Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen.
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen. (Bild: PostgreSQL)

Sicherheitsmaßnahme PostgreSQL-Team versteckt Sourcecode-Änderungen

Wegen einer sehr gefährlichen Sicherheitslücke hat sich das PostgreSQL-Team zu einem ungewöhnlichen Schritt entschieden. Die Quelltexte der freien Datenbank werden für eine Weile gesperrt. So soll verhindert werden, dass durch Codeänderungen ein Angreifer das Sicherheitsproblem zu früh entdeckt.

Anzeige

Ab dem heutigen 1. April wird wegen einer Sicherheitslücke der Zugriff auf die Quellcodes des PostgreSQL-Projekts zum Teil gesperrt. In der Ankündigung heißt es, die Sperre gelte ab dem Nachmittag bis zur Veröffentlichung eines Sicherheitsupdates. Das wird voraussichtlich am 4. April passieren. Administratoren sollten sich also schon einmal darauf vorbereiten, PostgreSQL in einer neuen Version zu installieren.

Die Zugriffssperre auf die Veränderungen des Quelltextes betrifft nicht alle Entwickler. Der anonyme Git-Mirror und die Commit-Nachrichten werden nicht mehr aktualisiert, wie PostgreSQL-Entwickler Magnus Hagander erklärt.

Nur registrierte PostgreSQL-Entwickler werden also die aktuellen Quellen und ihre Veränderungen sehen. Für alle anderen bleiben das Projekt und die Repositories auf einem älteren Stand, bis die Arbeiten an dem Sicherheitsupdate abgeschlossen sind.

Mit der Maßnahme verhindern die Entwickler, dass sich Projektfremde während der Tage, in denen das Sicherheitsupdate in den Quellcode integriert wird, anschauen können, was passiert. Sie könnten so die Sicherheitslücke nachvollziehen und noch vor Veröffentlichung des Patches mit Angriffen beginnen. Die Veröffentlichung braucht aber ein paar Tage, da der Patch erst einmal getestet werden muss.

Sobald der Quelltext wieder offen ist, können potenzielle Angreifer einen Vorher-nachher-Vergleich machen. Es empfiehlt sich also, das Sicherheitsupdate möglichst schnell zu installieren. Die Sicherheitslücke stecke schon seit Jahren im Quelltext, so Hagander. Die Entwickler haben aber keine Kenntnis davon, dass die Lücke von irgendjemandem gefunden oder gar ausgenutzt worden sei.

Wenn die Entwicklung des Patches abgeschlossen ist, wird das PostgreSQL-Projekt wieder ganz normal arbeiten. Die Änderungen bleiben transparent und auch Details zu der Sicherheitslücke, die die Entwickler zu dem drastischen Schritt bewegte, werden veröffentlicht. Die Maßnahme sei eine Ausnahme für einen "sehr bösen Exploit", so Hagander, um möglichst wenigen die Gelegenheit zu geben, einen solchen zu entwickeln. Den Entwicklern ist aber bewusst, dass durch die Ankündigung jetzt einige "Bad Guys" etwas genauer in die Quellen schauen.


__destruct() 01. Apr 2013

Ich habe eine wichtige Information nicht gelesen. Weiteres hier.

Kommentieren



Anzeige

  1. PreMaster (m/w) im Bereich Applikation
    Robert Bosch GmbH, Schwieberdingen
  2. Leiter (m/w) IT Contact Services / Service Desk
    TUI InfoTec GmbH, Hannover
  3. Informationselektroniker/in Bereich Informations- und Vertriebstechnologie
    Berliner Verkehrsbetriebe (BVG), Berlin
  4. Fachinformatiker / CRM-Berater (m/w)
    ROMA KG, Burgau bei Ulm

 

Detailsuche


Top-Angebote
  1. TIPP: PS4-Spiele reduziert
    (u. a. GTA V 42,33€, Project CARS 43,79€, Tamriel Unlimited 43,79€, Alien: Isolation Ripley...
  2. TIPP: 4 Blu-rays für 30 EUR
    (u. a. Die Unfassbaren, Escape Plan, RED 2, Braveheart, Fast & Furious 6, Titanic)
  3. TIPP: Games-Downloads Angebote
    (u. a. Bioshock Infinite 7,49€, Xcom Enemy Unknown 4,99€, Boderlands 2 7,49€)

 

Weitere Angebote


Folgen Sie uns
       


  1. Apple

    iOS 8.4 mit Apple Music ist da

  2. Hello, Marit Hansen

    Bye-bye, Thilo Weichert

  3. Mojang

    Minecraft für Lehrer und Aus für Scrolls

  4. Internet

    Cisco kauft OpenDNS

  5. EU erlaubt Spezialdienste

    Wie tot ist die Netzneutralität wirklich?

  6. MX5

    Meizu stellt neues Smartphone mit Fingerabdruck-Scanner vor

  7. Finanzierungsrunde

    Uber macht mehr Verlust als Umsatz

  8. Batman Arkham Knight im Test

    Es ist kompliziert ...

  9. Wikileaks

    NSA spionierte offenbar Frankreichs Wirtschaft aus

  10. Spiele-Linux

    Valve zeigt Vorschau auf neue SteamOS-Version



Haben wir etwas übersehen?

E-Mail an news@golem.de



Microsoft: Preise, Systemanforderungen und Limitierungen für Windows 10
Microsoft
Preise, Systemanforderungen und Limitierungen für Windows 10
  1. Microsoft Windows 10 Home kostet 135 Euro
  2. Microsoft Windows-Insider dürfen Windows 10 dauerhaft kostenlos nutzen
  3. Betriebssystem Microsoft verkauft Windows 10 auf einem USB-Stick

Oculus Touch ausprobiert: Volle Spaßkontrolle für Oculus Rift
Oculus Touch ausprobiert
Volle Spaßkontrolle für Oculus Rift
  1. Oculus Rift Hardware-Mod von Microsoft verbessert Optik
  2. Hand-Tracking für Oculus Rift Herumgefuchtelt wird mit der Oculus Touch
  3. Head-mounted Display Oculus Rift wird mit Xbox-Pad und -Streaming ausgeliefert

Inkubus 300µ ausprobiert: Quadratisch, stylish, gut
Inkubus 300µ ausprobiert
Quadratisch, stylish, gut
  1. Dell Inspiron Micro Desktop Mini-Rechner mit Tablet-Innenleben für 250 Euro
  2. Cubox-i4Pro im Test Viel Gefummel für viel Geld
  3. Mini-PC Asrocks Beebox nutzt Braswell und einen USB-C-Anschluss

  1. Re: Mehr Verlust als Umsatz?

    robinx999 | 06:22

  2. Re: Wirklich ausgefallenes neues Design, so...

    White Rabbit | 06:10

  3. Re: In Zukunft

    robinx999 | 06:05

  4. Re: "Wir" haben uns auf gar nichts "geeinigt...

    robinx999 | 05:52

  5. Ich weiß, dass hier viele Technikbegeisterte sind...

    DerVorhangZuUnd... | 05:48


  1. 02:37

  2. 17:58

  3. 17:18

  4. 17:11

  5. 16:55

  6. 15:44

  7. 15:38

  8. 14:08


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel