Wel windows bashers , kom op !
;-)

Waarom, omdat het nu bewezen is, dat er een Linux-worm bestaat. Linux was toch onaantastbaar?

Goed bezig Microsoft!

Misschien ben je niet goed geïnformeerd? Ze noemen Linux "onaantastbaar" omdat het dichten van lekken veel sneller gebeurt dan bij windows en omdat het open-source is kan m'n ook sneller lekken terug vinden omdat mensen van over de hele wereld die ervaring hebben met bouwen van computersoftware kunnen meehelpen met het bouwen van linux.

En jawel, verder vind ik het ook wel raar dat er een Linux-worm in omloop is gegaan, want ik ken geen enkel bedrijf die linux gebruikt. De hacker zal wel slachttoffers raken, maar ik denk dat er samen tussen €0 - €150 te stelen valt. Overigens gebruiken hackers zelf een linux systeem (denk aan telemetry van windows die hackers kunnen detecteren), dus ook wel eigenaardig dat de hacker zijn eigen os aan het misbruiken is.

Precies mijn punt .......

Zeker een memory leak voor openssl, waaruit bleek dat opensource ook niet zaligmakend is .

Wat een hoop onzin wordt hier weer uitgekraamt, even de feiten op een rijtje.

Alleen versies 4.87-4.91 zijn kwetsbaar.

The attack's steps are as follows:

1) The attackers send an email, and in the SMTP dialog of that email, the RCPT_TO field gets an email address that contains a "localpart" crafted by the attackers to exploit the Exim vulnerability. Specifically, the attack uses a specially crafted Envelope-From (532.MailFrom) that looks like the below, it would download a Shell script and directly executes it.
2) The infected Exim server executes that localpart in their own user context, when they receive the email.
3) Since people are still running Exim as root, it will then download a shell script that will open SSH access to the MTA server via a public key to the root user.

For now, the only thing Exim server owners can do is to update to version 4.92 as soon as possible, and prevent any attacks from impacting their email servers.

4.92 beschikbaar sinds 10 februari, dus gewoon patchen.

'Ze' hebben Linux nooit onaantastbaar genoemd maar feit is natuurlijk wel dat de patch zeer snel beschikbaar was (en niet pas aan het einde van de maand). Men kan 'm dus gewoon installeren en daarmee is het probleem opgelost. Zo kan het ook en de meeste gebruikers zijn al lang teruggegaan naar de orde van de dag. Maar dat geldt blijkbaar niet voor Microsoft Azure klanten. Die moeten extra gewaarschuwd worden om de al geruime tijd beschikbare patch te installeren. Misschien is dat nodig omdat ze niet gewend zijn dat een patch er zo snel is en ze gewoon aan het afwachten zijn? Goed van Microsoft dus dat ze haar klanten kent en ze extra waarschuwt! Om ze wakker te schudden of zoiets (weet ik veel wat er in die duffe koppen omgaat).

Tussen release en implementatie zit juist bij Linux een groot verschil.Veel bedrijven willen voorspelbaarheid, iets waar linux release management juist niet aan voldoet.
Daarnaast zie je ook gewoon direct hier weer een groot probleem voorbij komen.... Men installeert geen patches op tijd.

Blijkbaar toch niet. Aangezien er zoveel niet gepatchte servers zijn.

Geld juist voor heel veel servers. Beheer wordt daar echt niet altijd zo goed op gedaan als jij denkt.
Groot verschil is wel dat in Azure je hier allemaal zelf verantwoordelijk voor bent, terwijl Windows server hiermee beter om gaan.

Nee hoor. Windows beheerders zijn juist gewend om goed op security te letten. Dat is juist een onderdeel van goed beheer. Maar cruciaal voor internet services en daar gaat het juist zo vaak fout. Men zet even iets neer, zonder er verstand van te hebben. Met alle gevolgen.....

En bij cloud ben je daar zelf verantwoordelijk voor, tenzij je het als service afneemt.
Het zijn juist de beheerders zie niet opletten en hun zaakjes niet op orde hebben.

Altijd goed om iemand te waarschuwen, want dit gaat nog een groter probleem worden dan men denkt. Voornamelijk door alle linux dozen die gewoon direct aan het internet hangen zonder een goede beheerder. En dat zijn er heel veel, heeeeeeel veel.

Impact op AVG kan hier nog wel eens veel groter zijn/worden. Want je bent meteen root op de machine was het toch? Ofwel je kan niet meer vertrouwen op deze machine.

Tja..... Weet nu niet wat ik hier weer op moet antwoorden.

Misschien zouden de 100.000 nederlandse gebruikers ook eens wakker geschud moeten worden https://www.security.nl/posting/612985/Mailservers+actief+aangevallen+via+beveiligingslek+in+Exim,

Als je na gaat, hoeveel dit er in Nederlands zijn, kan je na gaan hoeveel er wel niet in de cloud gehost worden. Misschien moeten die ook eens wakker gemaakt worden? Of alle andere beheerders die dit op hun server geinstalleerd hebben staan? Blijkbaar is dit toch wat lastiger voor beheerders, kan je bijna wel na gaan hoe goed de rest van de server onderhouden wordt.

Tussen het patchen an sich, en het aanbieden van de patch zit een wereld van verschil. De aanmatigende houding dat Ubuntu/Linux veilig is omdat er continue patches aangeboden worden veroorzaakt een negatieve houding.
Nonchalance in de patchroutine omdat je feitelijk onophoudelijk bestookt wordt met patches en als beheerder/gebruiker ook bezig moet zijn met andere dingen dan patchroutine, zoals server/databasebeheer cq. de gebruiker: waar produktiviteit de voorrang heeft.

Degene die zich hier 'captain of industry' verklaart zou eens grondig in overweging moeten nemen dat in de overkill aan patches - "Verdorie daar zijn ze weer, sorry ik moet nu echt eerst andere zaken op orde stellen" - het gevaar van Ubuntu/Linux schuilt i.p.v. schofferende taal (duffe koppen) uitkramen richting gebruikers van niet Ubuntu/Linux platformen.

Feitelijk is er geen patchroutine in Ubuntu/linux, er wordt gepatcht zodra het uitkomt. In ons bedrijf waar Server 2012 draait is steevast de tweede woensdag van de maand vanaf 's-ochtends 07:00 ICT-beheer aanwezig voor het onderhoud en contractueel vastgelegd tussendoor, indien zich een MS-DEFCON 1 situatie zou voordoen zoals Woody Leonhard het sarcastisch verwoordt.

Geen Ubuntu/Linux gebruiker maakt mij wijs dat in bedrijven die volledig draaien op deze software er een specifiek kundig ICT persoon aanwezig is die continue 24/7 aanwezig is voor onderhoud vanwege de niet aflatende stroom van security patches, updates en ev. upgrades of zij moeten zwemmen in het geld zoals Amazon.

Wat een gesukkel om het eenvoudige installeren van een patch. En dan ook nog gaan klagen dat er te veel patches zijn en dat het teveel tijd kost om ze te installeren. Echt kansloos als je niet eens in staat bent een paar eenvoudige handelingen te prioriteren en in te plannen.

Neen, Het realiteitsbesef m.b.t. goed IT beheer is een kansloze expertise met dergelijke kortzichtige amateuristische reacties, zeker in niet minder daglicht gesausd met - opnieuw - een denigrerend opmerking (gesukkel) welke krampachting een escapade tracht te motiveren/mobiliseren door het stellen dat professioneel patchen/updaten zo eenvoudig zou zijn als het inkleuren van kleurplaten door kleuters.... tenzij je het allemaal zeer onprofessioneel automatisch laat verlopen, iets dat op server niveau geen gewoonte is (de hemel spaar ons!) of je bent - excuses moi - een beunhaas die koekje van eigen deeg: sukkelt met Ubuntu/Linux.

Ik begrijp best dat je niet 7 dagen per week met patches bezig kunt zijn als beheerder maar in sommige ernstige gevallen moet je toch uitzonderingen maken op je maandelijkse update ronde.
Vind sowieso dat ICT beheer mannetjes zich erg krampachtig aan eens per maand vasthouden maar dat is er waarschijnlijk een Microsoft doctrine.

Verder wil ik even opmerken dat voor Manjaro Linux (Arch based) er al op 16 februari een update naar Exim 4.92 beschikbaar was welke niet kwetsbaar is. Vreemd dat er medio juni nog steeds zoveel ongepatchte systemen operationeel zijn.

Gewoon slecht beheer, onafhankelijk van welke type OS dan ook.

Is volgens mij ook niet nodig in Ubuntu, de gebruiker kan gewoon op de knop updatebeheer klikken en zelfs kiezen wat hij/zij wel of niet wil installeren.

Je bent het in het belachelijke aan het trekken.

Je laat al zien hoe ongeïnformeerd je bent. Reageer dan gewoon niet, prutser. Er is geen universiteit/ziekenhuis die géén Linux gebruikt. Van ons serverpark is ongeveer 45% Linux. Dit vanwege dezelfde kortingen die MicroFocus geeft op producten als Microsoft. + Support.

Prima omschreven. Mijn complimenten!
Met dit soort volwassen reacties kun je de vinger relevant op zere plekken leggen, en uitnodigen tot evaluatie van ingeroeste patronen (patchbeleid)
Met denigrerende opmerkingen (sukkels, kansloos en duffe koppen) jaag je anderen die ook maar gewoon het beste doen wat zij denken te kunnen, of toe bevoegd zijn, slechts in het harnas, wat zeer onproduktief uitwerkt en uiteindelijk IT security tegenwerkt.

Met mainframes was eens per kwartaal voor kleine en eens per jaar voor de grotere aanpassingen gewoon.
Het grootste probleem is om alles goed getest te krijgen voordat je het uitrolt.

Ongetest uitrollen dan wel helemaal geen patchmanagement het ontbreken van een DR strategie heb ik zien samengaan met oss en linux. Het argument gratis en voor niets met beheer door anderen etc. Slecht beheer als een gevolg van houding correlatie en causative.

Als je nu eens een meer positieve houding voor informatieveiligheid zou aannemen ipv merkbashing, dan kon het nog eens wat worden.

Linux worm slaat natuurlijk niet op Linux zelf. LInux is een kernel, maar dat wil de windows fanclub natuurlijk niet horen. Zij willen dat Linux net zo beroerd is als windows, maar dat gaat niet gebeuren. In bijna alle Linux distro's wordt Exim niet eens geinstalleerd maar hooguit postfix. Een Linux distro is niet zoals windows een onwenselijke monocultuur. We hebben het dus over specifieke mailservers. Ik zijn maar weinig bedrijven die zelf publieke mailservers onderhouden. Iedereen gebruikt Google of Microsoft of specialisten zoals postmark etc met als MTA postfix
Ik ken een goedkoper wordpress hoster die nog steeds met Ubuntu 10.04 werkt. Het zal mij niet verbazen dat het om deze categorie applicaties gaat.

Je geeft kommentaar over de " Windows fanclub" en je hele verdere betoog geeft aan, dat je van de " Linux fanclub" bent. Pot verwijt de ketel...

Ubuntu 10.04 was ook een hele goede distro. Beter als hedendaags Ubuntu met z'n spastische Gnome Shell, over Unity maar te zwijgen.

En dat komt niet voor bij gesloten source, Windows, en andere systemen?

Het beheer is de schuldige, niet het besturingssysteem en niet het feit of de source beschikbaar is !

Met systemen die niet aan het internet hingen zat je in een heel andere situatie dan met systemen die bedoeld zijn om diensten via het internet aan te bieden. Toen mainframeapplicaties via frontends (Windows, Unix, Linux) ontsloten werden konden die frontendsystemen echt niet slechts eens per kwartaal of per jaar worden bijgewerkt, dat kon elke dag nodig blijken te zijn. Dat gold ook voor Windows tot Microsoft besloot patches op een vaste dag in de maand uit te brengen.

Ik niet. Zoals ik het heb meegemaakt gingen mainframe-systeemprogrammeurs met dezelfde professionele degelijkheid die ze gewend waren op Z/OS los te laten ook Linux-partities op het mainframe beheren. Dat deden ze overduidelijk met veel enthousiasme omdat ze Linux konden waarderen. En net als met Z/OS heb ik met die Linux-partities niet het soort ellende meegemaakt dat jij beschrijft.

Je hebt al veek genoeg laten blijken dat je niet eens snapt wat een oorzakelijk verband inhoudt. En je slaagt er ook maar niet in om het in goed Nederlands uit te drukken. Heb je door dat volgens je eigen manier van verbanden en de oorzakelijkheid daarvan afleiden er overduidelijk een oorzakelijk verband zou moeten bestaan tussen jouw rammelende taalgebruik en je oordeel over de verbanden tussen Linux en slecht beheer? Als je dat totale onzin vindt dan zou je eens met die blik naar de verbanden kunnen proberen te kijken die je zelf legt en zo een begin van inzicht op te bouwen in de redenen waarom zoveel anderen de verbanden die jij legt onzinnig vinden.

Doe je daar zelf dan ook aan mee in plaats van steeds maar negatief te blijven bashen op jouw stokpaardjes?

@Karma4,

Wat voor irrelevante ongepaste persoonlijke kritiek is dit nu toch? Waarom? Scheer je werkelijk iedereen die met Ubuntu/Linux werkt over een kam? Nou dan kan ik zeker ook klappen verwachten van je of niet? En wat volgt? Vervolgingswaandrift? Ik denk stellig wel. het is ronduit akelig!

Basht Kili Manjaro hier, Karma4? Antwoord: NEEN. want Microsoft's patchbeleid is een Microsoft doctrine. En wat is die doctrine? Eens per maand is het patch-tuesday. Dat is geen bashen dat is gewoon melden hoe het bij Microsoft in elkaar steekt. Dat - is - alles.
Het is continue hetzelfde zieke liedje met je. Het M-woord hoeft maar te vallen en jij, Karma4, duikt er paranoide bovenop.
Het lijkt wel een psychose.

Stop met trollen Karma4. Je reacties zijn ziekelijk geworden.

Maar toen was er nog geen internet! En de mainframes hangen daar meestal ook niet aan.
Als je alleen te maken hebt met de lokale gebruikers van een bank of verzekeringsmaatschappij ofzo dan heeft dit
soort beveilingingsproblemen meestal niet zo'n prioriteit, omdat je medewerkers niet met dit soort dingen bezig zijn.

Echter, systemen die aan internet hangen dat is andere koek.


Is een beetje een onzinbewering, want in de Windows wereld kom je dat net zo vaak tegen en daarbovenop word je
nog eens geplaagd door slecht werkende oplossingen voor het installeren van patches. Terwijl dat bij Linux wel goed
voor elkaar is.

Maar wat weten die daar nou van? Een beetje portscannen daarmee kun je niet bepalen of een mailserver kwetsbaar is.
Veel Linux distributies patchen de paketten die bij een bepaalde versie geleverd zijn als er dit soort lekken gevonden zijn,
ze updaten dus niet naar de laatste versie (die zichtbaar kan zijn in je connectie tekst). Dat je daar een kwetsbaar versie
nummer ziet staan zegt HELEMAAL NIKS.

Sorry, maar dit snijdt totaal geen hout. Beiden OSen hebben dezelfde veiligheidsclassificatie en dat is al jaren bekend. Maar dat is kennelijk na al die jaren nog niet bij iedereen bekend, zoals ik uit de bovenstaande reactie lees...

Toen ik nog Windows had, kreeg ik voortdurend W-virussen binnen.
Dat stopte bij het gebruik van Linux.

Per dag komen er 1 miljoen computervirussen vrij. Raad eens voor welk OS.
Hint: het is niet Linux.

Het gaat hier over een Linux worm i.c.m. mailserver software Exim. Er blijken nog veel ongepatchte systemen online te zijn. Dat ligt niet aan Linux want een Exim patch is er al minimaal 4 maanden. Het ligt puur aan server beheer. Net als bij Windows servers gaat dat bij deze Linux servers blijkbaar niet goed. Goed of slecht ICT beheer is OS onafhankelijk!

Op desktop gebied heb je volkomen gelijk! ik heb 7 jaar geleden Windows verbannen ten gunste van Linux desktop (eerst Ubuntu, nu Arch) en nooit meer last van virussen of wat dan ook gehad. Linux zit, net als Mac OS, nu eenmaal technisch beter in elkaar dan Windows.

Ernstige bias fout. De eerste wormen en virussen waren voor linux Unix. Zelfs onbedoeld volledig verkeerd uitgepakt zoals Morrison ervoer. Niets zo slecht in ontwerp als linux, het stamt uit de jaren 60 toen security geen aandacht had als het maar werkte. Dat zie je met iot terug.

Dat se er beheer is beheer is met oss begraven want anderen doen het gratis en voor niets. Blijkt toch niet waar te zijn.

In de linux wereld is het helemaal niet geregeld.
De linux evangelisten vinden het nodig om af te geven op dat andere os omdat ze zelf constant falen in het eigen beheer.
Daar heb ik genoeg van meegemaakt.

Ze wijzen de applicatie problemen mede veroorzaakt in het linux os ook af als een applicatie problemen.
Bij Windows en mainframes worden de applicaties juist centraal gezet. Een compleet andere insteek als dienst.

Zelfs 30 jaar oude principes Hoe je iets goed inricht wordt met linux met de voeten getreden uit onkunde onwetendheid arrogantie dan wel een combinatie.

Kun je me de affectie aan een os verslaving uitleggen (linux) waar de dienstverlening en informatieveiligheid voorop zouden moeten staan?

Ik denk, dat er wel meer speelt. Waarom zou iemand virussen schrijven voor Linux op desktops, als het overgrote deel van de pc's ter wereld nog steeds Windows draait, daar heb je toch meer effect mee?
Dus voor de Linux pc gebruiker is het dus een voordeel, dat hun aandeel wereldwijd zo "laag" is t.o.v. Windows.

Ik dacht dat ze eerst de malaria in de wereld gingen oplossen? Of lukt dat ook al niet?

Wat een bedroefend niveau van deze karma4. Doe eens een onderbouwing von je trol-bewering en zeg gelijk maar even hoe dat in je favoriete windows is opgelost.
Het is ook heel bizar dat er in de laatste windows patchronde 88 vette problemen aan de orde waren waarvan 21 ernstig! en zo gaat het al jaren en dat ene karma 4 (en het er zijn er meer) met zijn droge ogen dit ene applicatie probleem in de schoenen van Linux durft te schuiven. Dan moet je wel heel jaloers zijn omdat je ooit de verkeerde beslissing hebt genomen. Een security site onwaardig.

Hoeveel patches komen er in een maand bijna dagelijks uit voor Linux? Dan pas heb je recht om over het aantal maandelijkse patches te klagen.

Het gaat niet om het aantal, maar om severity. Windows is een gesloten systeem; security through obscurity. Men zal de vuile was niet buitenhangen. Bij open source wel. Transparantie heet dat en dat leidt altijd tot meer issues, vooral als er veel ontwikkelingen zijn. De ernstige gevallen blijven beperkt. Kan iedereen zien. Bij windows niet, daar weten we het alleen als een externe het publiceert (Google) omdat de 90 dagen weer eens voorbij zijn. Zo'n systeem heeft geen toekomst meer, vinden ook veel klanten.

Ubuntu/Linux? Wat is dat toch met dat Ubuntu en slecht geïnformeerde reaguurders? Je weet toch wel dat Ubuntu gewoon een Linux distributie is? Niks speciaals aan en ik zou veruit de voorkeur geven aan Debian Linux, waar het op gebaseerd is. Zeg dus maar gewoon Linux en laat dat Ubuntu erbuiten.

Microsoft heeft zelf die Linux-worm geschreven en in het wild uitgezet. :-)

Ach ja, het stokpaardje weer, iedereen kan het zien! Alleen doet niemand dat, vandaar dat er pas nog een tig jaar oude fout " gevonden " eerst.

Blijkbaar moet ubuntu te vuur en te zwaard worden bestreden. Best wel raar als je bedenkt dat Microsft Ubuntu heeft omarmt om het gebrek aan een bash shell op te lossen.

De markt voor Linux desktop is klein maar voor de server wereld niet!

De Linux Desktop gebruiker is in het voordeel niet alleen vanwege het kleine marktaandeel maar ook omdat de beveiliging standaard beter geregeld is dan bij Windows. Het procentuele aandeel digibeten is groter bij Windows en Microsoft zou ze daarom beter in bescherming moeten nemen.

@karma4:

Voor alle reacties van jou op mijn posts geldt: het staat je vrij te reageren maar verwacht van mij geen reactie terug. Voor mij ben je gebakken lucht, niet als persoon, wel qua inhoud van je reacties.

Ik ben nieuw hier en vindt die karma4 reacties een security site onwaardig. Wordt er hier niet gemodereerd?

Heel weinig, de meeste zijn voor programma’s en niet voor de kernel.
Of heb je het over distributies? Dan moet je deze er wel bij vermelden, Linux is tenslotte alleen de kernel, de distributie bepaalt de rest............

Zijn reacties zijn niet tegen de regels. Ik reageer niet meer op karma4 omdat dit compleet zinloos is, je praat tegen een enorm dikke betonnen muur. Maar bij nieuwe gebruikers heeft hij altijd weer even een podium.

Waarom praten jullie dan over Linux op de desktop, daar kan je dus niets mee. Ik heb helaas het vermoeden, dat Linux door een aantal personen op verschillende manieren gebruikt wordt. Om het op te hemelen is het Linux wat de klok slaat, zijn er opmerkingen, al dan niet kritisch, dan is het opeens alleen maar de kernel.

Het is nu net die zelfde houding tegenover informatieveiligheid wat het praktische probleem met security is. Dank je voor de zoveelste onderbouwing van deze root cause.

Met 30 jaar terug zit je in de mainframe wereld.
Verdiep je even in de io setup channel parallllisatie van io doorvoer. Dan komt een 10 of raid 5 device setup en en meer waarvan je de effecten moet begrijpen. Striping inodes logical physical devices. De hele keten van applicatie naar hardware.
Oude mainframe applicaties omzetten blijkt een achteruitgang te geven als je denkt vanilla doosjes wel goed zijn.
Dan heb je het eerder genoemde beheer inclusief regressietesten geautomatiseerd doorgevoerd.
Dat waren zaken die op orde waren.

Je reactie met een verwijzing naar hoe het met Windows zou moeten zegt alles over hoe vast je zit in een os evangelisme.
Nog kwalijker is dat je in je geloof vam alles goedpraat wat niet goed zit.

https://www.cvedetails.com/top-50-products.php
Uit de lijstjes zie ik al jaren dat linux in de top van het aantal kwetsbaarheden zit. Met dat iedereen de code kan zien zou het vooraf er uit moeten zijn niet achteraf.

Dat zien je met dit linux hier ook weer. Exim als applicatie gast mis en het os laat toe om naar root toe komen. Dat is falende architectuur. Kun je dat verbeteren ... ga er aan werken.
De boodschapper van slecht nieuws monddood willen maken is echt sneu als je dat nodig vindt.

Ach, noem exchange en je weet genoeg, alhoewel tegenwoordig het best prima draait is mijn indruk.

Mooi lijstje ook Karma4 vooral als je op vendor kijkt, bijna factor 4.

Total Number Of Vulnerabilities Of Top 50 Products By Vendor

--> Debian 2754
Linux 2243
--> Apple 6596
Google 3970
Mozilla 4014
--> Canonical 1797
--> Microsoft 11509
Adobe 5611
Redhat 3392
--> Opensuse 1474
--> Fedoraproject 648
Oracle 1832
PHP 596
Wireshark 574
SUN 1034
Cisco 518
Imagemagick 504

Heb je karma4 weer met z'n desinformatie. Als je alle kwetsbaarheden voor bv. (alle versies van) Debian Linux onder één kopje zet dan moet je dat ook doen voor alle Microsoft Windows varianten. Dus tel in jouw tabelletje even alle cijfers voor Windows 7, 8, 10, server, etc. bij elkaar op. Plus alles voor Microsoft applicaties want die reken je er bij Debian Linux ook bij (Exim is immers een optionele applicatie). Reken het even uit of kijk meteen naar de grafiek onder de tabel en zie de eenzame hoge piek voor Microsoft. Dan heb je een beeld getrouw aan de werkelijkheid.

N.B. Dit is niet de eerste keer dat karma4 met dit tabelletje komt en hierop wordt gewezen. Karma4 weet dus donders goed hoe de vork werkelijk in de steel steekt maar blijft bewust nepnieuws door verkeerde interpretatie van statistieken [*] verspreiden!

