Im Gegensatz zu vielen anderen Distributionen unterteilt Ubuntu seine Paketquellen in verschiedene Kategorien, die unterschiedlichen Supportversprechen unterliegen. Die Kritik daran ist ebenso alt wie unangebracht. Denn faktisch veröffentlicht Ubuntu damit nur eine Praxis, die bei anderen Distributionen (z. B. Debian) auch üblich ist. Keine Distribution pflegt ihre Paketquellen perfekt!
Lediglich das Ausmaß des Problems unterscheidet sich graduell zwischen den Distributionen. Will man sich das ganze Ausmaß der Misere bei Ubuntu mal angucken lohnt sich ein Blick in den CVE-Tracker für Ubuntu Universe. Die Version 14.04 – die immerhin noch ein Jahr Unterstützung erhält – schillert in allen Farben, für 16.04 sieht es auch nicht besser aus.
Natürlich eignet sich nicht jede Sicherheitslücke gleich zur kompletten Übernahme eines Systems. Nicht jedes Problem hat gleich das Potenzial zur Katastrophe erklärt zu werden. Nichtsdestotrotz wurde eine Sicherheitslücke nicht durch Zufall als solche klassifiziert, sie stellt somit erst einmal ein Problem dar. Man kann schließlich nicht vom normalen Anwender verlangen, dass er jede Sicherheitslücke auf das persönliche Risikopotenzial abprüft.
Die Durchsicht der Liste zeigt auch, dass es innerhalb von Universe durchaus Abstufungen gibt. Manche Pakete sind ganz gut gepflegt oder haben generell wenige Mängel. Andere sind so löchrig wie ein Schweizer Käse.
Insgesamt zeigt sich aber mal wieder, dass man dem Inhalt der Paketquellen nicht vertrauen kann. Je älter eine LTS-Version, desto schlimmer das Problem.
In einem etwas allgemeiner gehaltenen Beitrag (siehe: Paketquellen – Die Illusion von Sicherheit?) schrieb ich:
Zudem sollte man sich nicht zu sicher fühlen. Die Linux-Distributionen sitzen auf riesigen ungelösten Baustellen. Bei einer höheren Verbreitung haben viele davon das Potenzial einem um die Ohren zu fliegen. Daran sollte man denken, wenn man mal wieder die vermeintlich überlegene Sicherheitsarchitektur von Linux anpreist.
Mehr muss man dazu kaum sagen.
Bilder:
