suse

Sicherheitswarnung für Fedora Linux 40: Wichtige Informationen zur xz-Bibliothek

**Sicherheitswarnung für Fedora Linux 40: Wichtige Informationen zur xz-Bibliothek**

**Schlagworte: Gemeinschaft, Infrastruktur, Plattform, Sicherheit**

**Aktualisiert am 30. März 2024**: Wir haben festgestellt, dass die Fedora Linux 40 Beta-Version zwei betroffene Versionen der xz-Bibliotheken enthält – xz-libs-5.6.0-1.fc40.x86_64.rpm und xz-libs-5.6.0-2.fc40.x86_64.rpm. Derzeit scheint Fedora 40 Linux nicht von dem tatsächlichen Malware-Exploit betroffen zu sein, dennoch raten wir allen Nutzern der Fedora 40 Linux Beta-Version, auf die 5.4.x-Versionen zurückzugehen.

**Hinweis der Redaktion**: Dieser Beitrag wurde aktualisiert, um die betroffenen Fedora Linux-Versionen klarer zu benennen und zusätzliche Minderungsmaßnahmen hinzuzufügen.

Gestern haben das Information Risk and Security Team sowie das Product Security Team von Red Hat erfahren, dass die neuesten Versionen der „xz“ Tools und Bibliotheken schädlichen Code enthalten, der offenbar darauf ausgelegt ist, unbefugten Zugriff zu ermöglichen. Insbesondere ist dieser Code in den Versionen 5.6.0 und 5.6.1 der Bibliotheken vorhanden. Fedora Linux 40-Nutzer könnten je nach Zeitpunkt der Systemaktualisierung Version 5.6.0 erhalten haben. Nutzer von Fedora Rawhide könnten Version 5.6.0 oder 5.6.1 erhalten haben. Diese Schwachstelle wurde als CVE-2024-3094 eingestuft.

**BITTE STELLEN SIE UMGEHEND DIE NUTZUNG ALLER INSTANZEN VON FEDORA RAWHIDE für Arbeit oder persönliche Aktivitäten EIN.** Fedora Rawhide wird in Kürze auf xz-5.4.x zurückgesetzt, und danach können Fedora Rawhide-Instanzen sicher neu eingesetzt werden. Beachten Sie, dass Fedora Rawhide die Entwicklungsverteilung von Fedora Linux ist und als Basis für zukünftige Fedora Linux Builds dient (in diesem Fall für das noch nicht veröffentlichte Fedora Linux 41).

Derzeit wurde nicht festgestellt, dass die Fedora Linux 40 Builds kompromittiert wurden. Wir glauben, dass die schädliche Codeeinspritzung in diesen Builds nicht wirksam wurde. Dennoch sollten Fedora Linux 40-Nutzer sicherheitshalber auf einen 5.4 Build herabstufen. Ein Update, das xz auf 5.4.x zurücksetzt, wurde kürzlich veröffentlicht und wird Fedora Linux 40-Nutzern über das normale Update-System zur Verfügung gestellt. Besorgte Nutzer können das Update durch die Anweisungen unter [Fedora Update Portal](https://bodhi.fedoraproject.org/updates/FEDORA-2024-d02c7bb266) erzwingen.

**Was ist xz?**

xz ist ein Datenkompressionsformat für allgemeine Zwecke, das in nahezu jeder Linux-Distribution vorhanden ist, sowohl in Community-Projekten als auch in kommerziellen Produktverteilungen. Im Wesentlichen hilft es, große Dateiformate zu komprimieren (und dann zu dekomprimieren), um sie in kleineren, handlicheren Größen für die gemeinsame Nutzung via Dateiübertragungen bereitzustellen.

