Jaderné noviny – 20. 7. 2017: Konec začleňovacího okna 4.13 (diskuse)

[pc2005]

Pamatujte, pokud vám někdo řekne, že „jádro aktualizujeme pouze tehdy, když máme číslo CVE daného problému“, utíkejte co nejrychleji, je jasné, že nemají tušení, o čem mluví. A ano, přesně tohle mi před několika měsíci řekl šéf bezpečnostního týmu jedné hodně velké firmy.

Nějak mi to připomíná diskuzi o 0day uživateli v systemd unitách .

[Michal Kubeček]

Jenže tohle je spíš opak. Zatímco tam šlo o to, že Lennart Poettering ignoroval bezpečnostní chyby včetně těch, které měly CVE id, Greg KH kritizuje přístup, kdy se updatuje jen v případě, že je opravena nějaká CVE chyba, např. proto, že (a) mohou existovat dost závažné chyby, které nikdy CVE id nedostanou (prostě proto, že nikdo neměl potřebu o něj požádat) a (b) běžně se stává, že je CVE id přiděleno až poté (někdy i dost dlouho poté), co je oprava v mainline a dokonce i ve stable updatech.

[pc2005]

Já to myslel jako že to LP nepovažoval za problém a vydání CVE tedy zbytečné a ten od Grega s tím, že nebude updatovat dokud nedostane CVE. Jako že by vytvořili zajímavé bezpečnostní duo .