Michael Eriksen <abc@xyz.dk> wrote:
>> Redhat (og Debian) ændre aldrig versionsnumrene når der er
>> security exploits der bliver rettet. Det er de skam også i deres
>> fulde ret til, da de patcher istedet for at compile en hel ny
>> version, så er det blot patchlevelen der bliver ændret på.
>
> Jovist, men det gør det ikke nemmere (prøve) at være en ansvarlig
> linuxoperatør: alle råd (her, sslug, theinquirer...) gik på STRAKS at
> opgradere til ver 3.4. Så bliver man let noget panikket når man ser at
> man bruger 3.1.
Det andet aspekt er, at i ugen mellem advarselen fra OpenSSH til release
af 3.4 blev der lavet mange andre sikkerhedsaendringer i OpenSSH
sourcen, og jeg tvivler paa at disse vendors virkeligt har backportet
andet end fixene for de fejl som ISS fandt. Men det staar vel i
changelog.
Det er ikke for sjov, at vi gaar rundt og skyder folk, erhm, jeg mener,
at den paagaeldende OpenSSH advisory staerkt anbefaler at opgradere til
3.4.
--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow.
http://a.area51.dk/