Versionen af ​​ownCloud i Ubuntu's Universe-arkiver er gammel og fuld af "flere kritiske sikkerhedsproblemer." Det er ingen hemmelighed. OwnCloud-projektet selv bad Ubuntu om at fjerne det, så brugerne ikke ville have sårbar server-software. Ubuntu foreslog at ownCloud de skulle overtage vedligeholde det i stedet. OwnCloud troede det var latterligt - de vil bare skrive software og ikke opretholde det i alle distributionens repositorier.

Hvorfor er der sårbar software i Ubuntu's repositorier?

De fleste Linux-brugere får generelt deres software via deres Linux-distribution software repositories. Linux brugere får at vide, at dette er den bedste og sikreste måde at få software på. Du kan nemt installere den fra en centraliseret kilde, og din Linux-distribution er derefter ansvarlig for opdateringen af ​​det og få dig rettidige sikkerhedsopdateringer.

[Yderligere læsning: Din nye pc har brug for disse 15 gratis, fremragende programmer]

Sådan skal det fungere, men det fungerer ikke altid. I dette tilfælde er ownCloud inkluderet i Ubuntu's "Universe" repository, som er fuld af community-understøttet software. Canonical og de vigtigste Ubuntu-udviklere har ikke forpligtet sig til at støtte denne software med sikkerhedsopdateringer.

Damp i Ubuntu Software Center.

Ubuntu Software Center giver en lille advarsel om dette, men de fleste Linux-brugere vil ikke se det. Universum-depotet er som standard aktiveret, så de fleste Linux-brugere har ingen anelse om, at det meste af softwaren i Ubuntu Software Center ikke officielt understøttes af Ubuntu med sikkerhedsopdateringer.

Den mørke side af samfundsstøttet udvikling

Ubuntu-fællesskabet - i dette tilfælde er den, der uploader og pakket software i første omgang - ansvarlig for at sammensætte opdaterede og sikre ownCloud-pakker, så brugerne kan få disse sikkerhedsopdateringer.

Udvikleren, der arbejdede på ownCloud, synes at have mistet interesse, så opdateringer er ikke udstedt siden januar. Der er ingen indikation på, at de vil udgive en opdatering.

Dette er en mørk, skjult sandhed om, hvordan de fleste Linux-distributioners softwarelager fungerer. Du er afhængig af et medlem af fællesskabet for at få dig sikkerhedsopdateringer, og de har ingen reel forpligtelse for dig. De kan flytte ind på noget andet og efterlade sårbar software på dit system.

Som Canonicals Marc Deslauriers forklarede på mailinglisten: "Owncloud-pakken i Ubuntu er i universet, hvilket betyder, at den opretholdes af Ubuntu-fællesskabet. Nogen skal træde op og tage sig af det. Hvis ingen gør det, forbliver det desværre det samme. "

ownCloud og Ubuntu går frem og tilbage

For at løse dette problem tog ownCloud det meget usædvanlige skridt til at sende en besked på Ubuntu mailinglisten , og beder Ubuntu-udviklerne om at fjerne pakken fra arkiverne. De har ingen juridisk ret til at kræve dette, selvfølgelig-det er open source software. Men de vil gerne forhindre deres brugere i at bruge denne gamle, sårbare software.

Deres forslag syntes simpelt. Ubuntu's udviklere kunne trods alt udgive en ny version af pakken, der var helt tom. OwnCloud ville blive fjernet, når en bruger opdaterede deres system. Disse brugere kunne derefter installere ownCloud fra pakker ownCloud giver Ubuntu, som er oprettet af openSUSE build service. ownCloud ville være ansvarlig for opdatering af deres brugers systemer med sikkerhedsopdateringerne rettidigt.

En sårbar version af ownCloud installeret fra Ubuntu repositories.

Ubuntu's udviklere indledningsvis balked på dette. Hvorfor er det ikke sådan, systemet virker! Pakken er nu indkapslet til den stabile udgivelse og bør ikke have nogen større ændringer, selv om det er et fundamentalt usikkert stykke serversoftware. Faktisk at fjerne det ville være meget usædvanligt. De foreslog, at ownCloud skulle overtage vedligeholdelsen af ​​ownCloud-pakkerne i Ubuntu og holde dem opdaterede. I det mindste var det egenClouds job at lave en tom pakke og gennemgå den bureaukratiske proces for at skubbe den ud.

OwnClouds udviklere troede, at dette var vanvittigt. De vil fokusere på at skabe software, og de giver allerede et enkelt sted, hvor Linux-brugere kan få pakker og opdateringer til forskellige Linux-distributioner. De ønsker ikke at bruge tid på at pakke deres software til en bange for forskellige Linux-distributioner og vedligeholde det i forskellige forskellige lagre. Som ownClouds Lukas Reschke forklarede:

"Fra min side er mit arbejde gjort her, jeg har informeret de ansvarlige personer via flere kanaler, og hvis de ikke har nogen hensigt at løse problemerne alene, kan vi meget godt liv (sic) med det og vil blot tilføje en stor sikkerhedsadvarsel til vores installationsvejledning. "

Under ubuntu-brugere blev Ubuntu-brugerne tilbage med den gamle, sårbare server-software i flere uger.

OwnCloud er ikke i Ubuntu 14.10's repositories, men det er i Ubuntu 14.04's repositories. Heldigvis er Ubuntu nu ved at skubbe en tom pakke ud for at fjerne den sårbare version af ownCloud. Kubuntu's Jonathan Riddell trak sig op for at gøre det nødvendige arbejde og afbøde situationen.

Dette sker regelmæssigt

Dette er ikke et engangs problem, selvom det er

er

en big deal denne gang, fordi det er et stykke server software vi snakker om-software, der udsættes direkte for internettet, hvor det kan blive kompromitteret. Tidligere har jeg personligt rapporteret flere sikkerhedsfejl direkte til Ubuntu i Launchpad. I den mest egentlige sag blev den version af Java, der blev tilføjet multiverse repository i samarbejde med Sun-komplet med glødende snak i medierne, hvordan Sun var "arbejder direkte i partnerskab med Canonical" på emballagen - efterladt som en gammel, sårbar pakke . Ubuntu troede bare ikke, at det var deres job at levere opdaterede, sikre versioner af Java til den nuværende Ubuntu-udgivelse, selv når de udgav denne sikkerhedsopdatering til fremtiden, i udviklingsudgivelser af Ubuntu. Her er den triste fejlrapport fra 2007. Vil du holde dig ajour med Linux, BSD, Chrome OS og resten af ​​World Beyond Windows? Bogmærke kolonnen World over Windows eller følg vores RSS-feed.

I sidste ende skaber de mange forskellige Linux-distributioner med deres egne pakkeregister og -formater problemer. Pakker er ofte oprettet og vedligeholdt af brugere, der kan gå væk når som helst. Der er ingen måde omkring dette - og det er et alvorligt problem på Linux.

Heldigvis har fælles server software som Apache og desktop software som Firefox mere opmærksomhed mod dem. For eksempel er disse en del af "Main" -arkivet på Ubuntu, hvor Canonical forpligter sig til at levere rettidige sikkerhedsopdateringer til dem. Pas på serversoftware, der støttes af fællesskabet.