**Was ist der schädliche Code?**

Die schädliche Injektion, die in den xz-Versionen 5.6.0 und 5.6.1 vorhanden ist, ist verschleiert und nur vollständig im Download-Paket enthalten – die Git-Verteilung fehlt das M4-Makro, das den Bau des schädlichen Codes auslöst. Die Artefakte der zweiten Stufe sind im Git-Repository für die Injektion während der Bauzeit vorhanden, falls das schädliche M4-Makro vorhanden ist.

Das resultierende schädliche Build stört die Authentifizierung in sshd über systemd. SSH ist ein häufig verwendetes Protokoll zum Fernverbinden mit Systemen, und sshd ist der Dienst, der Zugang ermöglicht. Unter den richtigen Umständen könnte diese Störung es einem böswilligen Akteur potenziell ermöglichen, die sshd-Authentifizierung zu brechen und unbefugten Zugriff auf das gesamte System aus der Ferne zu erlangen.

**Welche Distributionen sind von diesem schädlichen Code betroffen?**

Aktuelle Untersuchungen deuten darauf hin, dass die Pakete nur in Fedora 40 und Fedora Rawhide innerhalb des Red Hat Community-Ökosystems vorhanden sind.

Keine Versionen von Red Hat Enterprise Linux (RHEL) sind betroffen.

Wir haben Berichte und Beweise für erfolgreiche Einspritzungen in xz 5.6.x-Versionen, die für Debian Unstable (Sid) gebaut wurden. Andere Distributionen könnten ebenfalls betroffen sein. Nutzer anderer Distributionen sollten sich an ihre Distributoren wenden, um Anweisungen zu erhalten.

**Was sollte ich tun, wenn ich eine betroffene Distribution verwende?**

Für persönliche und geschäftliche Aktivitäten sollten Sie die Verwendung von Fedora 40 oder Fedora Rawhide umgehend einstellen, bis Sie Ihre xz-Version herabstufen können. Wenn Sie eine betroffene Distribution in einem geschäftlichen Umfeld verwenden, empfehlen wir Ihnen, sich an Ihr Informationssicherheitsteam für die nächsten Schritte zu wenden.

Zusätzlich haben diejenigen, die openSUSE-Distributionen betreiben, von SUSE ein Downgrade-Verfahren veröffentlicht, das unter [SUSE Build Service](https://build.opensuse.org/request/show/1163302) eingesehen werden kann. Community, Infrastructure, Platform, Security

By carrabelloy, ago

Chaos Computer Club informiert

Reblog via Chaos Computer Club e.V.

Der Chaos Computer Club (CCC) öffnet diesen Samstag erstmals bundesweit und darüber hinaus seine Tore und lädt zum Kennenlernen und Mitmachen ein. Zwei neue Chaostreffs nehmen den Tag auch zum Anlass, ihre Eröffnung zu feiern.

Am 27. August werden 83 Hackerspaces aus Deutschland und acht weiteren Ländern am Tag der offenen Tür teilnehmen. Viele haben zusätzlich zu Führungen und geöffneten Werkstätten für Samstag ein Ganztagsprogramm organisiert oder bieten Workshops und Bastelprojekte für Groß und Klein an. Für Kurzentschlossene geben wir einen Überblick, welche speziellen Angebote und besonderen Highlights am Samstag wo stattfinden werden.

Eine Gesamtliste aller teilnehmenden Hackerspace aus Deutschland, der Schweiz, Polen, Luxemburg, Österreich, Schweden, Brasilien, den USA und Frankreich findet sich hier. Außerdem gibt es eine Karte mit allen beteiligten Orten.

Hackerspaces sind offene Orte für den kreativen Umgang mit Technik. Dort stehen nicht nur Werkzeuge wie 3D-Drucker und Elektroniklabore bereit, sondern sie bieten auch den Raum, in dem sich Hacker, Maker und Bastler treffen, um sich auszutauschen und gemeinsam an Projekten zu arbeiten. Viele der teilnehmenden Hackerspaces sind im CCC organisiert.

