Mozilla hat Firefox 128 für Windows, Apple macOS und Linux veröffentlicht. Dieser Artikel fasst die wichtigsten Neuerungen zusammen – wie immer auf diesem Blog weit ausführlicher als auf anderen Websites.

Download Mozilla Firefox für Microsoft Windows, Apple macOS und Linux

Markierten Text übersetzen – auch in PDF-Dateien

Firefox wird mit einer lokalen Funktion zur maschinellen Übersetzung von Websites für den Browser ausgeliefert. Das bedeutet, dass die Übersetzung komplett im Browser geschieht und keine Inhalte an einen Datenriesen wie Google oder Microsoft übermittelt werden müssen. Neben der vollständigen Website-Übersetzung ist es ab sofort auch möglich, nur einen markierten Text zu übersetzen. Da es sich hierbei dann um eine reine Textübersetzung handelt, funktioniert diese Möglichkeit sogar in PDF-Dateien, für die keine vollständige Übersetzung zur Verfügung steht.

Für Nutzer, welche noch die frühere Erweiterung „Firefox Translations“ installiert hatten, wird diese mit dem Update auf Firefox 128 automatisch entfernt, nachdem hier nun Feature-Gleichheit herrscht.

Neuer Dialog zum Löschen der Browsing-Daten

Der Dialog zum Löschen der Browsing-Daten wurde überarbeitet. Neben einer Reduzierung der Daten-Kategorien von sieben auf vier zeigt der neue Dialog Beschreibungstexte für jede Kategorie sowie den Platzbedarf von Cookies und Website-Daten sowie dem Browser-Cache an.

Netflix auch in privaten Fenstern

Die Wiedergabe von DRM-geschützten Inhalten auf Streaming-Plattformen wie Netflix funktioniert jetzt auch in privaten Fenstern.

USA, Kanada: Such-Trends in Adressleiste

Nur für Nutzer mit US- oder kanadischem Englisch als Sprache zeigt Firefox beim Öffnen der Adressleiste jetzt direkt die letzte Suchanfrage sowie aktuelle Such-Trends an, um den Nutzer zur vorherigen Suchanfrage zurückzubringen oder zur nächsten Suchanfrage zu inspirieren.

Datenschutzfreundliche Werbe-Messungen für Websites

Firefox 128 bietet eine experimentelle Unterstützung der Privacy Preserving Attribution API, welche eine Alternative zum Nutzer-Tracking für die Zuordnung von Werbung bietet. Das Ziel ist es, einen neuen Webstandard zu entwickeln, der Websites verstehen helfen soll, wie deren Werbung funktioniert, ohne Daten über einzelne Personen zu sammeln. Indem Websites eine nicht-invasive Alternative zum Cross-Site-Tracking angeboten wird, soll diese schädliche Praxis im gesamten Web deutlich reduziert werden. Die Details und wie das die Privatsphäre gegenüber dem Status Quo verbessert, hat Mozilla ausführlich in einem Support-Artikel beschrieben.

Aktuell hat nur eine kleine Anzahl an Websites Zugriff auf diese Schnittstelle. Websites können via Origin Trial Zugriff auf diese Schnittstelle bei Mozilla beantragen. Bei einem Origin Trial handelt es sich um eine Möglichkeit für Websites, sich für experimentelle Funktionen der Webplattform zu entscheiden. Firefox-Nutzer können diese Schnittstelle über einen neuen Abschnitt „Werbeeinstellungen für Websites“ in den Firefox-Einstellungen deaktivieren.

Sonstige Endnutzer-Neuerungen von Firefox 128

Der Bild-im-Bild-Modus für Videos unterstützt jetzt auch Untertitel auf der Video-Plattform Vimeo.

Firefox 128 unterstützt die Darstellung weiterer Dateitypen mit einem text/* MIME-Type direkt im Browser, statt einen Download zu starten.

