Dotaz: Proc ma debian 3.1 stable i po update/upgrade jadro z kvetna ?

[jelen]

Zdravim a mam jednu otazku. Proc ma debian 3.1 stable i po apt-get update + upgrade jadro z kvetna 2005, kdyz na secunii je spousta kernelovych bezpecnostnich chyb:

http://secunia.com/product/2719/#advisories_2005

Jadro

-rw-r--r--   1 root root 1097419 2005-05-19 11:25 vmlinuz-2.6.8-2-386

Prosim zadne domnenky, jen fakta (nebo odkazy na fakta - ja jsem nic nenasel). Diky

Odpovědi

[Robert Krátký]

Jádro se neupgraduje automaticky (kromě aktualizací téže verze). Musel bys přímo nainstalovat novější jádro. Ale pokud jde o bezp. problémy, tak je pravděpodobné, že i to starší jádro je průběžně patchováno a opravováno.

[jelen]

Dekuji, ale prave ze soubor vmlinuz... je z kvetna - viz. vyse

[trekker.dk]

V tomhle případě to s tím patchováním a opravami asi nebude tak slavné - nějak si nepamatuju, kdy se naposledy při upgrade stahovala nová verze kernel-image (verze 2.6.8-16 už je tam docela dlouho)

[jelen]

To nepotesi. Nektere chyby jsou pomerne drsne a daji se zneuzit i z lokalni site. Diky.

[Jarek Šeděnka]

"Spolehlivejsi" distribude (Red Hat, Debian, nejspise i dalsi) nemeni verzi jadra v ramci stabilni verze a pouze prenaseji bezpecnostni opravy.

Protoze se tak nepridavaji nove funkce, je mensi pravdepodobnost vnaseni novych chyb. Kazdopadne jestli chces jadro s nejvetsim ciselnym oznacenim, nemel by byt problem stahnout si ho z Unstablu.

[jelen]

Nejde o verzi jadra, jde o to, ze soubor vmlinuz je z kvetna a tudiz nemuze obsahovat patche napr. ze srpna.

[Aleš Kapica]

Ty si vážně mimoň. Soubor vmlinuz většinou bývá link na aktuální soubor jádra. Pokud ho máš z května a máš přitom nainstalované novějí jádro, tak je možné, že se ti pouze z nějakého důvodu neaktualizoval tento symlink. To za prvé. A za druhé.. dnešní jádro je většinou modulární a chyby se mohou týkat pouze určitých modulů, které se mohou zavádět až po startu. Tak proč updatovat základ, když stačí updatovat modul? A za třetí.. I chybu v jádře lze ošetřit jinak než pouze rekompilací jádra. Kupř. tak že se nasadí něco co znemožní její zneužití.

[Igor Lazo]

Poslal jsem dotaz do konference debian-user a situace je nepotesujici. Viz. napr. tento odkaz, ktery jsem dostal:

http://squishy.cc/blog/?p=85

Jinak mi pry nic nebrani zkompilovat si kernel sam. Vypada to, ze debian stable spi hlubokym spankem.

[trekker.dk]

No on Stable totiž neupgraduje balíčky, jenom opravuje bezpečnostní chyby.

Někde jsem četl (možná tady), že bezpečnostní aktualizace stable balíčků jsou one-man-show. Bylo to v souvislosti s tím, že pro Debian Testing se také vydávají bezpečnostní aktualizace a dělá na nich víc lidí.

[Jan]

Dik za upozorneni, bohuzel je to tak. Ani dnes na security.debian.org neni po updatovanem kernelu 2.6 ani stopa. Tohle nedopadne dobre.

V dubnu jde ven serverova distribuce Ubuntu se slibenou dobou podpory 5 let. Snad to do te doby preckame ve zdravi.

[knizmi]

Nevím jak ve stable, ale v testing se balicky s jadrem nove jmenuji linux-image. Takze mam v distribuci balicek kernel-image s jadrem 2.6.11 (jeste nedavno to bylo zminovane 2.6.8) a balicek linux-image s jadrem 2.6.12. U linux-image je pritom v popisu napsano:

This packages is produced using an updated kernel packaging system and
replaces older kernel-image packages.

Nemuze jit o stejny problem?

[trekker.dk]

Pravděpodobně ne - ve stable jsou pouze kernel-image.

Kernel-image jsou pro testing pouze "transition" - tzn. za účely přechodu. Když teď někdo nainstaluje kernel-image z testing, instaluje vlastně linux-image současné testing verze; kernel-image žádné jádro neobsahuje (neplatí pro starší verze z doby před touto změnou)

[iSteve]

Problem tkvi v tom, ze jak proslo slashdotem, osnews a urcite i tady, security team ma hrozne malo masin a schopnejch lidi; politika je nevydavat balicek, dokud neni pro vsechny architektury... a zrovna kernel je obzvlast ozehavej, pac pro kazdou architekturuju je vyrazne jinej; takze na nektery arch proste nejsou zdroje.

Ovsem neni vsem dnum konec, tohle by melo pomoct (sam beham na serverech ze zasady testing a s vlastnim jadrem, takze nemam ozkouseno:): http://kernel.alioth.debian.org/debian/pool/main/kernel-image-2.6.8-i386/

[Petr]

Ja si kompiluju vlastni kernel primo z kernel.org.

[F]

No a co takhle se podívat na datumy do /lib/modules/2.6.8-2-386 ?

[trekker.dk]

My o vlku

Nová verze jádra 2.6.8 pro Debian už je na světě

[lubo]

no vidite, a bali ste sa, ze security team debianu necita abicko

[Libor Klepac]

zrovna jsem sel bonzovat, ze je v incomingu