Opravy pro BIND 9 (diskuse)

[pavlix]

Na opravy tuším už odkazovala i ta minulá zprávička. Tohle je zavádějící, vypadá to, jako by oprava přišla až teď, což není pravda.

[Foo Bar]

Abych to ještě více upřesnil, teď když už to není tajné. Opravy byly k dispozici mnohem dříve, ale jen partnerům se smlouvou. První opravná verze byla partnerům dostupná již 15. června, ale pak se o týden později při testování přišlo na to, že se stejná chyba může spustit i za jiných podmínek. 25. června byla vydána finální opravná verze, která byla k dispozici opět jen partnerům[1].

Bohužel někteří lidé nevědí, co je to NDA, a že když je v tom emailu napsáno, že je to důvěrná informace a nemá to jít ven dříve než 6. července 12.00 PDT, tak opravdu není vhodné to přeposlat do veřejného mailing listu :(, takže cca 4. července se celý proces zrychlil a veřejné oznámení o chybě včetně veřejně dostupných opravných verzí šlo ven už 5. července.

O.

1. http://www.isc.org/software/guilds/bf/levels_and_benefits#security

[milan]

to mi nieco pripomina...aha, microsoft! :)

[Michal Kubeček]

Můžete to nějak osvětlit?

[Petr Tomášek]

obscurity by security?

[Michal Kubeček]

Ne, to opravdu není ono.

[Foo Bar]

Myslím, že si pletete dojmy a pojmy. Řízené vydávání bezpečnostních aktualizací tak, aby nejprve měli šanci zareagovat výrobci OS a zařízení, které obsahují Bind, a také důležití provozovatelé DNS systémů, je něco jiného než "Security by obscurity". Asi by se vám nelíbilo, kdyby takovýhle ping-of-death exploit byl oznámen jako 0-day (a nejlépe o víkendu ve tři ráno) a script kiddies by vesele začali shazovat kořenové a TLD servery (případně jen ty vaše), ne?

[kavol]

Bohužel někteří lidé nevědí, co je to NDA, a že když je v tom emailu napsáno, že je to důvěrná informace a nemá to jít ven dříve než 6. července 12.00 PDT, tak opravdu není vhodné to přeposlat do veřejného mailing listu :(, takže cca 4. července se celý proces zrychlil a veřejné oznámení o chybě včetně veřejně dostupných opravných verzí šlo ven už 5. července.

ano, není nad to 7. července dostat k otestování erratu s release datem 5. července

[Foo Bar]

No, pokud vím, resp. LaMont mi to potvrdil, tak minimálně Debian má od ISC support level takový, že dostává ISC Security Advisory dopředu (stejně jako my). Jestli spíš teda nebude chyba někde jinde.

[kavol]

No, pokud vím, resp. LaMont mi to potvrdil, tak minimálně Debian má od ISC support level takový, že dostává ISC Security Advisory dopředu (stejně jako my). Jestli spíš teda nebude chyba někde jinde.

ještě jednou:

... nemá to jít ven dříve než 6. července 12.00 PDT, tak opravdu není vhodné to přeposlat do veřejného mailing listu :(, takže cca 4. července se celý proces zrychlil ...

(a posun ze 6. na 7. byl způsoben svátky, bylo to jen "important", ne "critical", takže zřejmě nikdo neřešil, že 6.7. náš tým v práci nebyl)

[Foo Bar]

Jo, takhle... ono ten původní příspěvek vyzněl tak, že jste to vůbec neměli k dispozici. V tom případě se omlouvám za dva zbytečné komentáře včetně tohoto :).

[Foo Bar]

Jinak dnes vyšly verze 9.8.1b2, 9.8.2b2, 9.7.4rv1, 9.6-ESV-R5rc1 a 9.4-ESV-R5rc1, které v sobě obsahují opravy chyb z -Pn verzí a pár drobností navíc.