Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen.
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen. (Bild: PostgreSQL)

Sicherheitsmaßnahme PostgreSQL-Team versteckt Sourcecode-Änderungen

Wegen einer sehr gefährlichen Sicherheitslücke hat sich das PostgreSQL-Team zu einem ungewöhnlichen Schritt entschieden. Die Quelltexte der freien Datenbank werden für eine Weile gesperrt. So soll verhindert werden, dass durch Codeänderungen ein Angreifer das Sicherheitsproblem zu früh entdeckt.

Anzeige

Ab dem heutigen 1. April wird wegen einer Sicherheitslücke der Zugriff auf die Quellcodes des PostgreSQL-Projekts zum Teil gesperrt. In der Ankündigung heißt es, die Sperre gelte ab dem Nachmittag bis zur Veröffentlichung eines Sicherheitsupdates. Das wird voraussichtlich am 4. April passieren. Administratoren sollten sich also schon einmal darauf vorbereiten, PostgreSQL in einer neuen Version zu installieren.

Die Zugriffssperre auf die Veränderungen des Quelltextes betrifft nicht alle Entwickler. Der anonyme Git-Mirror und die Commit-Nachrichten werden nicht mehr aktualisiert, wie PostgreSQL-Entwickler Magnus Hagander erklärt.

Nur registrierte PostgreSQL-Entwickler werden also die aktuellen Quellen und ihre Veränderungen sehen. Für alle anderen bleiben das Projekt und die Repositories auf einem älteren Stand, bis die Arbeiten an dem Sicherheitsupdate abgeschlossen sind.

Mit der Maßnahme verhindern die Entwickler, dass sich Projektfremde während der Tage, in denen das Sicherheitsupdate in den Quellcode integriert wird, anschauen können, was passiert. Sie könnten so die Sicherheitslücke nachvollziehen und noch vor Veröffentlichung des Patches mit Angriffen beginnen. Die Veröffentlichung braucht aber ein paar Tage, da der Patch erst einmal getestet werden muss.

Sobald der Quelltext wieder offen ist, können potenzielle Angreifer einen Vorher-nachher-Vergleich machen. Es empfiehlt sich also, das Sicherheitsupdate möglichst schnell zu installieren. Die Sicherheitslücke stecke schon seit Jahren im Quelltext, so Hagander. Die Entwickler haben aber keine Kenntnis davon, dass die Lücke von irgendjemandem gefunden oder gar ausgenutzt worden sei.

Wenn die Entwicklung des Patches abgeschlossen ist, wird das PostgreSQL-Projekt wieder ganz normal arbeiten. Die Änderungen bleiben transparent und auch Details zu der Sicherheitslücke, die die Entwickler zu dem drastischen Schritt bewegte, werden veröffentlicht. Die Maßnahme sei eine Ausnahme für einen "sehr bösen Exploit", so Hagander, um möglichst wenigen die Gelegenheit zu geben, einen solchen zu entwickeln. Den Entwicklern ist aber bewusst, dass durch die Ankündigung jetzt einige "Bad Guys" etwas genauer in die Quellen schauen.


__destruct() 01. Apr 2013

Ich habe eine wichtige Information nicht gelesen. Weiteres hier.

Kommentieren



Anzeige

  1. Ingenieur/in für Software- und Systemtests
    Schaeffler Engineering GmbH, Herzogenaurach (Raum Nürnberg)
  2. Senior Java Entwickler (m/w)
    TELUM GmbH, München
  3. Leiter IT / CTO Strategy & Innovations (m/w)
    über HRM CONSULTING GmbH, Berlin
  4. (Senior) Java- / Web-Entwickler (m/w)
    OCLC GmbH, Oberhaching

 

Detailsuche


Blu-ray-Angebote
  1. The Dark Knight (Steelbook) (exklusiv bei Amazon.de) [Blu-ray] [Limited Edition]
    14,99€ - Release 31.03.
  2. 2 TV-Serien auf Blu-ray für 30 EUR
    (u. a. Arrow, Person of Interest, Boardwalk Empire, Falling Skies, Shameless)
  3. Jurassic Park 3 - Steelbook [Blu-ray] [Limited Edition]
    14,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Mozilla

    Firefox 37 bringt Zertifikatsperren und Nutzerfeedback

  2. Assassin's Creed Chronicles angespielt

    Drei mörderische Zeitreisen

  3. Operation Volatile Cedar

    Spionagesoftware aus dem Libanon

  4. Studie

    Facebook trackt jeden

  5. Umfrage

    Notebook bleibt beliebtestes Gerät zur Internetnutzung

  6. Surface 3 im Hands on

    Das Surface ohne RT

  7. Fotodienst

    Flickr erlaubt gemeinfreie Bilder

  8. Musikstreaming

    Jay Z startet Spotify-Konkurrenten Tidal

  9. Zahlungsabwickler

    Paypal erstattet Rücksendekosten

  10. Daniel Stenberg

    HTTP/2 verbreitet sich schnell



Haben wir etwas übersehen?

E-Mail an news@golem.de



Lenovo Thinkpad X1 Carbon im Test: Zurück zu den Wurzeln
Lenovo Thinkpad X1 Carbon im Test
Zurück zu den Wurzeln
  1. HyperX-Serie Kingstons Predator ist die vorerst schnellste Consumer-SSD
  2. Dell XPS 13 Ultrabook im Test Bis zur Unendlichkeit und noch viel weiter!
  3. Ultrabook Lenovo zeigt neues Thinkpad X1 Carbon

Test USB 3.1 mit Stecker Typ C: Die Alleskönner-Schnittstelle
Test USB 3.1 mit Stecker Typ C
Die Alleskönner-Schnittstelle
  1. MSI 970A SLI Krait Edition Erstes AMD-Mainboard mit USB 3.1 vorgestellt
  2. Mit Stecker Typ C Asrock stattet Intel-Mainboards mit USB-3.1-Karte aus
  3. USB 3.1 Richtig schnelle Mangelware

AMD Freesync im Test: Kostenlos im gleichen Takt
AMD Freesync im Test
Kostenlos im gleichen Takt
  1. eDP 1.4a Displayport-Standard für 8K-Bildschirme ist fertig
  2. Adaptive Sync für Notebooks Nvidia arbeitet an G-Sync ohne Zusatzmodul
  3. Displayport über USB-C Huckepack-Angriff auf HDMI

  1. Bloatware vorinstalliert?

    Seelbreaker | 22:45

  2. Re: Anstatt Busspur: Einheitliche Stecker- und...

    ChMu | 22:41

  3. Re: Ghostery

    Tannenzapfen | 22:40

  4. Re: Was ist eigentlich mit 2G und 4G?

    iToms | 22:40

  5. Re: JavaScript abschalten?

    AllAgainstAds | 22:36


  1. 18:29

  2. 18:00

  3. 17:59

  4. 17:22

  5. 16:32

  6. 15:00

  7. 13:54

  8. 13:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel