91

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by Geier0815 on 2024/03/31, 14:33:12 »

Ist das der Grund warum es seit gestern keinerlei neue Pakete mehr gibt?

Ah, ok, wer auf der richtigen Seite sucht, der findet auch:

CVE-2024-3094 concerning a backdoor exploit in XZ Utils 5.6.0 and 5.6.1 releases are currently being analyzed, for the moment we have paused Archive processing. We will advise as soon as possible. For more reading and information: https://tukaani.org/xz-backdoor/

92

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by devil on 2024/03/30, 17:38:59 »

Die Hoffnung stribt zuletzt. Der Typ hat auch im massig anderen Projekten Code eingebracht:
»That actor is involved in so many PR/commits/review in openssl and systemd, protobuf-c. llvms, util-linux. torvalds/linux, make-ca, cpython, curl, libxcrypt, dosbox-x, rust…
16 repo contributed to this year, 47 repos in 2023, 38 in 2024.
Some of his PRs are reviewed in conjunction with xen0n or xry111 is reviewing PRs from him. xen0n has contributed 36 repos this year, 101 in 2023 and 136 in 2024.

Da kann noch einiges auf uns zukommen.

93

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by edlin on 2024/03/30, 12:40:57 »

Code: [Select]

doas ./xz_cve-2024-3094-detect.sh
Checking system for CVE-2024-3094 Vulnerability...
https://nvd.nist.gov/vuln/detail/CVE-2024-3094

Checking for function signature in liblzma...
Function signature in liblzma: OK

Checking xz version...
xz version 5.4.5: OKssh ist aus, hoffen wir mal, dass die weitere Analyse keine schlimmeren Überraschungen bringt.

edlin

94

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by pit on 2024/03/30, 12:08:08 »

Zitat aus einem Heise-Artikel:

Der Finder der Hintertür hat ein Bash-Skript geschrieben, um eine potentiell anfällige liblzma-Version auf dem eigenen System zu finden. Es bietet zwar keine vollständige Sicherheit, jedoch einen ersten Anhaltspunkt.

Quelle:
https://www.heise.de/news/Hintertuer-in-xz-Bibliothek-gefaehrdet-SSH-Verbindungen-9671317.html

Script:
https://raw.githubusercontent.com/cyclone-github/scripts/main/xz_cve-2024-3094-detect.sh

95

Upgrade Warnings / Re: Nvidia-Treiber Modulbau schlägt mit Kernel 6.8 fehl

« Last post by ro_sid on 2024/03/30, 11:25:23 »

@towo: Danke fürs Nachlegen beim (550) Nvidia-Treiber! Alle (von mir vermißten) Pakete (nvidia-suspend-commn, pkcs12) sind nun wieder "an Bord".

96

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by vinzv on 2024/03/30, 01:43:58 »

Die Hintergründe sind noch weitgehend unklar. Was aber bisher so bekannt ist klingt nach einem wirklich groß und langfristig angelegten Angriffsversuch: https://boehs.org/node/everything-i-know-about-the-xz-backdoor

97

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by Balou on 2024/03/30, 01:01:23 »

Na, auf das Osterei hätten wir gerne verzichtet. Bin gespannt auf die Hintergründe. So ganz habe ich noch nicht alles verstanden
bin noch am übersetzen von diversen Quellen.
Klar, ist das Ausmaß noch offen. Aber müßte nicht ein SSH Zugang gegeben sein? Oder alles noch Glaskugel leserei?
Ich habe keinen offenen SSH Zuganng, bin auf der 5.6.1+really5.4.5-1. Mein Rechner ist aus.
Also eine Schlaflose Nacht habe ich nicht.

Balou

98

Upgrade Warnings / Re: Attention! Malicious Software in testing and sid

« Last post by hendrikL on 2024/03/30, 00:08:53 »

https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

99

Upgrade Warnings / Re: Nvidia-Treiber Modulbau schlägt mit Kernel 6.8 fehl

« Last post by towo on 2024/03/29, 21:16:02 »

Nuja, dann ist eine Distro, die für moderne Hardware konzipiert ist, wohl eher nicht das Richtige für ein "altes Eisen".

100

Upgrade Warnings / Re: Nvidia-Treiber Modulbau schlägt mit Kernel 6.8 fehl

« Last post by samtfalterblau on 2024/03/29, 20:45:37 »

Legacy wird schon lange nicht mehr unterstützt, Patches kommen nur noch von der Community.

Und gibt es noch Liebhaber des "nvidia-legacy-340xx-driver"? 
Den würde ich gerne noch verwenden.

Das weiss ich nicht, ich habe keinerlei Nvidia in meinem privaten Rechnern.

Würde ich auch nicht mehr nehmen. Ich kann mich nur noch nicht von meinem alten "Eisen" trennen.