News Fix steht bereit: Schwachstelle in Exim gefährdet Mailserver weltweit

[0x8100]

Wobei ich nicht weiß wie das geregelt ist, ob ein anderer Entwickler eine gepatchte Version verausbringen kann, die dann automatisch die Software updaten würde.

das updaten übernimmt deine distri für dich und diese haben zum teil eigene patches, wo dann so ein fix eben mit aufgenommen wird. siehe z.b. debian und deren patch-sammlung für exim oder gentoo. schöner wäre es natürlich, wenn das upstream gefixt wird, k.a. warum das solange ignoriert wurde.

 

[Dragon0001]

Wer nutzt denn noch Port 25?
Heute wird doch eigentlich nur noch 587 verwendet, weil verschlüsselte Verbindung.

Kenne keine Firma, die aufm Port 25 noch was offen hat, eben weil man sonst DSGVO Dramen bekommen kann.

Dann kannst du mir bestimmt sagen, wie ich es schaffe, dass alle anderen Mail-Server (nicht Clients) mir Mails auf einem anderen Port als 25 zustellen.

 

[BmwM3Michi]

ich konnte gestern mein Email-Konto bei der Telekom stundenlang nicht erreichen, ein Zufall?
Das passiert nur alle paar Jahre mal.

 

[SVΞN]

(…) weil der "Gegner" endlich auch ausnahmsweise mal ne Angriffsfläche für hämische Kommentare bietet

Woher diese Klassenkämpfe immer kommen? Es will mir einfach nicht in den Kopf. Soll doch jeder nutzen, was ihm zusagt.

 

[peino]

Wer nutzt denn noch Port 25?
Heute wird doch eigentlich nur noch 587 verwendet, weil verschlüsselte Verbindung.

Kenne keine Firma, die aufm Port 25 noch was offen hat, eben weil man sonst DSGVO Dramen bekommen kann.

587 ist der submission-Port. Der wird nur von Clients genutzt, die eine E-Mail versenden möchten, also von deinem Thunderbird oder what ever.
Die Kommunikation Mailserver zu Mailserver findet im öffentlichen Internet immer über Port 25 auf der empfangenden Seite statt.

 

[xexex]

verstehe diese kommentare nicht... was kann open source dafür wenn der eine entwickler es nicht schafft, die lücke zu schliessen?

Gar nichts! Es wird aber viel zu oft "Open Source" mit einer gewissen Sicherheit in Verbindung gebracht, weil ja alles so offen und für jeden nachprüfbar ist.

Nur hat das eine oft mit dem anderen gar nichts zu tun, weil die wenigsten sich auch nur eine Zeile des Codes anschauen, geschweige denn verstehen oder in Richtung Sicherheit optimieren können. Ganz im Gegenteil sogar, kommt gefühlt jeden Tag eine neue Distribution auf den Markt, die alle möglichen Open Source Tools in einen Topf wirft.

Kontrolliert inwiefern die jeweiligen Projekte noch regelmäßig gepflegt werden wird da eher selten, oft genug sitzen hinter den Distributionen selbst auch nur einzelne Personen. Der Fall mag eine Ausnahme sein, die Software wird aber scheinbar auf Millionen von Servern genutzt und trotzdem gibt es niemanden der nach mehreren Monaten einen Fix bereitstellen kann? Dann stimmt scheinbar an dem Konzept irgendwas nicht.

 

[Termy]

Woher diese Klassenkämpfe immer kommen?

Weil es immer angenehm ist, einen klaren Feind zu haben und sich selbst als überlegen zu sehen, statt sich ständig mit Grautönen rumschlagen zu müssen.

Es wird aber viel zu oft "Open Source" mit einer gewissen Sicherheit in Verbindung gebracht, weil ja alles so offen und für jeden nachprüfbar ist.

Aber generell ist das eben (statistisch und in der Tendenz) auch so?
Keiner behauptet, dass Open Source 100% sicher und fehlerfrei ist - sondern eben nur, dass Fehler eher und schneller gefunden und behoben werden als bei proprietären Blackboxen.

Dann stimmt scheinbar an dem Konzept irgendwas nicht.

Und was wäre jetzt besser daran, wenn stattdessen ein proprietäre Software verwendet würde, wo noch nicht mal eigene Patches eingepflegt werden könnten, sondern bei Nicht-Reaktion des Herstellers überhaupt keine Aussicht auf Fehlerbehebung bestehen kann?


Deine Argumentation ist irgendwie als würde man behaupten, geklebte Batterien in Handys wären besser für den Kunden, weil bei wechselbaren Akkus ja auch schon mal ein schwarzes Schaf einen minderwertigen Ersatzakku verkauft hat

 

[0x8100]

Nur hat das eine oft mit dem anderen gar nichts zu tun, weil die wenigsten sich auch nur eine Zeile des Codes anschauen, geschweige denn verstehen oder in Richtung Sicherheit optimieren können.

natürlich ist open source keine garantie, dass jemand anderes einem die qa abnimmt.

die Software wird aber scheinbar auf Millionen von Servern genutzt und trotzdem gibt es niemanden der nach mehreren Monaten einen Fix bereitstellen kann?

das hat microsoft auch schon geschafft generell würde ich von exim absehen - die software hat nicht den besten ruf. postfix und qmail schneiden da besser ab. aber gegen exchange ist selbst exim harmlos

 

[DFFVB]

Was das Gebashe von Open Source hier zu suchen hat

Das sit doch relativ einfach - man nehme sich eine x-beliebige News zu einem Sichehreitsleck bei closed source Software und schaue in die Kommentare. Man kann die Uhr danach stellen, dass Kommentare wie "haha, das kann bei Open Source nicht passieren" kommen. Damit wird ein Ungleichgewicht geschaffen, was besagt, dass Open Source sicherer sei als Closed Source. Nun gibt es Leute die darauf hinweisen, dass dem nicht so ist, um das Gleichgewicht wieder herzustellen. Denn am Ende des Tages ist es so, ganz egal, ob Open Source / Closed Source, hinter beidem sitzen Menschen und die machen nun mal Fehler. Die Mär, dass Open Source deswegen sicherer wäre, weil jeder reinschauen kann, hält sich halt hartnäckig, was einigen sauer aufstößt... Und daher ist es mE richtig und wichtig hier darauf hinzuweisen, dass Open Source nicht zwnagsläufig sicherer bedeutet.

 

[mntrono]

Dann stimmt scheinbar an dem Konzept irgendwas nicht.

Andersrum gefragt: Was wäre die Alternative? Exim wird ja kein Monopol auf diese Art von Software haben, wenn man als Benutzer merkt, die Software wird nicht (genügend) unterstützt dann muss man eben auch mal selber handeln und wechseln. Vielleicht ist ja ein Admin hier gerade dabei: Was sind denn für diese Anwendungszwecke die meistgenutzen Produkte? Das wird bestimmt auch viel OSS sein?

Bin bei den Distros jetzt nicht wirklich drin, aber benutzen viele dann nicht einfach die Repos von den bekannten/großen Distros? Zugegebnermaßen ist es aber ja dann schon auch so, dass dieses Thema wirklich ein Randbereich ist, mit dem meisten wahrscheinlich nie in Berührung kommen werden. Freiheit ist ja im OS-Bereich auch immer wieder ein großes Thema - Forks und Ähnliches sind dabei ja fast schon nicht mehr wegzudenken. Nichts ist perfekt und das meiste ist auch nicht grundsätzlich komplett schlecht. Man sollte es halt realistisch betrachten und da hat, meine Meinung, OS auch ganz viele große positive Seiten.

 

[Snowi]

Es wird aber viel zu oft "Open Source" mit einer gewissen Sicherheit in Verbindung gebracht, weil ja alles so offen und für jeden nachprüfbar ist.

Nachgucken und fixen ist halt besser als nicht nachgucken und nicht fixen.

[...] weil die wenigsten sich auch nur eine Zeile des Codes anschauen, geschweige denn verstehen oder in Richtung Sicherheit optimieren können.
[...]
Ganz im Gegenteil sogar, kommt gefühlt jeden Tag eine neue Distribution auf den Markt, die alle möglichen Open Source Tools in einen Topf wirft.
[...]
Kontrolliert inwiefern die jeweiligen Projekte noch regelmäßig gepflegt werden wird da eher selten, oft genug sitzen hinter den Distributionen selbst auch nur einzelne Personen.

Und das ist bei Kommerziellen Produkten anders? Selbst bei uns auf der Arbeit, mit über 100 Entwicklern, arbeiten pro Produkt nicht mehr als eine Hand voll daran. Sind die da mal 2-3 im Urlaub und die anderen beiden haben zufällig Corona, weil sie im Büro halt nebeneinander sitzen, sind auch alle auf einmal 2 Wochen Abwesend. Und die anderen Entwickler brauchst du dann auch nicht zu fragen, die sind A) beschäftigt, und kennen sich B) nicht mit den anderen Produkten aus. Klar, die können den Code LESEN, aber bis sie den kompletten Überblick haben, sind die anderen Entwickler lange schon wieder da.

Der Fall mag eine Ausnahme sein, die Software wird aber scheinbar auf Millionen von Servern genutzt und trotzdem gibt es niemanden der nach mehreren Monaten einen Fix bereitstellen kann? Dann stimmt scheinbar an dem Konzept irgendwas nicht.

Das Konzept funktioniert an anderen Stellen wunderbar. Eher stimmt wohl etwas mit der Software nicht. Ich kenne mich nicht gut mit Exim aus, aber man liest sehr oft sehr schlecht darüber. Also sollte man sich eventuell eher die Frage stellen, warum man weiter Exim nutzt, statt auf die Alternativen auszuweichen, die es scheinbar besser können.

 

[Tzk]

Der Fall mag eine Ausnahme sein, die Software wird aber scheinbar auf Millionen von Servern genutzt und trotzdem gibt es niemanden der nach mehreren Monaten einen Fix bereitstellen kann? Dann stimmt scheinbar an dem Konzept irgendwas nicht.

Die Publikation der lûcke ist doch erst wenige Tage alt. Wie soll denn jemand ohne das Wissen den Fix bereitgestellt haben?

Das niemand bisher diesen Fehler gefunden hat (außer dem Finder der Lücke) sollte ja klar sein, sonst wäre es längst gepacht.

FOSS hat an der Stelle übrigens den Vorteil das man nicht auf den Entwickler angewiesen ist. Die Distros können den Fehler nun selbst schnell fixen und gut. Machst du bei einem Closed source Produkt halt nicht.

 

[xexex]

Und was wäre jetzt besser daran, wenn stattdessen ein proprietäre Software verwendet würde, wo noch nicht mal eigene Patches eingepflegt werden könnten, sondern bei Nicht-Reaktion des Herstellers überhaupt keine Aussicht auf Fehlerbehebung bestehen kann?

Hinter jedem Hersteller steht jemand der wirtschaftliche Interessen hat, dass sein Produkt weiter genutzt wird und dementsprechend versucht ein Projekt zu pflegen. Ist dir denn bekannt, wer denn hinter den diversen Open Source Tools steckt? Prüfst du jedes einzelne? Was ist wenn jemand keine Lust/Zeit/Interesse mehr hat?

Das Problem von Open Source als System ist vor allem, dass jede Distribution aus hunderten solcher Projekte besteht mit zig verschiedenen Teams und Einzelpersonen die daran arbeiten oder auch nicht. Für den Endnutzer ist es kaum nachzuvollziehen, welche möglichen Bomben in seinem System schlummern.

