Abo
  • Services:
Anzeige
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen.
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen. (Bild: PostgreSQL)

Sicherheitsmaßnahme: PostgreSQL-Team versteckt Sourcecode-Änderungen

Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen.
Eine Sicherheitslücke zwingt das PostgreSQL-Team zu ungewöhnlichen Maßnahmen. (Bild: PostgreSQL)

Wegen einer sehr gefährlichen Sicherheitslücke hat sich das PostgreSQL-Team zu einem ungewöhnlichen Schritt entschieden. Die Quelltexte der freien Datenbank werden für eine Weile gesperrt. So soll verhindert werden, dass durch Codeänderungen ein Angreifer das Sicherheitsproblem zu früh entdeckt.

Ab dem heutigen 1. April wird wegen einer Sicherheitslücke der Zugriff auf die Quellcodes des PostgreSQL-Projekts zum Teil gesperrt. In der Ankündigung heißt es, die Sperre gelte ab dem Nachmittag bis zur Veröffentlichung eines Sicherheitsupdates. Das wird voraussichtlich am 4. April passieren. Administratoren sollten sich also schon einmal darauf vorbereiten, PostgreSQL in einer neuen Version zu installieren.

Anzeige

Die Zugriffssperre auf die Veränderungen des Quelltextes betrifft nicht alle Entwickler. Der anonyme Git-Mirror und die Commit-Nachrichten werden nicht mehr aktualisiert, wie PostgreSQL-Entwickler Magnus Hagander erklärt.

Nur registrierte PostgreSQL-Entwickler werden also die aktuellen Quellen und ihre Veränderungen sehen. Für alle anderen bleiben das Projekt und die Repositories auf einem älteren Stand, bis die Arbeiten an dem Sicherheitsupdate abgeschlossen sind.

Mit der Maßnahme verhindern die Entwickler, dass sich Projektfremde während der Tage, in denen das Sicherheitsupdate in den Quellcode integriert wird, anschauen können, was passiert. Sie könnten so die Sicherheitslücke nachvollziehen und noch vor Veröffentlichung des Patches mit Angriffen beginnen. Die Veröffentlichung braucht aber ein paar Tage, da der Patch erst einmal getestet werden muss.

Sobald der Quelltext wieder offen ist, können potenzielle Angreifer einen Vorher-nachher-Vergleich machen. Es empfiehlt sich also, das Sicherheitsupdate möglichst schnell zu installieren. Die Sicherheitslücke stecke schon seit Jahren im Quelltext, so Hagander. Die Entwickler haben aber keine Kenntnis davon, dass die Lücke von irgendjemandem gefunden oder gar ausgenutzt worden sei.

Wenn die Entwicklung des Patches abgeschlossen ist, wird das PostgreSQL-Projekt wieder ganz normal arbeiten. Die Änderungen bleiben transparent und auch Details zu der Sicherheitslücke, die die Entwickler zu dem drastischen Schritt bewegte, werden veröffentlicht. Die Maßnahme sei eine Ausnahme für einen "sehr bösen Exploit", so Hagander, um möglichst wenigen die Gelegenheit zu geben, einen solchen zu entwickeln. Den Entwicklern ist aber bewusst, dass durch die Ankündigung jetzt einige "Bad Guys" etwas genauer in die Quellen schauen.


eye home zur Startseite
__destruct() 01. Apr 2013

Ich habe eine wichtige Information nicht gelesen. Weiteres hier.



Anzeige

Stellenmarkt
  1. BVU Beratergruppe Verkehr + Umwelt GmbH, Freiburg
  2. Villeroy & Boch AG, Mettlach bei Saarbrücken / Merzig
  3. Daimler AG, Stuttgart
  4. T-Systems International GmbH, verschiedene Standorte


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. (u. a. Asus GTX 1070 Strix OC, MSI GTX 1070 Gaming X 8G und Aero 8G OC)
  3. (täglich neue Deals)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. China

    Dropbox-Alternative Seafile im Streit mit Mutterkonzern

  2. Verizon Communications

    Yahoo hat einen Käufer gefunden

  3. Deutschland

    Preiserhöhung bei Netflix jetzt auch für Bestandskunden

  4. Künstliche Intelligenz

    Softbank und Honda wollen sprechendes Auto bauen

  5. Alternatives Android

    Cyanogen soll zahlreiche Mitarbeiter entlassen

  6. Update

    Onedrive erstellt automatisierte Alben und erkennt Pokémon

  7. Die Woche im Video

    Ausgesperrt, ausprobiert, ausgetüftelt

  8. 100 MBit/s

    Zusagen der Bundesnetzagentur drücken Preis für Vectoring

  9. Insolvenz

    Unister Holding mit 39 Millionen Euro verschuldet

  10. Radeons RX 480

    Die Designs von AMDs Partnern takten höher - und konstanter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nuki Smart Lock im Test: Ausgesperrt statt aufgesperrt
Nuki Smart Lock im Test
Ausgesperrt statt aufgesperrt

Schrott im Netz: Wie Social Bots das Internet gefährden
Schrott im Netz
Wie Social Bots das Internet gefährden
  1. Netzwerk Wie Ausrüster Google Fiber und Facebooks Netzwerk sehen
  2. Secret Communications Facebook-Messenger bald mit Ende-zu-Ende-Verschlüsselung
  3. Social Media Ein Netzwerk wie ein Glücksspielautomat

Masterplan Teil 2: Selbstfahrende Teslas werden zu Leihautos
Masterplan Teil 2
Selbstfahrende Teslas werden zu Leihautos
  1. Projekt Titan Apple Car soll später kommen
  2. Nissan Serena Automatisiert fahrender Minivan soll im August erscheinen
  3. Elon Musk Tesla-Chef arbeitet an neuem Masterplan

  1. Re: Ich glaube den Chinesen

    quasides | 02:15

  2. Re: Gut so, hoffentlich bald alle arbeitslos

    Pjörn | 02:08

  3. Re: Der Grund war eindeutig.

    zampata | 01:26

  4. Re: Immer noch kein HBM?

    ms (Golem.de) | 01:05

  5. Re: AMD ist nicht tot zu bekommen...und das ist...

    ms (Golem.de) | 01:04


  1. 15:30

  2. 14:13

  3. 12:52

  4. 15:17

  5. 14:19

  6. 13:08

  7. 09:01

  8. 18:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel