Moeten we ons zorgen maken?

[koffieboon]

Ik las dit: http://threatpost.com/ghost-glibc-remote-code-execution-vulnerability-affects-all-linux-systems/110679
Veel begrijp ik er niet van maar ik vraag me af of we ons zorgen moeten maken?

[Paul Matthijsse]

Neen, denk ik niet. Die site is een soort van ik-ben-de-beste-hacker-ter-wereld-en-ik-presenteer-jullie-de-ergste-tot-nu-toe-niet-disclosed-linux-attacks-EVER-etc. Vooralsnog negeren.

[VuurVosje]

Nou, dat is niet helemaal waar: dit is weldegelijk een serieus lek. 
Maar gelukkig heeft de open source community dit lek gisteren al gedicht. 
Dus even op updaten drukken en je krijgt een nieuwe versie van glibc.
(update alleen voor Ubuntu 12.04 en Mint 13 nodig, U14 en LM17 hebben al een nieuw glibc en hebben dus nooit een probleem gehad)
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/GHOST
http://www.ubuntu.com/usn/usn-2485-1/
http://forums.linuxmint.com/viewtopic.php?f=47&t=188327

Kortom: geen zorgen (meer)


Edit: ivm onduidelijkheid status 14.04

[Lowlands]

Dus Ubuntu 14.04 heeft nog steeds dit lek?

[Johan van Dijk]

Ubuntu 14.04 is niet lek geweest.

[Lowlands]

Aha,dus al meteen lekvrij gemaakt?Mooi!

[erik1984]

Aha,dus al meteen lekvrij gemaakt?Mooi!

Je moet het zo zien: het lek zit in een bepaald pakket dat Ubuntu gebruikt. In dit geval glibc. De makers van glibc hebben dit probleem ergens in 2013 aangepakt:

According to Qualys, there is a mitigation for this issue that was published May 21, 2013 between patch glibc-2.17 versions and glibc-2.18.

(Uit het artikel van Koffieboon)

Ubuntu 14.04 (April 2014) heeft deze patch dus al automatisch aan boord. Het lek is al eerder upstream gedicht. Deze patch werd echter niet gezien als een essentiële veiligheidsupdate en is daarom nooit doorgevoerd voor Ubuntu 12.04. (die een oudere versie van glibc heeft) Nu dus wel.

[Lowlands]

Eeh,ja,zo had ik het ook al begrepen...