 

[Snowi]

Andersrum gefragt: Was wäre die Alternative? [...] Das wird bestimmt auch viel OSS sein?

Unter Linux generell z.B. Postfix, Sendmail, Postmaster, qmail, Smail (Liste von Wikipedia, gibt bestimmt noch andere). Ich kenne davon allerdings nur Sendmail und Postfix, wobei ich letzteres, also Postfix, selbst nutze. Unter Windows z.B. noch Exchange.

Bin bei den Distros jetzt nicht wirklich drin, aber benutzen viele dann nicht einfach die Repos von den bekannten/großen Distros?

Kommt etwas auf die Distro an, aber hier sehe ich auch eher das Problem der Auswahl. Open Source garantiert dir ja nichts. Wenn man eine Distro mit schlechtem Update-Support nimmt, weil da nur 2 Personen hinter stehen, kann man das tun. Das kann aber dann auch schlecht sein. Ich nutze daher lieber die größeren Distros wie Debian und Fedora. Debian hat eine große Gemeinschaft hinter sich, ebenso wie Fedora, wobei Fedora mit RedHat noch ein großes Unternehmen hat. Ubuntu hat auch ein großes Unternehmen hinter sich.

 

[xexex]

Und das ist bei Kommerziellen Produkten anders?

Ist es! Aus verschiedenen Gründen.

Zunächst einmal ist das Betriebssystem von einem einzelnen Hersteller und alle kleinen Tools und Komponenten ebenso. Microsoft ist nicht unfehlbar, aber Microsoft ist Microsoft und nicht Hans Wurst aus Hintertüpfingen.

Der weitere Grund ist die Software die man letztlich dazu kauft. Hier dürfte man sich meist bewusst sein von welchen Hersteller man sie erwirbt und nimmt nicht irgendwas, was gerade zufällig in der Repo gelandet ist und dessen Entwicklungsstatus meist unbekannt ist.

Nicht falsch verstehen an dieser Stelle, hier geht es nicht darum ob Open oder Closed Source grundsätzlich besser sind. Hier geht es um das immer wiederholte Mantra, Open Source sei per se sicherer. Halbwegs sicher sind nur Produkte hinter denen ein großer Maintainer steht, egal ob nun Open oder Closed Source.

 

[Rickmer]

Wer nutzt denn noch Port 25?

Genau das habe ich mich beim lesen des Artikels auch gefragt

Kenne keine Firma, die aufm Port 25 noch was offen hat, eben weil man sonst DSGVO Dramen bekommen kann.

Jede Firma mit eigenem Mailserver, die mir bekannt ist, hat Port 25 offen...
Server2Server läuft auf Port 25, auch wenn Clients andere Ports nutzen.

Als spontane Beispiele mal kurz Microsoft und Google angefragt, here you go:

Microsoft ist nicht unfehlbar, aber Microsoft ist Microsoft und nicht Hans Wurst aus Hintertüpfingen.

Ich hatte vorhin schon schreiben wollen - endlich eine schwerwiegende Mail-Schwachstelle, die nicht beim Microsoft Exchange-Server liegt...

 

[0x8100]

Hinter jedem Hersteller steht jemand der wirtschaftliche Interessen hat, dass sein Produkt weiter genutzt wird und dementsprechend versucht ein Projekt zu pflegen. Ist dir denn bekannt, wer denn hinter den diversen Open Source Tools steckt? Prüfst du jedes einzelne? Was ist wenn jemand keine Lust/Zeit/Interesse mehr hat?

dann nimm eine distri mit kommerziellem support. die pflegen auch pakete unabhängig vom upstream.

Das Problem von Open Source als System ist vor allem, dass jede Distribution aus hunderten solcher Projekte besteht mit zig verschiedenen Teams und Einzelpersonen die daran arbeiten oder auch nicht. Für den Endnutzer ist es kaum nachzuvollziehen, welche möglichen Bomben in seinem System schlummern.

windows hat auch jede menge open source komponenten, und nicht nur welche von microsoft. ist dem endnutzer allerdings auch egal und von bomben spricht da auch niemand.

