Samba: Swat soll entfernt werden
Nach der jüngsten Meldung, dass die Passwortverwaltung im Konfigurationswerkzeug Swat(öffnet im neuen Fenster) für Samba (Samba Web Administration Tool) nicht mehr korrekt funktioniert, hat Entwickler Andrew Bartlett vorgeschlagen(öffnet im neuen Fenster) , Swat nicht mehr weiterzuentwickeln und aus dem Samba-Paket zu entfernen(öffnet im neuen Fenster) . Für das webbasierte Swat(öffnet im neuen Fenster) gebe es keinen geeigneten Entwickler im Team, der entsprechend sicheren Code schreiben kann.
Swat biete die bei weitem größte Angriffsfläche aller Samba-Werkzeuge, schreibt Bartlett. Kai Blin gebe sich zwar alle Mühe, zumindest die Richtlinien zur Vermeidung von XSS- und CSRF-Angriffen in Swat umzusetzen, aber weder er noch die anderen Mitglieder des Samba-Teams seien Webentwickler.
Swat nur als Dokumentation gut
Viel Widerstand gibt es bislang in dem Diskussionsthread nicht. Einige Anwender würden die in der HTML-Oberfläche integrierten Erklärungen zu den einzelnen Parametern vermissen. Inzwischen hat Entwickler Gregory Sloop eine HTML-Version(öffnet im neuen Fenster) der umfangreichen Samba-Dokumentation aus den Man-Pages zusammengestellt.
Ansonsten wird die bereits seit einigen Jahren geäußerte Kritik an Swat wiederholt: Das Konfigurationswerkzeug verhunze die Konfigurationsdatei smb.conf, mache sie unlesbar oder zerschieße sie sogar.
Webmin mit ähnlichen Problemen
Das ebenfalls webbasierte Werkzeug Webmin(öffnet im neuen Fenster) kämpft indes mit ähnlichen Problemen wie Swat. In der Mailingliste schlug Robert Schetterer vor, die Samba-Entwickler sollten mit dem Webmin-Team zusammenarbeiten, etwa indem die Dokumentation vom Samba-Projekt kommt und sich das Webmin-Projekt auf die Sicherheit konzentrieren könnte.
Anlass der erneuten Diskussion um Swat sind die inzwischen geschlossenen Sicherheitslücken CVE-2013-0213(öffnet im neuen Fenster) und CVE-2013-0214(öffnet im neuen Fenster) .