[*] https://en.m.wikipedia.org/wiki/Lies,_damned_lies,_and_statistics

Triest dit soort commentaren waarin complete OS-en vergeleken worden met elkaar. Het gaat hier om een optioneel stukje linux software, een smtp server waar in een specifieke versie een probleem ontdekt is. Naast dat Microsoft (te) laat dit bericht de wereld in slingert en de aangeboden oplossing een vrachtwagen is om een appel te vervoeren. Je kan natuurlijk in plaats van die dure en ingewikkelde "oplossing" ook gewoon en exim package updaten want die update is allang beschikbaar.

Microsoft heeft op allerlei terreinen verloren en is nu bezig om zich in de overvolle security-wereld een plekje te veroveren. Maar met het uitbrengen van dit soort alerts wordt dat net zo'n succes als bijv. de Windows Phone...

Of ze zien gewoon dat een heel hoop VM's in Azure de patch nog steeds niet geïnstalleerd hebben? Om dit risico te mitigeren sturen ze er een waarschuwing uit. Wat is daar verkeerd aan? Het is niet aan Microsoft om deze te updaten, maar de beheerders.

En geeft Microsoft eens een waarschuwing, is het ook weer niet goed en krijgen ze de wind van voren. Terwijl het probleem nu toch echt heel ergens anders ligt.

En ondanks die goedkope en gemakkelijk oplossingen om de exim package te updaten, heeft blijkbaar een heel hoop beheerders dit nog niet gedaan. Dat kan zijn, omdat ze gewoon slecht zijn in hun vakgebied, of ze hebben gewoon niet door dat er een update beschikbaar is. Iets wat ook heel goed mogelijk is.

Je kan dus dan wel lullig opmerkingen maken over Microsoft (past ook bij je naam), maar daar ligt het probleem dit keer niet. Het laat juist duidelijk zien, waar werkelijk het probleem zit.
De applicatie draait onder een high privileged account, Iets wat al niet zou moeten voor een Internetdienst.
Server beheer op een server die een dienst op het Internet aanbiedt, wordt gewoon slecht onderhouden.

Tja, als je naar 2019 kijkt in plaats van naar het totaal vanaf 1999 krijg je als beeld dat alle Windows-varianten het slechter doen dan alle RedHat Enterprise-varianten. Je ziet Debian trouwens bovenaan staan met 33% meer kwetsbaarheden dan Windows 10, maar een blik op de kwetsbaarheden maakt duidelijk dat daarin alle pakketten die deel uit maken van de distro worden meegenomen, en dan heb je het momenteel over zo'n 70000 pakketten, inclusief alle desktopsoftware, alle serversoftware, noem maar op die in de Windows-wereld aparte produkten zijn die ook apart geteld worden in dit overzicht. De tellingen zijn daardoor domweg niet goed vergelijkbaar, er worden qua omvang en aard zeer verschillende produkten door elkaar gegooid in die overzichten.

Daarnaast doet niet alleen het aantal kwetsbaarheden ertoe. De ernst van een kwetsbaarheid en de duur tussen bekendmaking en reparatie zijn heel bepalend voor hoe zwaar je die moet wegen. De openbaarheid waarin open source-projecten hun werk doen kan maken dat daar allerlei kleinere bugs publiek bekend worden (en daardoor geteld) die sommige commerciële leveranciers de moeite van het vermelden in de releas notes niet waard vinden. En dan zijn het ook nog eens momentopnamen. Als je van jaar tot jaar kijkt zijn er enorme fluctuaties. Al met al vind ik die overzichten eigenlijk verdomd weinig bruikbare informatie geven.

Nee, een bug wordt hoe dan ook pas gerepareerd als hij bekend is (tenzij per ongeluk een bug wordt verwijderd die nog niet was opgemerkt), en omdat bij open source-projecten zo'n beetje alles in het openbaar gebeurt is het daar een stuk minder waarschijnlijk dat een bug gerepareerd is voor hij openbaar is gemaakt dan in het gesloten wereldje van een commerciële leverancier.

Je denkt vermoedelijk aan de uitspraak "many eyes make bugs shallow". Die slaat op een verschijnsel dat optreedt in grote, goed lopende open source-projecten zoals dat van de Linux-kernel. Daar is een groot aantal deelnemers met heel diverse talenten, en geen manager die gaat tegensputteren als iemand zich gaat verdiepen in iets waar hij niet officieel op gealloceerd is. In combinatie met de open communicatie krijg je dan heel makkelijk dat als er een bug is die problematisch is de kans groot is dat zich al snel iemand meldt die het probleem beter dan de meesten doorziet en die een goede oplossing kan aandragen. En de kans dat die oplossing ook wordt gebruikt is ook groot.

Helaas zijn er nogal wat mensen, zowel voor- als tegenstanders van OSS, die "many eyes make bugs shallow" uitleggen als een soort magische garantie dat alle bugs vanzelf opgelost worden als de broncode maar ergens openbaar gemaakt is en daar vervolgens elkaar mee om de oren gaan slaan. Het is nooit zo bedoeld, het heeft altijd geslagen op een dynamiek in succesvolle open source-projecten die bevordert dat eenmaal gevonden bugs snel worden opgelost. Linus Torvalds heeft al direct toen die observatie gedaan was de kanttekening geplaatst dat het herkennen van bugs een veel grotere uitdaging is dan het oplossen ervan.

Je levert geen enkele onderbouwing. Je gebrekkige Nederlands is ook zeer storend. Dyslectisch?
Hoe is jou vermeende probleem in windows opgelost?

Kan het zijn dat de worm gericht is tegen grid-toepassingen,
hoewel amerikanen dat ten hoogste ontkennen als zijnde fake news?

http://wiki.dataved.ru/6/h/t -> https://scaner-vs.ru/version-for-testing/
https://download.geo.drweb.com/pub/drweb/unix/workstation/11.1/documentation/html/en/index.html?dw_8_app_a_threat_types.htm
vim exploitabel - http://download.astralinux.ru/astra/stable/orel/repository/pool/main/v/vim/
https://www.cybersecurity-review.com/news-june-2019/your-linux-can-get-hacked-just-by-opening-a-file-in-vim-or-neovim-editor/

luntrus

Iemand die zegt dat Linux onaantastbaar is of niet te hacken valt, lach ik dubbel en dwars uit.
Hetzelfde geldt voor Mac gebruikers, dat hele "er zijn weinig virussen voor dat OS, dus is het veilig" gaat ook niet echt meer op.

