Webdienste vorsorglich abgeschaltet

Publiziert am 5. April 2017 von Marc Lattemann

Unsere Sysadmins entschieden sich vorsorglich, die meisten unserer Webdienste abzuschalten, die noch unter nicht mehr gewarteten Mageia-Versionen laufen, da deren potentielle Verwundbarkeit durch Angriffe von Außen uns von dritter Seite berichtet wurde.

Die Migration dieser Dienste auf Mageia-5-Server war schon geplant; wurde aber zurückgestellt, weil den Sysadmins die Zeit, daran zu arbeiten, fehlte. Die unerwartete  öffentliche Aufmerksamkeit  lässt nun dieses Thema zu einem mit hoher Priorität werden: Unsere Infrastruktur ist zu einem schlicht ungeschützten Ziel geworden. Beachten Sie bitte, dass unser Buildystem für Pakete und ISO-Images unter dem letzten stabilen Release läuft, und Mageia-Nutzer deshalb nicht besorgt sein müssen (zumindest soweit wir es derzeit abschätzen können). Die potentielle Gefährdung ist auf einige Webservices der Domain mageia.org begrenzt – trotzdem überprüfen wir alle Dienste auf Spuren von Einbrüchen, die durch die veraltete Infrastruktur verursacht sein könnten.

Wir bitten für die Unannehmlichkeiten und Vernachlässigung der Sicherheit um Nachsicht. Wir werden Sie über die Fortschritte bei diesem Problem und der Prüfung der Dienste auf dem Laufenden halten.

Für den aktuellen Stand der Services, die derzeit abgeschaltet oder verfügbar sind, schauen sie doch bitte in dem englischen Blogeintrag.

Übersetzt von Alfred, Original von Rémi

Dieser Beitrag wurde unter Allgemein veröffentlicht. Setze ein Lesezeichen auf den Permalink.

16 Antworten auf Webdienste vorsorglich abgeschaltet

  1. Dieter sagt:
    7. April 2017 um 12:26

    Leider auch die mirrorliste
    Mirror der Mirrorliste http://mirrors.mageia.org/api/mageia.5.x86_64.list konnte nicht gefunden werden
    So das es derzeit keine Chance auf updates gibt.

  2. Wolfgang Bauer sagt:
    7. April 2017 um 18:20

    Hallo.
    Ist es absehbar wann das Forum wieder errechbar sein wird?

    • Marc Lattemann sagt:
      7. April 2017 um 19:02

      auf den Mailling Listen habe ich noch nichts gesehen. Auch die Sysadmins sind alle nur in ihrer Freizeit aktiv…

      • Wolfgang Bauer sagt:
        7. April 2017 um 19:37

        Hallo Marc.
        Ich hoffe das Forum ist bald wieder erreichbar.
        Ich bin mitten in einem Thread.

        M.f.G.
        Wolfgang

        • Alfred sagt:
          7. April 2017 um 21:28

          Bei akuten Problemen empfiehlt es sich im Augenblick im IRC um Hilfe zu bitten.

  3. jkowalzik sagt:
    7. April 2017 um 19:53

    Hallo
    Unverhofft kommt oft!
    Wir werden es überleben. Weil ich an einem völlig neuen Gerät sitze und mich über eine Suchmaschine mit „mageia.org“ zu Forum hangeln wollte, bin ich auf die Mitteilung gestoßen.
    Da ja nicht alles tot ist, könnte man doch Foren Aufrufe auf so eine Mitteilung umleiten.
    Gruß
    J.

    • Dieter sagt:
      7. April 2017 um 20:02

      Wenn das über Nameservereinträge läuft, ist es etwas komplexer, da deren Eintragsverteilung ja auch etwas Zeit in Anspruch nimmt. Dann macht man das nur wenn es von vorn herein lange dauert. Da es subdomains sind, werden die im Nameserver auch eingetragen sein. Wenn die aber alle auf der selben Kiste empfangen und dann verteilt werden (virtual hosts), sollte es kein Problem sein.

  4. Dieter sagt:
    7. April 2017 um 19:55

    Ich hoffe das es nicht gleich ein paar Versionen sind, denn das mach häufiger mehr Probleme.
    Fehlt halt das LongTerm Release, meine Rede seit langem. Nunja, jetzt dürften einige schwitzen, fluchen und hoffen das es einigermaßen reibungslos geht.
    Drück Euch die Daumen.

    • Marc Lattemann sagt:
      8. April 2017 um 18:49

      Man kann halt lange vom LongTerm Release reden. Wenn man einfach keine Leute dafür organisiert, bleibt es beim Reden…
      Wie immer auf die gleichen Ideen gibt es nur die gleichen Antworten: es gibt einfach nicht genug Manpower für ein LTS

      • Dieter sagt:
        8. April 2017 um 22:32

        Schwache Antwort, denn wie man sah, hat man nicht genügend Manpower die Systeme aktuell zu halten und zu überwachen. Da wäre eine LTS mit weniger Aufwand verbunden. Da nämlich durch eine Aktualisierung eventuell vorhandene Scripte oder Dienste nicht mehr so laufen wie sie sollen, ist der Aufwand ein System permanent upgraden zu müssen, höher.

  5. unklar sagt:
    8. April 2017 um 12:22

    Da sich, wie im engl.Blog ersichtlich für die Week14, das „drum herum Gerede“ für die gegenwärtige Situation fortsetzt, hätte ich gern gewußt, ob es den(die) Einbruch(Einbrüche) in die Web.Services gab oder nicht.

    Vielen Dank!

    • Marc Lattemann sagt:
      8. April 2017 um 18:53

      Bisher ist nichts davon bekannt, die Server sind proaktiv runtergefahren worden, nachdem das Problem öffentlich wurde.
      Allerdings sind derzeit wohl alle Kräfte auch erstmal mit dem Upgrade der Server beschäftigt. Eine Bestandsaufnahme wird wohl (hoffentlich später erfolgen und veröffentlicht). Genaues kann man wohl nur auf der Sysadmin-ML erfragen…

      • Alfred sagt:
        8. April 2017 um 19:54

        Wenn ich die Unterhaltung zwischen Rémi und Donald gestern Abend richtig verstanden habe wurde zumindest der Server mit den ML gehackt, und es sollen wohl auch Mail-Archive gelöscht worden sein.