Kommt vorbei:

in Aachen, mit Lötworkshop und Vorträgen: Firmwarehackerey, Evolution of DRM, Privacy im Browser 2022,

in Andernach, mit Linux-Workshop, Live-Buchbinden und Projektvorstellungen,

in Augsburg ab 13:37 Uhr, um die neuen Räume zu sehen, die 3D-Drucker zu begutachten oder kurze Vorträge zu sehen,

in Basel, um einen 3D-Drucker ausprobieren oder zu lernen, wie einer der ersten PCs programmiert wurde,

in Bern zu einer exklusiven Führung durch den Space und zum Ausprobieren vom 3D-Drucker,

im ACME Labs in Bielefeld zur Vorstellung der Projekte: Löten, 3D-Druck, Software,

im Space.bi in Bielefeld ab 12 Uhr zur Vorstellung von Projekten (Homeassistant, Snackshop, Rumsa, SpaceNFC) und der offenen Werkstatt mit 3D-Druck und Lötwerkstatt,

in Bochum ab 14 Uhr, mit Vorstellungen des Labors, Führungen durch die Räumlichkeiten und spannenden Lötworkshops,

in Bremen ab 12 Uhr, mit dem berühmten Waffel Operation Center und Workshops für Jugendliche zum Basteln eines kleinen elektronischen leuchtenden Gadgets,

in Cottbus ab 14 Uhr, mit Lasercutter und 3D-Drucker in Aktion und Spontanbasteleien mit Arduino oder Raspberry Pi,

in Darmstadt ab 10 Uhr, mit einem kleinen Programm mit Kurzvorträgen,

in Dortmund und Dresden, weil man von beiden nie genug bekommen kann,

in Düsseldorf ab 11 Uhr, mit einem Kubernetes-Workshop,

in Essen, mit einem Ganztagsprogramm und mehreren Workshops zu Löten oder Computerspiel-Entwicklung,

in Freiburg ab 12 Uhr, mit offenen Führungen,

in Hamburg, mit Löt- und 3D-Druck-Workshop, Impulsvorträgen zu Einsteiger-Themen und zur Chatkontrolle, live vor Ort und im Stream,

in Itzehoe, mit Öffnung des vereinseigenen Labors mit Werkzeug, 3D-Drucker und CNC-Fräse,

im westlichen Brückenkopf der chaotischen Technologiezerforschung in Köln, mit einen Einblick in mehr als vierzig Jahre CCC, einer Crypto-Party und den laboreigenen Gerätschaften wie Lötstationen und 3D-Drucker zum Anfassen,

in Lübeck zum Schnacken, Basteln, Löten und Hacken,

in Nürnberg ab 15 Uhr, mit bunten Lichtern und lustigen Basteleien für Große und Kleine,

in Paderborn, mit 3D-Drucker und Lasercutter in Aktion und vielen bunten steuerbaren LEDs,

in Ransbach-Baumbach, mit Löten, Capture-the-Flag und 3D-Drucken,

in Schwerin, mit Vorstellungen aktueller Projekte und des neuen Jugend-hackt-Lab, mit Lasercutter und 3D-Drucker in Aktion,

in Siegen, mit einer öffentlichen Installation im Rahmen des Urban-Art-Festivals,

in Stralsund ab 14 Uhr zur Eröffnung und Vorstellung des Spaces,

in Unna ab 10 Uhr, mit 3D-Drucker und Lasercutter in Aktion,

in Uppsala, mit einer Tour der Sammlung historischer Computer, mit Computerspielen und Kurzvorträgen,

in Wiesenburg, mit der Eröffnung und Vorstellung des Space.

By carrabelloy, ago

Themen in der Rückschau

Reblog via Matthias Pfefferle

2022 war ein extrem spannendes Jahr! Ein Rückblick!

CloudFest Hackathon

Im März hatte ich die Chance ein Thema für den CloudFest Hackathon zu leiten/betreuen (Danke an Carole und Alain). Auch wenn das Projekt anders lief als ich das insgeheim geplant hatte, hab ich sehr viel über UX gelernt und großartigen Input bekommen, den ich leider noch nicht komplett umsetzen konnte.

