Interesse an Security-Advisories mit Perl-Bezug? (Perl-Community.de)

[thread]16319[/thread]

Interesse an Security-Advisories mit Perl-Bezug?

Leser: 26

Question: Sollen Perl-relevante Sicherheitshinweise (Advisories) im Forum bekannt gemacht werden?
	Ja, und bitte ein eigener Thread pro Advisory
	Ja, aber bitte nur ein Thread für alle Advisories
	Nein, ich informiere mich woanders / es gibt bessere Quellen
	Nein, das gehört nicht ins Forum
	"Ich möchte diesen Teppich nicht kaufen. Bitte!"
You have to log in to vote.
21 voter(s) so far

Articles: hide open all | hide show old branches

+13 replies
Dubu

2011-05-19 15:06

User since
2003-08-04
2145 Artikel
ModeratorIn + EditorIn

Liebe Community,

in meinem Job flattern mir regelmäßig die Sicherheitshinweise (Security Advisories) des DFN CERT in meine Inbox.

Darunter finden sich hier und da auch Hinweise auf Schwachstellen bei Perl, Perl-Modulen oder verwandten Produkten. Meist sind es Übersetzungen der jeweiligen Advisories der Distributoren (Debian, Fedora, Sun, HP), die sich wiederum auf die entsprechenden CVEs (Common Vulnerabilities and Exposures) beziehen.

Da wahrscheinlich nicht jeder entsprechende Mailinglisten verfolgt (und die vom DFN CERT bekommt auch nicht jeder), könnte ich entsprechende Hinweise auch hier ins Forum bringen - und andere natürlich auch.

Die Texte des DFN CERT unterliegen natürlich dem Copyright, und "die Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber, DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken gestattet." Ich denke, eine Veröffentlichung hier mit dem entsprechenden Hinweis wäre daher in Ordnung.

Was meint ihr?
Gibt's vielleicht auch bessere Quellen, die Perl-spezifischer sind?

Bitte auch Vorschläge, in welches Forum solche Beiträge am besten passen.
- +3 replies
- GwenDragon
  
  2011-05-19 15:12
  
  User since
  2005-01-17
  14830 Artikel
  Admin1
  
  Ich abonniere derzeit:
  DFN-CERT und http://www.securityfocus.com/rss/vulnerabilities.x...
  
  Was Perl-spezifischeres kenne ich auch nicht?
  
  Ich hätte gern pro Advisory einen eigenen Thread, dann kann spezifisch dazu auch gefragt und diskutiert werden.
  
  In welches Forum? Ich wäre für ein eigenes Unterforum Perl - Sicherheitsmeldungen
  Last edited: 2011-05-19 16:03:43 +0200 (CEST)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +2 replies
  - pq
    
    2011-05-26 11:15
    
    User since
    2003-08-04
    12209 Artikel
    Admin1
    
    2011-05-19T13:12:00 GwenDragon
    In welches Forum? Ich wäre für ein eigenes Unterforum Perl - Sicherheitsmeldungen
    
    wo sollte das denn hin?
    in "Anwendungen/Programme/Skripte in Perl"? Oder weiter unten ins "Abseits"?
    Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
    lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
    - Dubu
      
      2011-05-26 11:26
      
      User since
      2003-08-04
      2145 Artikel
      ModeratorIn + EditorIn
      
      Ich bin für den Bereich "Anwendungen/Programme/Skripte in Perl".
      
      Aber vielleicht sollte man das Unterforum etwas allgemeiner benennen, z.B. "Sicherheit" mit der Beschreibung "Fragen zu sicherer Programmierung in Perl und Sicherheitshinweise zu Perl und Perl-Modulen".
      
      Ich gebe aber zu, dass sich da leicht Überschneidungen mit anderen Bereichen ergeben (Sicherheit betrifft in den meisten Fällen wahrscheinlich die Web-Programmierung).
- +2 replies
- pq
  
  2011-05-19 16:08
  
  User since
  2003-08-04
  12209 Artikel
  Admin1
  
  oder wir machen einen thread und splitten bei bedarf.
  ein eigener thread hat natürlich den vorteil, dass auch das entsprechende im titel steht.
  
  wieviel ist da denn so zu erwarten im schnitt?
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - Dubu
    
    2011-05-19 17:08
    
    User since
    2003-08-04
    2145 Artikel
    ModeratorIn + EditorIn
    
    Nicht so viele. Vielleicht ein Advisory pro Monat, zumindest beim DFN CERT.
- +2 replies
- GwenDragon
  
  2011-05-19 17:15
  
  User since
  2005-01-17
  14830 Artikel
  Admin1
  
  Vielleicht könnte man ein paar Feeds mit einem Skript holen, prüfen, ob es um Perl geht und dann den Thread automatisch erstellen.
  Oder willst du den einpflegen?
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - Dubu
    
    2011-05-19 20:21
    
    User since
    2003-08-04
    2145 Artikel
    ModeratorIn + EditorIn
    
    Angedacht war einfach Copy & Paste aus den relevanten Mails. Ich denke, eine manuelle Prüfung ist sinnvoll. Ohnehin muss man sehen, dass keine Advisories mehrfach gepostet werden, heraus kommen sie ja meist mehrfach (jeweils einmal pro Distribution, die den Fehler meldet).
    
    Das DFN CERT als Quelle hatte ich gedacht, weil die schon die Texte aus den CVEs übersetzt liefern.
- +5 replies
- GwenDragon
  
  2011-05-19 17:16
  
  User since
  2005-01-17
  14830 Artikel
  Admin1
  
  Nur reine Perl-Advisories oder auch zu Perl-Anwendungen?
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +4 replies
  - Dubu
    
    2011-05-19 20:37
    
    User since
    2003-08-04
    2145 Artikel
    ModeratorIn + EditorIn
    
    Perl und Perl-Module sowie mod_perl und Ähnliches. Also das, was spezifisch für jemanden interessant ist, der in Perl programmiert. :-) In Perl geschriebene Anwendungen gehören IMHO nicht dazu, aber ich habe auch nichts dagegen.
    
    Ich denke für die meisten Perl-Programmierer ist es normal, dass sie zumindest gelegentlich Module per CPAN oder von Hand installieren. Selbst wenn man z.B. mit Suse-, Debian- oder Ubuntu-Linux arbeitet, wo viele Module über die Paketverwaltung installiert werden können und damit fast automatisch aktuell gehalten werden, ergibt sich ja ab und zu der Bedarf, und sei es nur, weil man explizit eine bestimmte Modulversion haben möchte. Das gilt aber erst recht für Leute, bei z.B. denen der Webspace-Anbieter sie nicht installiert.
    
    Und wer prüft schon regelmäßig, ob es für seine installierten Module (sicherheitsrelevante) Updates gibt?
    - GwenDragon
      
      2011-05-19 20:44
      
      User since
      2005-01-17
      14830 Artikel
      Admin1
      
      2011-05-19T18:37:44 Dubu
      Selbst wenn man z.B. mit Suse-, Debian- oder Ubuntu-Linux arbeitet, wo viele Module über die Paketverwaltung installiert werden können und damit fast automatisch aktuell gehalten werden
      
      Und wer prüft schon regelmäßig, ob es für seine installierten Module (sicherheitsrelevante) Updates gibt?
      Die Pakete werden meistens erst später aktualisiert, wenn schon auf CPAN die Module gepatcht sind. Schon öfters gehabt.
      Deswegen ist es manchmal sinnvoller, die Lücke per Update über CPAN zu schließen.
      
      Ich prüfe das regelmäßig. Meine Kunden wollten das. Und privat mache ich es auch. ;)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - renee
      
      2011-05-20 07:44
      
      User since
      2003-08-04
      14371 Artikel
      ModeratorIn
      
      Ich wäre auch für Advisories von Perl-Anwendungen dankbar!
      OTRS-Erweiterungen (http://feature-addons.de/)
      Frankfurt Perlmongers (http://frankfurt.pm/)
      --
      
      Unterlagen OTRS-Workshop 2012: http://otrs.perl-services.de/workshop.html
      Perl-Entwicklung: http://perl-services.de/
    - GwenDragon
      
      2011-05-20 09:26
      
      User since
      2005-01-17
      14830 Artikel
      Admin1
      
      Also ich hätte gern Advisories auch für Perl-Anwendungen.
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten

View all threads created 2011-05-19 15:06.