Kommentar: Ubuntus Universum – Ein Blick in den Abgrund

Im Gegensatz zu vielen anderen Distributionen unterteilt Ubuntu seine Paketquellen in verschiedene Kategorien, die unterschiedlichen Supportversprechen unterliegen. Die Kritik daran ist ebenso alt wie unangebracht. Denn faktisch veröffentlicht Ubuntu damit nur eine Praxis, die bei anderen Distributionen (z. B. Debian) auch üblich ist. Keine Distribution pflegt ihre Paketquellen perfekt!

Lediglich das Ausmaß des Problems unterscheidet sich graduell zwischen den Distributionen. Will man sich das ganze Ausmaß der Misere bei Ubuntu mal angucken lohnt sich ein Blick in den CVE-Tracker für Ubuntu Universe. Die Version 14.04 – die immerhin noch ein Jahr Unterstützung erhält – schillert in allen Farben, für 16.04 sieht es auch nicht besser aus.

Natürlich eignet sich nicht jede Sicherheitslücke gleich zur kompletten Übernahme eines Systems. Nicht jedes Problem hat gleich das Potenzial zur Katastrophe erklärt zu werden. Nichtsdestotrotz wurde eine Sicherheitslücke nicht durch Zufall als solche klassifiziert, sie stellt somit erst einmal ein Problem dar. Man kann schließlich nicht vom normalen Anwender verlangen, dass er jede Sicherheitslücke auf das persönliche Risikopotenzial abprüft.

Die Durchsicht der Liste zeigt auch, dass es innerhalb von Universe durchaus Abstufungen gibt. Manche Pakete sind ganz gut gepflegt oder haben generell wenige Mängel. Andere sind so löchrig wie ein Schweizer Käse.

Insgesamt zeigt sich aber mal wieder, dass man dem Inhalt der Paketquellen nicht vertrauen kann. Je älter eine LTS-Version, desto schlimmer das Problem.

In einem etwas allgemeiner gehaltenen Beitrag (siehe: Paketquellen – Die Illusion von Sicherheit?) schrieb ich:

Zudem sollte man sich nicht zu sicher fühlen. Die Linux-Distributionen sitzen auf riesigen ungelösten Baustellen. Bei einer höheren Verbreitung haben viele davon das Potenzial einem um die Ohren zu fliegen. Daran sollte man denken, wenn man mal wieder die vermeintlich überlegene Sicherheitsarchitektur von Linux anpreist.

Mehr muss man dazu kaum sagen.


Bilder:

Einleitungs- und Beitragsbild von Tumisu via pixabay

Mehr aus dem Blog

Firmware Updates (BIOS) mit fwupd

Mein privates Hauptgerät ist schon länger ein HP EliteBook G7. Firmware-Updates für einzelne Hardwarekomponenten gab es schon länger via fwupd, aber nun geht darüber...

Boxcryptor von Dropbox übernommen

Ein bisschen untergegangen ist bei mir und vielen anderen vermutlich die Meldung, dass Dropbox von der Secomba GmbH deren Produkt Boxcryptor erworben hat. Das...

Firmen benötigen kein „zweites Leben“ mit Linux

Heise bringt mal wieder eine Serie zum Umstieg auf Linux. Dieses mal für Unternehmen im Angesicht der Windows 11-Migration. Das geht völlig am Thema...

Warum man „Face unlock“ mit einem Google Pixel 7 nicht nutzen sollte

Biometrische Entschlüsselung ist ein Thema für sich. Selbst wenn man dem nicht gänzlich ablehnend gegenüber steht, sollte man nicht leichtfertig jede Lösung nutzen. Gesichtserkennung...