WP Sofa

Robert Windisch hat, im Rahmen des Hackathon, Lucas Radke und mich auf das WP Sofa eingeladen und wir haben ein bisschen über die „WordPress Hosting Communtiy“ gesprochen.

In der gleichen Folge erklärt Robert übrigens auch noch das „Hippie Zeug“ an dem wir an den drei Tagen gearbeitet haben 😉

20 Jahre bloggen

Letztes Jahr, vor 20 Jahren, habe ich mit dem Bloggen angefangen! Das heißt ich schreibe jetzt fast mein halbes Leben lang Dinge in’s Internet!

neunetzcast

2022 kamen leider nur drei neunetzcast Folgen zustande, dafür haben wir (aus meiner Sicht) zwei extrem spannende Ausgaben zu Mastodon, ActivityPub und dem Fediverse gemacht.

Eine der Zentralen Fragen des Podcasts: Warum Walled Gardens wie Facebook, Twitter oder TikTok immer noch den Markt der sozialen Netzwerke dominieren, während z.B. im IOT Bereich massiv am Thema Standards und Interoperabilität gearbeitet wird.

These: Der Schmerz ist einfach noch nicht groß genug!

…und als hätte Elon Musk unseren Podcast gehört, hat er promt für den nötigen Schmerz gesorg und viele Twitter-User in die Arme von Mastodon getrieben, was vielleicht der letzte Tropfen war, den das Fediverse Fass gebraucht hat!

Außerdem hat sich ein alter Podcast-Freund zu uns gesellt, mit dem ich seit Jahren nicht mehr gesprochen hatte! Es hat großen Spaß gemacht, Carsten und Marcel und ich freue mich auf nächstes Jahr!

ActivityPub für WordPress

Dank Elon Musk haben sich aber auch die Download-Zahlen von meinem ActivityPub (WordPress) Plugin und meine Follower auf Mastodon mindestens verzehnfacht! Das hat mich beflügelt wieder aktiver am Plugin zu arbeiten und es kamen ein paar großartige Änderungen dabei rum. Alex Kirk hat beispielsweise sein friends Plugin so angepasst, dass man auch Freunde über ActivityPub abonnieren kann.

Um Menschen auf Mastodon oder ähnlichen Plattformen über dein eigenes WordPress zu folgen, kannst du das Friends-Plugin für WordPress benutzen, das über das Plugin Beiträge abruft, in deinem eigenen WordPress anzeigt und es so zu einer eigenen Fediverse-Instanz macht.

Außerdem hat Alex mich (auch durch sein friends Plugin) zu einem neuen Onboarding Screen inspiriert.

Es stehen aber noch weitere großartige Features in den Startlöchern (wie z.B. Djangos „Federated Comments“ Vorschlag) die aber noch etwas angepasst werden müssen.

Danke an Elon, Django und Alex!

WWSIV

Ich war im November (2022) zu Gast beim „Wo wir sind ist vorne„-Podcast und durfte über alles reden, worüber ich hier auch schreibe 🙂

Indie Web, Open Web, Websemantics, Microformats, Open Graph, Schema.org!“

Mit unserem Gast Matthias Pfefferle verschaffen wir uns einen Überblick über den aktuellen Stand der Websemantics und wie sie dazu beitragen das Web besser zu strukturieren und durchsuchbar zu machen. Dazu lernen wir, warum die eigene Website immer noch der beste Weg ist im Web zu publizieren, sprechen über den Twitter-Meltdown + Fediverse und zum Abschluss gibt es noch Blasmusik. Wir hatten Spaß. Und ihr?

https://wowirsindistvorne.show/open-web-mit-matthias-pfefferle/

Ich kenne Moritz ( @MoritzGiessmann ) ein bisschen und habe den Podcast auch schon seit einer Weile abonniert… zu meiner Schande muss ich aber gestehen, dass ich bisher nur die Live-Steams geschaut („geschaut“ ist vielleicht auch übertrieben… ich habe ein bisschen rein ge-zappt…), aber noch nie eine Audio-Folge gehört habe…

DIE MEISTEN BEITRÄGE SIND ÜBER 2 STUNDEN LANG!