 

[Termy]

Man kann die Uhr danach stellen, dass Kommentare wie "haha, das kann bei Open Source nicht passieren" kommen.

Jetzt bin ich aber mal gespannt auch nur ein einziges solches Beispiel
Und nein, ich meine kein Beispiel eines hämischen Kommentars, sondern ein Beispiel für genau diese Behauptung.

Hinter jedem Hersteller steht jemand der wirtschaftliche Interessen hat, dass sein Produkt weiter genutzt wird und dementsprechend versucht ein Projekt zu pflegen.

Ach ja? Na vielleicht hat der Hersteller ja ein (inkompatibles) Nachfolgeprodukt und die wirtschaftlichen Interessen liegen eher darin, das alte Produkt gar nicht mehr zu pflegen?

Für den Endnutzer ist es kaum nachzuvollziehen, welche möglichen Bomben in seinem System schlummern.

Auch hier wieder - in genau welcher Art ist dieses Problem bei proprietärer Software nicht vorhanden?
Ganz im Gegenteil - bei proprietärer Software musst du dir ZUSÄTZLICH noch Gedanken machen, welche wirtschaftlichen Interessen der Hersteller verfolgt.

aber Microsoft ist Microsoft und nicht Hans Wurst aus Hintertüpfingen.

🤣
Vielleicht solltest du erst mal in der Realität ankommen, bevor du Softwareentwicklung in großen Firmen auf ein solches Podest hebst
Eine passende Lektüre wäre z.b. das hier (nein, nicht wegen der Performance, sondern um zu sehen, wie bei MS gearbeitet wird).

Ich würde mich sogar so weit aus dem Fenster lehnen zu sagen, dass bei großen FOSS-Projekten deutlich professioneller gearbeitet wird als es bei vielen (auch größeren) kommerziellen Softwareanbietern der Fall ist.

 

[xexex]

Vielleicht solltest du erst mal in der Realität ankommen, bevor du Softwareentwicklung in großen Firmen auf ein solches Podest hebst

Ich hebe sie auf keinen Podest, dafür produziert Microsoft genug Müll jeden Tag. Wenn aber Hans Wurst keine Lust mehr auf ein Projekt hat, kriegst du davon nichts mit, wenn es bei Microsoft der Fall ist, wird es wenigstens angekündigt.

Was ist denn hier im konkreten Fall passiert? Eine Lücke wird gemeldet, kein Schwein fühlt sich mehr für die Software zuständig. Trotzdem wird sie seit über einem Jahr noch bei hunderten Distris mit ausgeliefert. Wer kontrolliert, dass es nicht auch bei anderen Komponenten längst genauso aussieht? Scheinbar niemand.

Ich habe hohes Vertrauen darauf, dass es bei einer SLES oder Redhat anders aussieht, viel zu oft wird aber eben "Linux" als "sicher" angesehen und nicht ein bestimmtes in sich weitgehend geschlossenes Produkt.

 

[Termy]

Wenn aber Hand Wurst keine Lust mehr auf ein Projekt hat, kriegst du davon nichts mit,

Ach nein? Die Commit-Historie und Reaktion auf Issues ist da schon ein recht guter Indikator...

wenn es bei Microsoft der Fall ist, wird es wenigstens angekündigt.

Ach ja? Wann wurde das letzte Mal angekündigt, dass eine Windows-Komponente gerade keinen Maintainer mehr hat? Oder glaubst du allen ernstes, dass es bei Microsoft keine Komponenten gibt, die nur von ein oder zwei Leuten gepflegt werden und dass es noch nie vorgekommen ist, dass diese (durch Tod, Kündigung, Unfall oder sonstigem) ausgefallen sind?

Deine Aussagen klingen für mich schon nach einer sehr verklärten Vorstellung von den internen Abläufen bei Microsoft...