Sicherheitsmaßnahme: PostgreSQL-Team versteckt Sourcecode-Änderungen
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen. (Bild: PostgreSQL)

Sicherheitsmaßnahme PostgreSQL-Team versteckt Sourcecode-Änderungen

Wegen einer sehr gefährlichen Sicherheitslücke hat sich das PostgreSQL-Team zu einem ungewöhnlichen Schritt entschieden. Die Quelltexte der freien Datenbank werden für eine Weile gesperrt. So soll verhindert werden, dass durch Codeänderungen ein Angreifer das Sicherheitsproblem zu früh entdeckt.

Anzeige

Ab dem heutigen 1. April wird wegen einer Sicherheitslücke der Zugriff auf die Quellcodes des PostgreSQL-Projekts zum Teil gesperrt. In der Ankündigung heißt es, die Sperre gelte ab dem Nachmittag bis zur Veröffentlichung eines Sicherheitsupdates. Das wird voraussichtlich am 4. April passieren. Administratoren sollten sich also schon einmal darauf vorbereiten, PostgreSQL in einer neuen Version zu installieren.

Die Zugriffssperre auf die Veränderungen des Quelltextes betrifft nicht alle Entwickler. Der anonyme Git-Mirror und die Commit-Nachrichten werden nicht mehr aktualisiert, wie PostgreSQL-Entwickler Magnus Hagander erklärt.

Nur registrierte PostgreSQL-Entwickler werden also die aktuellen Quellen und ihre Veränderungen sehen. Für alle anderen bleiben das Projekt und die Repositories auf einem älteren Stand, bis die Arbeiten an dem Sicherheitsupdate abgeschlossen sind.

Mit der Maßnahme verhindern die Entwickler, dass sich Projektfremde während der Tage, in denen das Sicherheitsupdate in den Quellcode integriert wird, anschauen können, was passiert. Sie könnten so die Sicherheitslücke nachvollziehen und noch vor Veröffentlichung des Patches mit Angriffen beginnen. Die Veröffentlichung braucht aber ein paar Tage, da der Patch erst einmal getestet werden muss.

Sobald der Quelltext wieder offen ist, können potenzielle Angreifer einen Vorher-nachher-Vergleich machen. Es empfiehlt sich also, das Sicherheitsupdate möglichst schnell zu installieren. Die Sicherheitslücke stecke schon seit Jahren im Quelltext, so Hagander. Die Entwickler haben aber keine Kenntnis davon, dass die Lücke von irgendjemandem gefunden oder gar ausgenutzt worden sei.

Wenn die Entwicklung des Patches abgeschlossen ist, wird das PostgreSQL-Projekt wieder ganz normal arbeiten. Die Änderungen bleiben transparent und auch Details zu der Sicherheitslücke, die die Entwickler zu dem drastischen Schritt bewegte, werden veröffentlicht. Die Maßnahme sei eine Ausnahme für einen "sehr bösen Exploit", so Hagander, um möglichst wenigen die Gelegenheit zu geben, einen solchen zu entwickeln. Den Entwicklern ist aber bewusst, dass durch die Ankündigung jetzt einige "Bad Guys" etwas genauer in die Quellen schauen.


__destruct() 01. Apr 2013

Ich habe eine wichtige Information nicht gelesen. Weiteres hier.

Kommentieren



Anzeige

  1. Backend-Entwickler (m/w)
    mzentrale GmbH & Co. KG, Stuttgart
  2. SAP-Trainee-Programm
    Erhardt + Leimer GmbH, Stadtbergen
  3. Solution Architect (m/w)
    ALPMA Alpenland Maschinenbau GmbH, Rott am Inn
  4. Testmanagement Prozessmanager (m/w)
    dSPACE GmbH, Paderborn

 

Detailsuche


Folgen Sie uns
       


  1. Oracle

    Larry Ellison tritt als CEO zurück

  2. Mitbewohner geärgert

    Böser Streich mit Facebook-Werbung

  3. Square Enix

    Final Fantasy 13 erscheint für PC

  4. Entlassungen

    Telekom verkleinert Online-Innovationsabteilung stark

  5. Buchpreisbindung

    Buchhandel erzwingt höheren Preis bei Amazon

  6. PC-Spiele mit 4K, 5K, 6K

    So klappt's mit Downsampling

  7. Piratenpartei

    Berliner Landeschef Lauer verlässt die Partei

  8. Paketverwaltung

    Apt mit Lücken bei der Validierung

  9. Amazon-Tablet

    Neues Fire HD mit 6 Zoll für 100 Euro

  10. Chipsätze

    Ericsson stellt Modem-Entwicklung für Smartphones ein



Haben wir etwas übersehen?

E-Mail an news@golem.de



Smartphone-Diebstahl: Sicher ist nur, wer schnell reagiert
Smartphone-Diebstahl
Sicher ist nur, wer schnell reagiert
  1. Google Zukunft des Projekts Android Silver ungewiss
  2. Sicherheitslücke bei Android AOSP-Browser soll über Javascript angreifbar sein
  3. Android-Versionen Kitkat verbreitet sich langsamer als Jelly Bean

Mobile Encryption App angeschaut: Telekom verschlüsselt Telefonie
Mobile Encryption App angeschaut
Telekom verschlüsselt Telefonie
  1. Magenta Mobil Deutsche Telekom startet neues Tarif-Portfolio
  2. Telekom Störungen bei der IP-Telefonie
  3. Quartalsbericht Telekom macht weiter keine genauen Angaben zu FTTH

Galaxy Note Edge im Hands On: Das erste Smartphone mit sinnvoll gebogenem Display
Galaxy Note Edge im Hands On
Das erste Smartphone mit sinnvoll gebogenem Display
  1. Phicomm Passion im Hands On Anständiges Full-HD-Smartphone mit 64-Bit-Prozessor
  2. Interview mit John Carmack "Gear VR ist das Tollste, was ich in 20 Jahren gemacht habe"
  3. Nokia Lumia 735 Das OLED-Weitwinkel-Selfie-Phone

    •  / 
    Zum Artikel