Aus perspektive des Gastes, verstehe ich jetzt aber warum die Folgen so lange sind! Die beiden haben einfach ’ne menge Spaß an dem was sie tun und eine Aufnahme ist viel mehr als „nur“ das Fachsimpeln zu einem Nerd-Thema. Von den 3 Stunden, die ich mit Moritz und Constantin geredet habe, geht es wahrscheinlich „nur“ 60 min um die oben genannten Themen… in der restlichen Zeit haben wir uns über Bier, Spam, Solar-Panele, Blasmusik und Terence Hill unterhalten (und ich hatte mich anfangs noch gewundert warum sie mich gefragt haben ob ich die ganze Folge dabei sein will).

Es war auf alle Fälle sehr lustig und kurzweilig… Ich hoffe die Beiden laden mich irgendwan nochmal ein und kann jedem nur wärmstens empfehlen den Podcast zu abonnieren!!

„Torque Social Hour“ und „Post Status Draft“

Dann war ich im November außerdem mit Tim Nolte zu Gast bei Doctor Popular und wir haben über „WordPress and the Fediverse“ gesprochen…

 

Hier klicken, um den Inhalt von YouTube anzuzeigen.
Erfahre mehr in der Datenschutzerklärung von YouTube.

 

„Torque Social Hour: WordPress and the Fediverse“ direkt öffnen

 

var _oembed_9bd7e1a699dd2c52a54e33bcde438f42 = ‚{„embed“:“<iframe title=“Torque Social Hour: WordPress and the Fediverse“ width=“900″ height=“506″ src=“https:\/\/www.youtube-nocookie.com\/embed\/Bf2Bksfof0U?feature=oembed“ frameborder=“0″ allow=“accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share“ allowfullscreen><\/iframe>“}‘;

[data-embed-id=“oembed_9bd7e1a699dd2c52a54e33bcde438f42″] { aspect-ratio: 900/506; } .embed-youtube .embed-privacy-logo { background-image: url(https://notiz.blog/wp-content/plugins/embed-privacy/assets/images/embed-youtube.png?v=1.7.2); }

…und im Dezember hatte ich noch einen gemütlichen Plausch mit Cory Miller „On The Fediverse, WordPress, and Activity Pub“.

 

Hier klicken, um den Inhalt von YouTube anzuzeigen.
Erfahre mehr in der Datenschutzerklärung von YouTube.

 

„On The Fediverse, WordPress, And Activity Pub With Matthias Pfefferle — Post Status Draft 135“ direkt öffnen

 

var _oembed_b1b26e0f1353d375604777c744129f19 = ‚{„embed“:“<iframe title=“On The Fediverse, WordPress, And Activity Pub With Matthias Pfefferle — Post Status Draft 135″ width=“900″ height=“506″ src=“https:\/\/www.youtube-nocookie.com\/embed\/c7uRXyXhvB0?feature=oembed“ frameborder=“0″ allow=“accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share“ allowfullscreen><\/iframe>“}‘;

[data-embed-id=“oembed_b1b26e0f1353d375604777c744129f19″] { aspect-ratio: 900/506; } .embed-youtube .embed-privacy-logo { background-image: url(https://notiz.blog/wp-content/plugins/embed-privacy/assets/images/embed-youtube.png?v=1.7.2); }

2023

Dieses Jahr wird mindestens genau so aufregend, wenn nicht noch aufregender…

Mehr dazu gibt es aber ein anderes Mal 🙂

By carrabelloy, ago