ubuntuusers.de

Hi @ all,

ich wollte nur eine Frage aus einem anderen Thema beantworten, ohne dort das Thema zu entführen - und eventuell ein bisschen über die Thematik quatschen. 😉

Kreuzschnabel schrieb:

Warum benutzt man überhaupt noch bookworm, also oldstable? Trixie ist seit 7 Wochen stable.

--ks

nun ja, und warum sollte man bookworm nicht mehr nutzen, es läuft doch und wird weiterhin mit Sicherheitsupdates versorgt.

Ich sehe jedenfalls keinen Grund dafür, auf meiner (für mich wirklich wichtigen) Büromaschine zwingend jetzt gleich und sofort ein Upgrade auf trixie zu machen - das darf (aus meiner Sicht) gerne warten bis auf die Zeit zwischen Weihnachten und Neujahr. 😉

Wenn eine neue Debian-Version erscheint, sind deren Inhalte großteils bereits veraltet. Da sollte man wenigstens darauf upgraden, statt weiter auf hornalten Versionen von oldstable zu sitzen. Daß da jedes Paket weiter Sicherheitsaktualisierungen bekomme, ist genauso eine Fehleinschätzung wie "LTS" bei Ubuntu.

Naja, nichts gegen "Versionitis", das ist mir durchaus bekannt - ich würde jetzt aber trotz allem ein abgehangenes oldstable nicht zwingend als Sicherheitsrisiko einstufen.

Und es ist ja jetzt nicht so, dass ich dafür plädiere, bookworm noch ein paar Jahre lang zu nutzen - aber ich seh jetzt auch keinen Grund dafür, so früh nach der Veröffentlichung von trixie direkt umzuswitchen.

Wie erwähnt, es ist ein Arbeitsknecht, der soll funktionieren - und ja, i.d.R. funktionieren die Upgrades problemlos, eine Garantie dafür gibt es aber nicht, ergo, man macht es zu einer Zeit, in der man dann auch die Ruhe und Gelassenheit hat, sich mit eventuell auftretenden Problemchen zu befassen. 😉

Wenn die Kiste ausschließlich offline benutzt wird, Okay. Aber wenn die Kiste irgendwie Kontakt zu irgendeinem Netzwerk hat, würde ich lieber nicht zu alte Software verwenden.

trollsportverein schrieb:

Wenn die Kiste ausschließlich offline benutzt wird, …

wer macht den so was?

Ins Netz geht man normalerweise mit einem Browser (was nebenbei bemerkt die selbe Version wie unter trixie ist) und der wird ja aktualisiert - ansonsten, wenn man es genau nimmt, dann darf man ja nur noch Rolling Releases nutzen, auch ein Ubuntu LTS wie 22.04 wäre dann ja raus aus der Geschichte.

Mir ist jetzt nichts bekannt, dass da irgend wie jemals großartig was passiert ist - gefährlicher als deine "Franken-Kubuntus" schätze ich das jetzt auch nicht ein. 😛

Frieder108 schrieb:

trollsportverein schrieb:

Wenn die Kiste ausschließlich offline benutzt wird, …

wer macht den so was?

Ach, so'n Zeug wird oft genug hier behauptet (weil so manche offline mit keinen Browser Starten gleichsetzen). Pittiplatsch, der Liebe: "Kannste glauben!"

auch ein Ubuntu LTS wie 22.04 wäre dann ja raus aus der Geschichte.

Mein Reden.

gefährlicher als deine "Franken-Kubuntus" schätze ich das jetzt auch nicht ein. 😛

trollsportverein, Treffer, versenkt. 😀

von.wert schrieb:

Frieder108 schrieb:

gefährlicher als deine "Franken-Kubuntus" schätze ich das jetzt auch nicht ein. 😛

trollsportverein, Treffer, versenkt. 😀

Ich darf mal an die XZ-Trojanisierung letztes Jahr erinnern. Da wurde nicht das für alle einsehbare GIT verseucht, sondern ausschließlich die Tarbollen, die Distributionen nutzen.

• https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27#design

An Ubuntu ist der Kelch nur mit viel Glück vorbei gegangen.

Wer nun aber glaubt, man könne allem Unbill entgehen, in dem einfach bei alten Software Versionen geblieben wird, ist auch auf dem falschen Dampfer:

• https://www.cve.org/CVERecord?id=CVE-2025-31115

Ja, durch die Lahmarschigkeit Ubuntus sind deren User tatsächlich zu spät am Abgrund angekommen. Den wenigsten ist das bewußt.

Den xz-Gau habe ich damals zum Anlaß genommen, komplett auf Arch umzusteigen, also nicht mehr arch-based. Ich habe sämtliche Hosts und VMs neu installiert. VM sinnvollerweise nur 1x, die dann mehrfach geclonet und entsprechend dem Einsatz angepaßt.

Im übrigen habe ich seitdem auch kein LibO mehr in einem Host installiert. Hätte ich es gebraucht, hätte ich eine VM genutzt und diese danach zurückgesetzt. Einfach nur, weil dort 2 .xz-Archive gezogen werden, man ja nicht wissen kann, wie die erzeugt worden sind. Sprich, wenn ich etwas von außerhalb installiere, insb. auch über das AUR (was ich ohnehin nur ausgesucht mache), checke ich alles sehr genau.

Bspw. habe ich mich heute 3 volle Stunden mit der über AUR neuen yay-Version befaßt. Bei makepkg werden etliche zusätzliche Geschichten gezogen, u.a. Go-Zusätze (yay ist in Go geschrieben). In einem .zip-Archiv ist ein Windows-Verzeichnis, darin ein .exe-File...VT/behavior bemängelt darin durchzuführende Registry-Änderungen. Für das kompilierte Linux-Binary dürfte das keinerlei Belang haben (VT findet da auch gar nichts), aber ich habe trotzdem bzw. des besseren Gefühls wegen diesen Windows-Schrott vor'm Kompilieren entfernt bzw. durch 0-byte-Files ersetzt. Diese Arbeiten logischerweise alle in einer VM. Ja, für bspw. sowas hat man VMs (weil mich manche verständnislos fragen, wozu).

von.wert schrieb:

Ja, durch die Lahmarschigkeit Ubuntus sind deren User tatsächlich zu spät am Abgrund angekommen.

So wie du das beschreibst hört sich das nicht positiv an 😉

Den xz-Gau habe ich damals zum Anlaß genommen, komplett auf Arch umzusteigen,

Korrigiere mich bitte wenn ich falsch liege, aber war es nicht unter anderem Arch-Linux und andere rolling-releases die xz in der kompromittiert Version in Ihren Repositories hatten?

Dann soll hier auch nochmal erinnert werden an:

• x11 Stack-Buffer-Overflow-Schwachstelle die 23 Jahre im Code war

• OpenSSL Random Bug

Das heißt man läuft einer Scheinsicherheit hinterher. Desto größer/mächtiger die Kombattanten, desto größer ist auch deren Firepower und desto größer die Wahrscheinlichkeit, dass das eigene System diesen Angriffen nicht standhalten wird. Es ist auch davon auszugehen, das einige Backdoors/Bugs bewusst eingebaut werden.

Was ist nun die Quintessenz?
Keine Ahnung ... vielleicht sollte ich mir ein neues Kennwort zulegen.

Gruß sh

sh4711 schrieb:

So wie du das beschreibst hört sich das nicht positiv an 😉

Was soll ich denn sonst dazu sagen? 😛

Korrigiere mich bitte wenn ich falsch liege,

Nö. 😉 Hat freilich nur testing betroffen. Glaubst Du, ich habe ein Image mit böser xz-Version genommen? Arch Linux hat damals sofort reagiert gehabt und ein zusätzliches Image vor dem üblichen 1. des Monats mit der letzten sauberen xz-Version gebracht.

Was ist nun die Quintessenz?

Daß nichts sicher ist.

von.wert schrieb:

sh4711 schrieb:

Was ist nun die Quintessenz?

Daß nichts sicher ist.

Also das ist schon mal sicher. 🤣

von.wert schrieb:

... Hat freilich nur testing betroffen.

Danke für die Info, wusste ich nicht.