Alle software is wel iets voor te vinden, vandaar dat er zoiets als updates bestaat.
Wel is het zo, dat je Linux redelijk tot best wel hard dicht kan gooien tegen mogelijke exploits.
Firewallen is al een basic iets, en het verbergen van software + versies is al een hele goede stap vooruit.
Als je een enkele website runt, mja, doe dan virtueel, zodat je snapshots kan maken voor als het mis gaat.
Werk je met meerdere websites, dan is het jailen zeer verstandig, zodat hackers niet zo snel schade kan veroorzaken.
Ben ooit 1x gehacked geweest in mijn jonge jaren, en sinds dat moment, focus je je wel op beveiliging.

Wat ik aanraad voor veel mensen, is SSH Certs only the gebruiken, custom cyphers die hoogwaardig en in hoge bit zijn.
Fail2Ban is ook een handige om bruteforcing te voorkomen, of laat staan dat mensen je SSH poort lopen te bestormen.
Firewallen van alles is een must.
Als je iets wilt hosten kwa mail server of wat dan ook, gebruik dan Docker in combinatie van bijvoorbeeld Mailcow (gratis mail pakket voor servers, super handig), en run gewoon alles in docker workers, als je swarm gebruikt.
Als een website gehacked dreigt te worden, kun je de docker gewoon uit pleuren, en klaar.
Ja er zijn altijd manieren om ook uit die docker omgeving te breken, maar dat kost een hacker meer tijd en werk, en dan kun je daar al tegen aggregeren.

Zoals ik al zei, niets is 100% veilig, maar je kunt wel je best doen om het 99.9% veilig te houden.

Ik heb bij bedrijven gewerkt waar wel degelijk 24/7 iemand aanwezig was en anderen buiten werktijden oproepbaar waren om problemen op te lossen; dat waren middelgrote bedrijven die aanzienlijk kleiner waren dan Amazon.

Ubuntu en andere Linux-distributies zijn bundelingen van pakketten die voor het overgrote deel door anderen worden gemaakt. Voor grote distro's zijn dat vele tienduizenden pakketten. Het is volstrekt onrealistisch om te denken dat je al die tienduizenden verschillende groepen en individuen op één lijn kan krijgen zodat alle kwetsbaarheden onder de pet worden gehouden tot een afgesproken maandelijkse patchdag. En een distro kan ook niet wachten met het doorgeven van een patch voor een kritisch probleem tot een afgesproken dag terwijl de kwetsbaarheid buiten die distro om al op straat ligt. Door die achtergrond zijn de mogelijkheden domweg anders dan bij propriëtaire software.

Dat wil niet zeggen dat er geen patchroutine is. Bij een goede distro is de routine dat er, met name bij ernstige lekken, snel gereageerd wordt. Dat je dat als gebruiker van zo'n distro dan ook moet doen is inderdaad zo. Dat is een van de dingen die een verstandige organisatie meeneemt in de afweging tussen voor- en nadelen van verschillende opties.

De bedrijven die ik net noemde waar ik voor gewerkt heb ontwikkelden hun eigen software en hielden zodanig veel functionaliteit in de lucht dat storingen dagelijkse kost waren. Niet dat iedereen de hele dag brandjes aan het blussen was, maar het geheel was groot genoeg om bijna dagelijks wel ergens een of enkele brandjes te hebben. De eis kon bijvoorbeeld zijn dat zo'n storing binnen het uur verholpen moest zijn. Zo'n organisatie slaagde er prima in om daarnaast ook geplande projecten tot een goed einde te brengen; het slokte echt niet alle capaciteit op. Dit kan wel degelijk.

Wat ik wel heb gezien in de loop van de decennia is dat naarmate computers en software goedkoper werden, en er steeds meer functionaliteit kant en klaar in pakketten te koop was, de bereidheid afnam om aan ICT nog veel geld uit te geven. Daar zit iets heel paradoxaals in. Toen het allemaal nog écht schreeuwend duur was werd dat geaccepteerd omdat men ervan doordrongen was dat het nog veel meer opleverde dan het kostte om te automatiseren. Naarmate het allemaal goedkoper én gewoner werd is men die opbrengsten vanzelfsprekend gaan vinden en kennelijk uit het oog verloren dat die door automatisering bereikt worden. Als je het verband tussen kosten en baten uit het oog verliest dan lijken de kosten natuurlijk altijd te hoog. Bij hoeveel bedrijven stelt men zich nog de vraag hoeveel extra mensen en hoeveel extra bedrijfsruimte ze nodig zouden hebben als men het allemaal met de hand zou moeten doen, en wat dat zou kosten?

Als men dan ook nog in een competitieve markt opereert waarin iedereen dat verband uit het oog verliest en de kosten die eigenlijk nodig zijn niet maakt dan wordt wie het goed doet weggeconcurreerd. Dat lijkt me hier het werkelijke probleem. De hele discussie over de voor- en nadelen van open source ten opzichte van propriëtaire software is het punt helemaal niet, het is een detail in hoe de dynamiek uitpakt van een samenleving die té veel op marktwerking is georiënteerd en té weinig op doen wat echt nodig is en dat ook goed te doen.

Daar lopen opa's vaak over op te scheppen, maar een feit is wel dat de consumentenlaptop die opa vandaag nog
gebruikt om te whatsappen en facebooken met de familie een heel wat grotere io doorvoer heeft dan zo'n mainframe
toen had.
Dat men het er toen mee deed (en kon doen) komt omdat de operating systems en applicaties toen nog efficienter
waren. Niet omdat die spullen zo snel waren ofzo.

Correct, zie ook dit als voorbeeld van een distro (8 juni 2019):
https://tracker.debian.org/news/1040965/accepted-exim4-492-8-source-into-unstable/

Chears

Niet alleen - inderdaad - alle pakketten maar ook alle versies! Men vergelijkt voor 'Debian Linux' één cijfer voor alle versies (+applicaties) en voor Windows worden cijfers per versie (7, 8, 10, server 2008, etc.) en (zonder applicaties) gegeven. Het werkelijke beeld blijkt uit de grafiek onder de tabel met cijfers. Daar zie je vendor Microsoft ruimschoots (factor 4x) op kop staan! Er wordt op deze manier bewust nepnieuws verspreid. Zelfs nadat de verspreiders in kwestie hier al meermalen op zijn gewezen. Zie ook: https://www.security.nl/posting/613133#posting613272.

Verder gaat het in dit specifieke geval (Microsoft die beheerders op Azure waarschuwt om een patch te installeren) inderdaad om een al sinds geruime tijd beschikbare patch die men gewoon moet installeren. Dat Microsoft hun Azure klanten hierop wijst is een goede zaak. In dit geval herhaal ik derhalve "Goed bezig Microsoft!".

Ha ha, overdrijven is ook een vak. Ik neem dat Dollemanskervel ook gewoon OTAP toepast? Dan weet je dat dit probleem non-existent is. De hoeveelheid updates onder Linux valt reuze mee en is zeer goed gedocumenteerd. Daarnaast helpt het enorm als je alleen de hoogstnoodzakelijk software installeert als je een server aan het internet hangt en het traffic filtert/blokeert voor IP-adressen die toch geen toegang tot bepaalde poorten nodig hebben.


Lekker op de man, voegt niks toe.


En voor beide valt wat te zeggen ...


Dat hoeft ook niet. Een beetje kritieke server is dusdanig afgeschermd dat de meeste fixes niet per direct geinstalleerd hoeven worden. Kan het zijn dat Linux ook nog iets goed doet? Of denk je echt dat er maar een manier is?

Nee, hier heeft karma4 echt wel een punt. De I/O-architectuur van mainframes is wat het mogelijk maakt om met inderdaad helemaal niet bijzonder snelle hardware zeer I/O-intensieve applicaties te ondersteunen. Het is een architectuur waarmee meerdere CPU's (die over meerdere computers verdeeld kunnen zijn) via een soort netwerk van apparaten die channels en control units genoemd worden I/O parallel kan worden uitgevoerd en zelfs verschillende paden tussen CPU en data mogelijk zijn. Die parallellisatie werkt omdat je op die schijven niet een hiërarchisch filesysteem hebt (dus met directory's en subdirectory's) zoals je dat van de meeste andere besturingssystemen gewend bent. In plaats daarvan wordt voor elk bestand een stukje schijf apart geformatteerd, dat wordt een dataset genoemd. De blokgrootte waarmee gelezen en geschreven wordt kan per dataset op dezelfde schijf verschillen. Daar kan dan recht-toe-recht-aan sequentiële data in geplaatst worden, maar er zijn ook bestandsorganisaties waar data op sleutel benaderd kan worden of waar een soort simpele directory met meerdere "members" in opgeslagen kan worden. Een DBMS zal natuurlijk een voor zijn eigen doelen geoptimaliseerde datastructuur in zo'n stuk schijf gebruiken. Door in plaats van bestanden die apart geformatteerde datasets te hanteren zijn ze heel onafhankelijk van elkaar en heb je niet de bottleneck van één stuk software dat de integriteit van een heel complex geheel moet bestieren, zoals filesystem drivers voor NTFS, Ext4 etc. wel moeten doen, en dat faciliteert die parallelle datatoegang. In plaats daarvan zijn er veel simpelere "catalogs" die gereserveerde stukken schijf op naam benaderbaar maken. Zo'n dataset kan wel licht versnipperd raken, er is ruimte om een beperkt aantal "extents" per dataset te hebben en daarmee om ze te laten groeien als ze de oorspronkelijk gealloceerde grootte overschrijden.

Als je een laptop en een mainframe met dezelfde CPU-kracht en totale schijfcapaciteit naast elkaar zou zetten dan zou het mainframe een I/O-bandbreedte behalen die je met wat je van die laptop gewend bent domweg niet voor mogelijk zou houden. En dat gaat vandaag de dag nog net zo goed op als het 30 jaar geleden deed.

Dank je anoniem.
Mijn referentiekader was van zeer recent met eigen praktijk waar ik bij het uitpluizen de overeenkomst zag. Linux beheerders keken of ze het in keuken hoorden donderen.
Informatie van wat oud collega's bezig met een conversie gaven dat mainframe linux verschil. De mensen aan de nieuwe linux kant konden niet begrijpen waarom ze de overeenkomstige performance in de verte niet konden halen met hun nieuwste machines.

Mits er een OTAP is, en bij heel veel bedrijven is dit niet gebruikt.Dus in eens een existing probleem is. Zoals bijna bij heel veel bedrijven het geval is.
En de OTAP is vaak in gebruik voor andere changes, dus mag je even achteraan sluiten. Of het moet weer een hoge prio hebben, zodat andere changes mogen wachten. Daarom is voorspelbaarheid zo belangrijk.


Het zijn wel veel meer updates per maand. Misschien kleiner, maar change technisch gezien zijn dit gewoon allemaal changes, tenzij je ze kan combineren. En goed gedocumenteerd.... Dat is leuk. Maar 99% heeft werkelijk geen idee wat echt de impact is van de wijziging. En daar draait het uit eindelijk om.

Dat is altijd het beste.

Wel de vinger op de zere plek...

Beide hebben inderdaad hun voor en nadelen. Maar sommige zijn voorspelbaar, dus kan je rekening mee houden, wat een groot voordeel is. Bij de andere mag je wachten tot je een keer kan updaten.


Tussen technisch gezien en Security SLA zit wel een groot verschil. Daarnaast wat als de impacted services juist wel open staat? MySQL, Websites, PHP's. Verzin het maar. Te veel open gaten. Het is zeker een best practice om natuurlijk zo min mogelijk op te zetten. Alleen laten voorbeelden genoeg, zien dat dit juist niet gedaan is/wordt.

Nog te weinig aandacht voor linux malcode.

Bijvoorbeeld: https://www.virustotal.com/gui/file/e6b61381d9e516615457e4cafbae7084ec98aeeb187260297454f5cc4cbef936/detectionMalware.LINUX/Mirai.nmqhtOok niemand die op mijn reactie met de vim exploit van de 9e dezer maand op atralinux reageert.Dit terwijl dit hoogst actueel is, met name vanwege de berichten in de Amerikaanse pers, dat het astralinux grid in de Russische Federatie onder cybervuur ligt vanuit de USA. Terwijl Trump dit weer ten stelligste ontkent, omdat dit astralinux grid niet aangevallen zou kunnen worden.Dit zijn toch actuele bewegingen en niemand van de linux evangelisten, die hier reageert, terwijl Rusland voor de gevoelige infratructuur juist weggestuurd heeft van Mickey$oft naar hun miltaire graad astralinux, wat toch ook kwetsbaar zal blijven voor aanvallers.numirias (source credits hier)raadt aan Beyond patching, it's recommended to disable modelines in the vimrc (set nomodeline), to use the securemodelines plugin, or to disable modelineexpr (since patch 8.1.1366, Vim-only) to disallow expressions in modelines.Check if you have modelines enabled by opening vim and entering:set modeline?If vim returns nomodeline, you are not vulnerable. If you are vulnerable or want to ensure your security with this issue, add these lines to your vimrc:set modelines=0set nomodeline Dat had nu juist een interessante discussie kunnen zijn om naar uit te kijken en op security gebied wat van te leren, Iemand? Ik maar "luren" en niemand die hapt, Dit is toch een security site, die voorlicht en opernheid biedt op velerlei vlak, responsible disclosure zogezegd.VIM is immers gepatched. Als het licht maar niet zo onderbroken wordt als recent in Zuid-Amerika. luntrus

Maar dan is er nog een kaart uit te spelen door MS dienaangaand:
http://techrights.org/2016/02/09/microsoft-attacks-on-linux-2016/
We staan dus nog maar aan het begin der wederzijdse bewegingen.

#sockpuppet

Tja, als bedrijven niet eens basic security practices hanteren heb je misschien een ander probleem...


Zo ingewikkeld is het toch echt niet. Omdat de pakketjes zo netjes zijn opgesplitst, kun je als sysadmin eenvoudig herkennen op welke services je een negatieve impact kunt verwachten.


Dat is toch onder Windows Server niet anders? Ook daar zul je moeten testen of je applicatie een negatieve impact ondervindt van updates. Vandaar mijn eerdere opmerking dat er via OTAP gewerkt wordt. Wie dat niet doet, neemt op elk platform een extra risico op downtime door updates die niet goed lopen.

Misschien dat niemand hier reageert, omdat AstraLinux nou niet bepaald een distributie is die in Nederland bekendheid geniet. Daarom boeit het mij persoonlijk iig vrij weinig.

De patches waren direct beschikbaar. Alle grote jongens hebben dit ViM-gat al lang gedicht. Ik neem aan Astralinux dus ook, aangezien de Russen geen domme jongens zijn.

Je rukt het uit zijn verband. Doen de windows fanboys wel vaker. "De ernstige gevallen blijven beperkt. Dat kan iedereen zien" Heeft niets met inzien van code te maken!

Hierover nog niet veel gelezen? "Hidden Wasp", meeste security oplossingen detecteren het niet.
Lees: https://www.intezer.com/blog-hiddenwasp-malware-targeting-linux-systems/
Bitdefender heeft hier aardige detectie: https://www.virustotal.com/gui/url/243286ddfb5473e9f6553fbf58408af79415440f2fcbd5e8fd865f33980f10e6/detection
een echte bad gateway zogezegd: https://toolbar.netcraft.com/site_report?url=http://103.206.122.245/
zie: https://censys.io/ipv4/103.206.122.245 afvoerbaar: http://thinkdream.com
Detected libraries:
jquery - 1.7.2 : (active1) http://thinkdream.com/js/jquery-1.7.2.min.js change libpath wordt gebruikt. en hide_this-shell
$(yourcommand)
Voorkomen van de wespensteken is beter dan genezen, dus "Block Command-and-Control IP addresses detailed in the IOCs section".

luntrus

souplost heeft 100 % gelijk, daarom stuurt de Federatie voor haar kritische systemen ook steeds meer weg van M$ Windhoos.
Men weet echt niet welke "undisclosed gaping holes" nog worden misbruikt door US cyber intelligence,
security through obscurity = bad,

Maar ja, bij de V&D draaide de kassa software jaren nog onder XP.

Nu met smart IoT wordt het wel wat ingewikkelder en met deze narigheid:
https://urlhaus.abuse.ch/browse/ blijft er genoeg werk voor code analisten,
Yara'en en SNYKen maar, loggen en relaties zoeken.

luntrus

Je polariseert door Linux vs mainframes te stellen. Jouw geliefde Windows heeft echter evenmin een dergelijke IO-bandbreedte.

Mijn achtergrond is mainframes omdat pc's niet eens bestonden. Wel Unix pdp 8 etc. De verhouding was gewoon mainframes serieus administratief werk Unix voor technische hobbies. Dat is ook de achtergrond van It architectuur met E Dijkstra. Tegenwoordig die ik meer big data analytics.

De polarisatie is volledig aan de linux evangelisten te wijten.
In hun geloof komt elke kritiek over Linux oss uit microsoft hoek. Dat waanidee is het probleem voor informatieveiligheid.

Je kunt nu je kritiek op Netflix richten die hebben ook een probleem met linux oss geopenbaard.


.

Voor het probleem dat Netflix geopenbaard heeft is al een patch verschenen zoals je hier kunt lezen: https://www.security.nl/posting/613428/Netflix+ontdekt+denial+of+service-lekken+in+FreeBSD+en+Linux
Bij Linux hoef je daarvoor niet op patch Tuesday te wachten wat dat kennen ze daar niet.

Graag gedaan.
Ik ben dezelfde Anoniem die hierboven op 16-06-2019 17:04 meldde dat ik heb meegemaakt dat systeemprogrammeurs met dezelfde degelijke professionaliteit waarmee ze Z/OS beheerden ook Linux-partities op het mainframe beheerden. Er bestaan Linuxbeheerders die het niet in Keulen horen donderen maar die juist degenen zijn bij wie ik de kennis waarmee ik je bijviel heb opgedaan. Misschien iets om aan je wereldbeeld toe te voegen, al conflicteert het kennelijk met je eigen ervaringen.

Je bent niet de eerste die op dergelijke conflicterende zaken wijst. En je zal vrees ik niet de laatste zijn. Bovendien wordt hier Linux (beheerder) tegen mainframe gespindoctored maar het is natuurlijk net zo goed - zelfs meer waarschijnlijk - Windows (beheerder) tegen mainframe.

"Algemeen

Wees respectvol richting andere bezoekers en moderators
Blijf bij het onderwerp, reageer niet off-topic
Reageer alleen inhoudelijk
"

ik moet het nog zien voordat ik het geloof...