"Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in OpenSSH ausnutzen, um kryptografische Sicherheitsvorkehrungen zu umgehen und um einen Denial of Service Zustand herbeizuführen."
https://www.news.de/technik/858384686/openssh-gefaehrdet-it-sicherheitswarnung-vom-bsi-und-bug-report-update-zu-bekannten-schwachstellen-und-sicherheitsluecken-vom-18-02-2025/1/
Hauptsächlich handelt es sich dabei um sogenannte "Man-in-Middle-Angriffe", bei denen der Angreifer Informationen nach Belieben mitlesen und sogar manipulieren kann und eine Denial-of-Service-Schwachstelle (DoS), also einer Überlastung eines Rechnernetzes oder Netzwerkdienstes, durch die der betreffende Dienst dann ausfällt und somit nicht mehr verfügbar ist.
Allerdings sind diese Schwachstellen nur schwer auszunutzen, da es dazu noch weiterer, sagen wir mal, ungünstig eingestellter Konfigurationsparameter bedarf.
https://helpdesk.managedhosting.de/de/ankuendigungen/article/cve-2025-26465-und-cve-2025-26466-sicherheitsl%C3%BCcken-in-ssh
Trotzdem sollte - wie immer - so schnell wie möglich ein Update durchgeführt werden. In OpenSSH Version 9.9p2 wurden diese Sicherheitslücken geschlossen.
Wer es ganz genau wissen möchte, hier ist der Originalbericht
https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-discovers-two-vulnerabilities-in-openssh-cve-2025-26465-cve-2025-26466
und die dahinter steckenden technischen Details
https://www.qualys.com/2025/02/18/openssh-mitm-dos.txt

viele Grüsse gosia

neues Jahr - neue Veranstaltungen. Deshalb eine Liste von Veranstaltungen im deutschsprachigen Raum für das erste Halbjahr 2025:

• 15.-16.02. Python Barcamp KA Karlsruhe
• 28.02.-01.03. Winterkongress der Digitalen Gesellschaft Winterthur/Schweiz
•       08.03. Teckids-Campdays Nibelungenturm in Worms
• 10.-12.03. FOSS Backstage 2025 Berlin
• 22.-23.03. Chemnitzer Linuxtage Chemnitz
• 26.-29.03. FOSSGIS-Konferenz 2025 Schloss Münster, Münster
•       27.03. OC3 - Open Confidential Computing Conference Berlin
• 03.-05.04. DANTE Frühjahrstagung Hochschule Darmstadt
•       05.04. Linuxwochen Eisenstadt 2025 Eisenstadt (Fachhochschule Burgenland)
• 18.-21.04. Easterhegg 22 Hamburg
• 25.-26.04. GLT25 - Grazer Linuxtage 2025 TU Graz, Campus Inffeldgasse
•       26.04. Augsburger Linux-Infotag Technische Hochschule Augsburg
• 29.-30.04. stackconf 2025 München
• 15.-17.06. Berlin Buzzwords 2025 Kulturbrauerei Berlin
• 19.-22.06. GPN23 - 23. Gulaschprogrammiernacht Karlsruhe
• 26.-28.06. openSUSE Conference 2025 Nürnberg

Wer es internationaler haben möchte, kann auf https://foss.events/ nachsehen. Die Termine stammen von dort, eventuelle Fehler von mir.

viele Grüsse gosia

Wer Thunderbird und/oder Firefox benutzt und noch kein Update bekommen oder gemacht hat, sollte schnell aufrüsten:

"Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Mozilla Firefox, Firefox ESR und Thunderbird ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, vertrauliche Informationen preiszugeben, Sicherheitsmaßnahmen zu umgehen oder Spoofing-Angriffe durchzuführen."
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-0026

https://www.news.de/technik/858190718/mozilla-firefox-und-thunderbird-gefaehrdet-bsi-meldung-zur-it-sicherheit-update-zu-bekannten-schwachstellen-bei-iphoneos-und-linux-vom-08-01-2025/1/

https://www.heise.de/news/Webbrowser-Chrome-und-Firefox-Updates-stopfen-teils-hochriskante-Luecken-10231176.html

viele Grüsse gosia

Am Ende des Jahres ist es schon fast gute Tradition, dass der neueste Kernel längere Zeit mit Updates und Korrekturen versorgt wird. Diesmal betrifft es Kernel 6.12, der bis Ende 2026 unterstützt wird. Die Chancen stehen aber nicht schlecht, dass man diesen Zeitraum noch verlängert. Als wichtiges Merkmal enthält Kernel 6.12 Echtzeitunterstützung, was aber, anders als manchmal geglaubt, für "Normaluser" eher nicht sehr von Bedeutung ist, es sei denn, man betreibt Linux-betriebene Maschinenroboter oder ist (semi-)professionell mit Video- oder Musikbearbeitung beschäftigt, wo latenzarme und ruckelfreie Verarbeitung eine Rolle spielt.
https://linuxnews.de/linux-6-12-als-neuer-lts-kernel/

Vor einiger Zeit habe ich die Bash in der Westentasche vorgestellt. Etwas ähnliches gibt es auch zum Installieren, bzw. ebenfalls zum Nachschlagen als Webseite https://github.com/tldr-pages/tldr/tree/main/pages.de/linux. Zugegeben, ist nicht so hübsch strukturiert, sondern nur eine schnöde alphabetische Liste von a wie a2disconf bis z wie zypper, und noch nicht so lang, aber, und das ist der grosse Vorteil für alle die wie ich mit englisch auf Kriegsfuss stehen, das ganze gibt es auf deutsch.
Wie gesagt, man kann es auch installieren, was zu empfehlen wäre, da zumindest bei mir unter MX-Linux die Liste länger ist als die von Github. Unter MX genügt dafür die Installation von tealdeer, um es dann aufrufen zu können, z.B.

