hoe doe ik dat ook alweer?".

De reden waarom hackers/scripters/lamers virussen en exploits schrijven voor Windows lekken is juist omdat het grootste gedeelte van de gebruikers niet op tijd patched. Bij Linux is de lol er na een week alweer af, want iedereen heeft z'n servers dan pot dicht zitten

Daarbovenop komt nog eens de verdeling op de DESKTOP (niet op servers): Zo'n 92% Windows, 5% MacOS, 3% Iets anders, waarbij Linux dus bij de groep "Iets anders" hoort. Nogal logisch dat er zoveel nieuwswaarde is bij Windows lekken en/of patches.

[BillyBee]

antwoord op Maartena: Bijna onzin wat je verteld...10-20% van de linux gebruikers patched hun systemen misschien, maar je wilt niet weten hoeveel systemen NIET gepatched worden, of automatisch gepatched worden door scriptkiddies met hun rootkits om zo ervoor te zorgen dat de systemen niet opnieuw door andere kids gehacked kan worden...En alleen ZIJ er nog op kunnen via hun backdoors...Vele linux servers worden dag in dag uit 'gehacked'/'gescriptkiddied' enz. waar IMHO meer animo voor is dan voor Windows machines...Behalve dan de laatste golven van virussen met backdoors en de hedendaagse populariteit van windows systemen te gebruiken om mee te DDOS'en en veelal is dat dan ook nog eens geautomatiseerd, bij linux zijn het vaak clientprogramma's die wachten op een commando van de master om een target te gaan DDOS'en.

[BillyBee]

reactie op stvn

En over je linux distributie vs. Windows fact: vergeet niet dat een distributie meer bevat dan een OS; er zitten al snel een paar duizend applicaties in, kleine maar ook grote,

al die kleine programma's blijven niet in de achtergrond draaien, athans, toch zeker niet allemaal tegelijk enz. dus zowiso kun je er niet vanuit gaan dat bij zulke hoeveelheden programma's de kansen op inbraak ook exponentieel groeien. Hacks worden meestal via Network services uitgevoerd zoals webservers, ftpservers, dnsservers, RPC servers, samba servers, NFS servers enz. er zijn ook genoeg lokale exploits, maar zie dan eerst maar eens op een systeem te komen om uberhaupt lokaal iets uit te kunnen voeren...Kortom het gaat vooral om remote-exploits en die gelden alleen voor server-services die in de background draaien...en veelal zitten daar juist de meeste lekken in. WuFTPD en BIND zijn voor zeer lange tijd ZEER lekke pakketen geweest...hoe dat tegenwoordig (LEES: Afgelopen 1,5 jaar) is zou ik niet weten..

[DataGhost]

ze worden dan ook vaker gemaakt he

[Verwijderd]

Ook voor T.net geld dat je geen onzin moet posten...

De gebruikte vulnerability is niet bekend en ook niet gefixed, dus je kunt patchen wat je wil...

[Guru Evi]

Aan allen die hier pro-Microsoft zitten te kwelen:
Het microsoft netwerk was reeds 14 dagen gehacked en source gestolen voordat eigenlijk er iets aan gedaan werd.
Tis natuurlijk stom dat je door een update je server gehacked wordt maar dan zijn er in Windows 2000 al bugs die er al in 4 jaar niet uitgehaald zijn omdat ze voor Microsoft te onbelangrijk zijn. (oa WebDAV)

[Verwijderd]

Het "Microsoft Netwerk" zoals jij dat noemt is nooit gehacked. Het enige wat in de buurt kwam is een DDOS attack waar zowieso geen enkel OS tegen opgewassen is. Als je de source code hack van Windows bedoeld, deze is gestolen van het Israelische bedrijf Mainsoft. Ironisch genoeg stond de broncode op een Linux Server (die gehacked is).
Bron: http://www.eweek.com/article2/0,4149,1526831,00.asp

Ben ten slotte ook erg benieuwd naar je bronnen die aantonen dat er reeds 4 jaar lang bekende bugs zitten in Windows 2000. Het is namelijk erg makkelijk om dit soort fabels de wereld in te helpen zonder bronvermelding...

[Verwijderd]

yep!

Het netwerk van MS is vorig jaar gehacked. Toen hebben hackers 12 dagen toegang gehad tot de broncode van windows.

ps heb je niets beters te doen dan een bedrijf verdedigen dat de meest walgelijke markstrategieen over de rug van de consument pleegt? Hint: http://www.morehouse.org/hin/uberzines/HWA/HWA-hn40.txt
en dan zoeken op "FLIPZ" in de pagina



d4y5 0f 4 L0v3 51cK fL!z 26 okt 1999

[TheOneLLama]

Het MS netwerk is ook wel eens gehackt (google maar een beetje), maar dat heeft idd niks met die uitgelekte sourcecode via Mainsoft te maken..

[RobT]

Kom je nou alweer met die link naar de Inq aan, ik heb je boven toch al uitgelegd dat dat niet echt een best argument is... naja zelf weten..

edit: darn, niet goed gelezen, sorry, mijn fout.

[Verwijderd]

Dit is een andere link. Het geeft aan dat de Windows source code niet gestolen is door het Microsoft netwerk te hacken maar doordat een (Linux) server van Mainsoft gehacked is...

[YaPP]

@yep:

Het "Microsoft Netwerk" zoals jij dat noemt is nooit gehacked.

Microsoft heeft er zelf minder belang bij om bekent te maken dat ze gehackt zijn. Toegeven, de Micrsoft website is zeer stabiel, snel, en altijd in de lucht, maar gehackt is ie zekerste weten wel een aantal keer!

De stabiliteit van microsoft.com is ook deels de danken aan het kapitaal dat Microsoft heeft voor het runnen van een server-park. niet iedere open-source ontwikkelgroep heeft zo'n groot serverpark als Microsoft.. beter gezegt geen een.