Debian Sarge ohne Sicherheits-Updates

Offenbar technische und organisatorische Probleme bei Debian

Seit dem Release von Debian GNU/Linux 3.1 alias Sarge sind für die Linux-Distribution keine Sicherheits-Updates erschienen, obwohl es einige Sicherheitslöcher zu stopfen gilt. Ganz offenbar hat das Debian-Security-Team derzeit erhebliche Probleme, denn obwohl es im Prinzip aus fünf Personen besteht, scheint sich nur Martin "Joey" Schulze der Sache ernsthaft zu widmen. Auf Grund der Vorbereitungen zum LinuxTag blieb diesem aber nicht genug Zeit.

Ganz offenbar kämpft Debian derzeit mit genau den Problemen, die der ehemalige Debian-Project-Leader Martin Michlmayr kürzlich im Interview mit Golem.de thematisiert hat: "Leider ist Qualitätssicherung kein Bereich, mit dem sich viele beschäftigen", so Michlmayer Anfang Juni 2005 gegenüber Golem.de. "Sicherheits-Updates sind auch ein Problem. Oft erscheinen Patches innerhalb von Stunden, aber es gibt auch eine große Anzahl von Fällen, in denen nach Wochen oder Monaten noch immer kein Fix erhältlich ist. Die Varianz ist sehr groß."

Dies unterstreichen auch Beiträge in der Debian-Security-Mailing-Liste, auf der eine heftige Diskussion um das Thema entbrannt ist.

Joey Schulze weist in seinem Blog mit einem Eintrag vom 14. Juni 2005 aber auch auf technische Probleme mit der Sicherheitsinfrastruktur hin, die man ihm zwar bestätigt und erklärt habe, ein Hinweis, wie damit umzugehen sei, blieb aber aus. Sein Schluss: "Es sieht so aus, als würden wir für eine Weile ohne Sicherheits-Updates auskommen müssen". Seitdem war Schulze aber mit der Organisation eines Treffens der X.Org-Entwickler und dem LinuxTag beschäftigt.

Abhilfe bietet der Rückgriff auf spezielle Paketquellen für einzelne Applikationen.