tldr BEFEHL

um Infos über BEFEHL zu erhalten. Da tldr ein "Work in Progress" ist, kann man so auch die gespeicherten tldr-Hilfeseiten updaten:

tldr -u

Wer möchte, kann es auch als Browser-Addon installieren, findet sich hier https://addons.mozilla.org/firefox/downloads/file/3894444/tldr_pages-1.1.1.xpi
Es gibt das ganze auch als pdf-Datei https://tldr.sh/assets/tldr-book.pdf das muss man aber wirklich mögen. Ich bin eigentlich sehr für gedruckten Text, aber diese Variante finde ich doch sehr speziell.
Wer tiefer in das doch sehr umfangreiche tldr-Universum eintauchen möchte, starte am besten hier:
https://github.com/tldr-pages/tldr/wiki/Clients
Man sollte aber nicht vergessen, dass tldr kein Ersatz für die man-Pages sein soll, sondern eine sinnvolle Ergänzung dazu.
Zum Schluss sei noch erwähnt, dass tldr nicht nur für Linux-Kommandos da ist, sondern auch macOS, SunOS, Android und Windows-Kommandos bedienen kann.

viele Grüsse gosia

In CUPS wurde von Simone Margaritelli eine Schwachstelle entdeckt, die es ermöglicht, unter Ausnutzung des Kommandos cups-browsed die IPP-URL vorhandener Drucker durch "bösartige" andere URLs zu ersetzen und damit beliebigen Schadcode einzuschleusen, der dann beim nächsten Druckauftrag ausgeführt wird. Als sofortige Sicherheitsmassnahme kann das Abschalten/deinstallieren von cups-browsed durchgeführt werden. Ansonsten wie immer, Sicherheitsupdates von CUPS (sobald angeboten) sofort installieren.
* https://www.news.de/technik/858048404/cups-gefaehrdet-it-sicherheitswarnung-vom-bsi-und-bug-report-mehrere-schwachstellen-ermoeglichen-ausfuehrung-von-beliebigem-programmcode/1/
* https://www.theregister.com/2024/09/26/cups_linux_rce_disclosed/?td=rt-3a

viele Grüsse gosia

Wer kennt das nicht

rsync QUELLE ZIEL

mit oder ohne Schrägstrich am Ende von QUELLE und ZIEL? Ganz abgesehen von den verschiedenen rsync-Optionen. Oder ssh, wie war das doch gleich?

ssh user@host

oder doch

ssh host@user

?
Hm, natürlich, die Manpage gibt Auskunft. Aber leider ist sie oft doch etwas zu ausführlich, so dass man den Wald vor lauter Bäumen nicht sieht. Man hätte es also lieber etwas kompakter und knackiger. Genau in die Richtung geht die Seite
https://linuxcommandlibrary.com
Schön nach Themen wie "One-liners", "System information", "System control" usw. auf der Hauptseite "BASICS" geordnet, mit kleinen Tipps, manche "nur" anfängertauglich, wie z.B. zu history, andere wiederum waren sicher auch mal bekannt, schlummern aber leider in der hintersten Gehirnkammer Finger hoch, wer sich noch daran erinnert, dass

!!

das letzte Kommando wiederholt.
Ähnlich gemischt und manchmal skuril die Einzeiler. Wer wollte nicht schon immer z.B. das Datum mit laufender Uhrzeit in der rechten oberen Ecke des Terminals anzeigen lassen? Bitte schön,

while  sleep 1;do  tput sc; tput cup 0 $(($( tput cols)-29));date; tput rc;done &

erledigt den Job.
Dann noch die Seite Commands, die eine grosse Auswahl von Kommandos auflistet, von ! bis zypper (man sieht, es geht quer durch die Distris, keine Angst, apt, pacman & Co. sind auch dabei). Und alle Kommandos mit kurzen und meist praxistauglichen Beispielen, die durch Anklicken in den Zwischenspeicher kopiert werden können.
Wer möchte kann sich das ganze auch per F-Droid auf sein Smartphone installieren. Habe ich nicht getestet.

viele Grüsse gosia

wahrscheinlich haben die meisten von uns schon einen Brief bekommen, in dem die "elektronischen Patientenakte" für 2025 angekündigt wrd. Natürlich wird sie dort wohl in den höchsten Tönen gelobt, "nur Vorteile".
Aber ist dem tatsächlich so? Gibt es nicht auch Risiken bei der zentralen Speicherung solch sensibler Daten? Und das nicht nur aus sicherheitstechnischer Sicht. Und ausserdem, z.B. in meinem Brief wurde schamhaft verschwiegen, dass man auch ganz oder teilweise widersprechen kann.
Um tatsächlich einigermassen die Vor- und Nachteile für sich abwägen zu können und dann auch mit mehr Hintergrundwissen zu entscheiden, empfehle ich diese zwei Links:

• Soll ich's wirklich machen oder lass ich's lieber sein?
• ,,Vertrauen lässt sich nicht verordnen"

viele Grüsse gosia

Hallo Daemon,

Zitat von: Daemon am 24. August 2024, 08:45:43Sehr interessant was es da alles gibt.

ja, finde ich auch. z.B. exherbo und thinstation aus der "Source-based-Federation" waren für mich völliges Neuland, um im Bild zu bleiben.

viele Grüsse gosia

Sehr interessant was es da alles gibt.