Postfix - security, wpadka - rozwiązana zagadka.

[Tomasz Wittner]

Dnia pon 18. sierpnia 2003 06:01, Paweł Gołaszewski napisał:
> On Wed, 13 Aug 2003, Tomasz Wittner wrote:
> > > > > Miałem postfix-1.1.11-7 (był - zbudowałem już nowszego)
> > > >
> > > > Bo na serwerkach nie korzystam z general, a tam był nowszy postfix,
> > > > a nie w security.
> No i...?
>
> 1.1.12-4 *ma* nałożoną odpowiednią poprawkę i *nie* jest podatny na tą
> dziurę. Finito.
1. Skąd ja mam o tym wiedzieć? Jest taka informacja w PLD jak w Debianie, że 
taki to a taki pakiet, o "wersji dziurawej" nie jest "dziurawy", bo został 
załatany na okoliczność CAN-2003-bleble? Czytałem 
http://marc.theaimsgroup.com/?l=bugtraq&m=106001525130257&w=2
i "zapragnąłem" mieć 1.1.13. Finito. ;-)
2. Odkąd były afery, że "general = hardcore" (cyt. bo wszystko się tam 
pier...) zakomentowałem na serwerkach general w poldek.conf.
3. Odkąd zobaczyłem, że do security ra trafiają pakiety np. /home/services 
(tak, wiem, pisałem już o tym - jestem nudny jak flaki mit oil), update 
mozilli - cóż, nie działała, mimo wszystkich polecanych abrakadabr - dopiero 
po tyg. wpadłem, że w katalogu domowym mam .mozilla root.root drwx------
mam podstawy sądzić, że części z nich nikt nie przetestował - nie ufam 
pakietom z security - nie ze względu na bezpieczeństwo - ze względu na to, że 
po zaistalowaniu mogą w ogóle nie działać (tak, wiem, zbyt podejrzliwy i 
nieufny jestem). Wszystko pow. to moje osobiste zboczenia, za które 
przepraszam i za to, że sieje defetyzm (zwłaszcza, jeżeli moje informację nie 
są do końca ścisłe) na temat updates, zwłaszcza security.

W zwiazku z powyższym i z tym, że błąd nie był "privilage escalation" 
wstrzymałem się z updatem i ... nieźle ktoś mnie przećwiczył. Było to ciekawe 
doswiadczenie :-) -  dobrze jednak, że tylko skończyło się na wysłaniu maila 
z wirusem do all users (sami sobie są winni, ze 1.używają M$, 2.że nie mają 
av), a nie przejęciem root.

Wypada mi pozdrowić i wyrazić radość z Twojego powrotu z wakacji. Wypada mi 
też wyrazić żal, że mimo przeforwardowania przez Ciebie mojego maila z 
feedback na devel nt. dar.spec, w tymże nie zostało nic poprawione, z rzeczy, 
o których wspominałem, np.:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
%attr(644,root,root) %{_mandir}/*
-------------------------------^^^
Revision 1.10  2003/08/11 20:44:53  ankry
cosmetics
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wiem, że nie mam prawa tutaj od nikogo niczego tutaj wymagać, ale czuję się 
jak idiota: zgłaszam błąd, podaję sugestię nt. ich usunięcia (ba gotowe, 
przetestowane rozwiązanie), a ktoś, zamiast to poprawić, robi "cosmetics" (w 
dodatku bez " - " w changlogu na początku). Ok, w takim razie chyba odpuszczę 
sobie zgłaszanie czegokolwiek. Co sobie będę sam umiał poprawić, to zostawię 
tylko dla siebie - nikomu nie pisnę ani słowa, mnie wystarczy - z takim 
podejściem na pewno wszyscy razem daleko zajdziemy.

-- 
Tomasz Wittner

skill -STOP `whoami`