Das Stammzertifikat, das zur Überprüfung von Add-ons und signierten Inhalten verwendet wird, wurde erneuert, um ein baldiges Ablaufen zu vermeiden.

Bei Verwendung von SOCKS v5 wird der Proxy-Server jetzt auch für die DNS-Anfragen verwendet, um zu verhindern, dass DNS-Anfragen an das Netzwerk weitergeleitet werden.

Bei Verwendung eines dunklen Themes wird jetzt auch die Seite about:memory dunkel angezeigt.

Wird über about:config der Schalter browser.newtabpage.activity-stream.system.showWeather per Doppelklick auf true gestellt, kann seit Firefox 127 das aktuelle Wetter auf der Firefox-Startseite angezeigt werden. Wird zusätzlich der Schalter browser.newtabpage.activity-stream.weather.locationSearchEnabled auf true gesetzt, kann jetzt manuell der Ort für die Wetteranzeige verändert werden.

Mehr Sicherheit für Firefox-Nutzer

Auch in Firefox 128 wurden wieder mehrere Sicherheitslücken geschlossen. Alleine aus Gründen der Sicherheit ist ein Update auf Firefox 128 daher für alle Nutzer dringend empfohlen.

Um den Schreibzugriff der Inhaltsprozesse unter Windows weiter einzuschränken, wurde die Integritätsstufe der Sandbox reduziert.

Verbesserungen der Entwicklerwerkzeuge

Bei Herüberfahren mit der Maus über einen CSS-Selektor im Inspektor-Werkzeug zeigt Firefox jetzt die CSS-Spezifität des jeweiligen Selektors an, was beim verstehen helfen kann, wieso eine Regel Vorrang gegenüber einer anderen Regel erhält.

Wird in der Regeln-Ansicht des Inspektors die Eingabe einer Eigenschaft begonnen und dann die ESC-Taste gedrückt, entfernt Firefox nicht länger die neu eingegebene Zeile, sondern schließt nur die Autovervollständigung.

Benutzerdefinierte CSS-Eigenschaften werden jetzt außerdem als ungültig markiert und mit einem entsprechenden Hinweis als Tooltip versehen, wenn deren Wert nicht mit der registrierten Definition der benutzerdefinierten Eigenschaft übereinstimmt und zum Beispiel ein Farbwert gesetzt wird, während eine Länge erwartet wird.

Auch die Markierung von inaktivem CSS, also CSS-Regeln, die aufgrund falscher Verwendung nicht aktiv sind, und dazu passendem Hilfe-Tooltip wurde um weitere Fälle erweitert.

Die Performance des Inspektors wurde für Websites verbessert, auf denen es eine tiefe Verschachtelung von CSS gibt.

Verbesserungen der Webplattform

Firefox 128 unterstützt die Angabe relativer Farben in CSS. Damit kann ein Farbwert relativ zu einer Ausgangsfarbe erstellt werden. Dies ermöglicht die einfache Erstellung von Ergänzungen zu vorhandenen Farben – wie hellere, dunklere, gesättigte, halbtransparente oder invertierte Varianten – und damit eine effektivere Erstellung von Farbpaletten.

Die content-Eigenschaft unterstützt jetzt die Angabe eines Alternativtextes bei Verwendung eines Bildes. Dieser Text steht dann Barrierefreiheitswerkzeugen zur Verfügung.

Der Accept-Header für Bilder und Dokumente wurde geändert, um besser mit dem Fetch-Standard und anderen Browsern übereinzustimmen.

Unter Apple macOS wird bei der Mikrofonerfassung über getUserMedia jetzt die systemeigene Sprachverarbeitung verwendet, sofern möglich, was die Audioqualität verbessert.

Dies war nur eine kleine Auswahl der Verbesserungen der Webplattform. Eine vollständige Auflistung lassen sich in den MDN Web Docs nachlesen.

Verbesserungen für Erweiterungs-Entwickler

Auch für Entwickler von Firefox-Erweiterungen gab es eine ganze Palette an Verbesserungen. Dazu gehört unter anderem die Unterstützung von optional_host_permissions in Manifest v3-Erweiterungen.

Menü-Einträge von Manifest v3-Erweiterungen verschwinden nicht länger unter bestimmten Voraussetzungen von alleine.

Diverse weitere Neuerungen für Erweiterungs-Entwickler lassen sich im offziellen Mozilla-Blog sowie in den MDN Web Docs nachlesen.

Neue Basis für Firefox ESR

Firefox 128 löst Firefox 115 als Basis für Firefox ESR, die Unternehmensversion von Firefox mit Langzeitunterstützung, ab. Bestehende Nutzer von Firefox ESR 115 werden nach aktueller Planung am 1. Oktober 2024 mit dem Erscheinen von Firefox ESR 128.3 automatisch auf Firefox ESR 128 umgestellt werden. Die Unterschiede zwischen Firefox 128 und Firefox ESR 128 sowie Wissenswertes für System-Administratoren werden in einem gesonderten Artikel behandelt.

Der Beitrag Mozilla veröffentlicht Firefox 128 erschien zuerst auf soeren-hentzschel.at.

Sicherheitsexperten von Codean Labs berichten von mehreren, von ihnen entdeckten Sicherheitslücken in Ghostscript. Es gibt dafür wohl einen Exploit.

Raspberry Pi OS, die offizielle Distribution für den Mini-Computer Raspberry Pi, wartet in seiner neuen Version 2024-07-04 mit Fehlerkorrekturen und vielen kleinen Änderungen auf.

Die offizielle Distribution für den Mini-Computer Raspberry Pi wartet in seiner neuen Version neben Fehlerkorrekturen auch mit vielen kleinen Änderungen auf.

Auch nach der Veröffentlichung von Plasma 6.1 gönnen sich die Entwickler bei KDE keine Pause und arbeiten bereits fleißig an der Fehlerbereinigung sowie an neuen Funktionen für Plasma 6.2

Quelle

In diesem Beitrag gebe ich einige Beispiele mit Erklärungen zu Ansible Conditionals, welche mir in der Dokumentation fehlen. Dieser Artikel dient mir zur Erinnerung und mag Einsteigern helfen, ein besseres Verständnis der Bedingung is defined zu gewinnen.

Wird in einem Task eine Variable verwendet, welche nicht definiert ist, bricht Ansible die Verarbeitung eines Playbooks mit einem Fehler ab. Der folgende Code-Block zeigt ein einfaches Playbook mit anschließender Ausgabe des Playbooklaufs, um dies zu verdeutlichen. Der Task beinhaltet dabei bereits eine Bedingung. Er soll nur dann ausgeführt werden, wenn die Variable my_var den Wert Hello world! enthält.

]$ cat test_conditionals.yml 
---
- name: Play around with conditionals
  hosts: localhost
  gather_facts: false

  tasks:
    - name: >-
        When all conditionals are met, print the variable value using
        ansible.builtin.debug
      when:
        - my_var == "Hello world!"
      ansible.builtin.debug:
        var: my_var

]$ ansible-playbook -i hosts test_conditionals.yml 

PLAY [Play around with conditionals] *******************************************

TASK [When all conditionals are met, print the variable value using ansible.builtin.debug] ***
fatal: [localhost]: FAILED! => {"msg": "The conditional check 'my_var == \"Hello world!\"' failed. The error was: error while evaluating conditional (my_var == \"Hello world!\"): 'my_var' is undefined. 'my_var' is undefined\n\nThe error appears to be in '/home/tronde/ansible/test_conditionals.yml': line 7, column 7, but may\nbe elsewhere in the file depending on the exact syntax problem.\n\nThe offending line appears to be:\n\n  tasks:\n    - name: >-\n      ^ here\n"}

PLAY RECAP *********************************************************************
localhost                  : ok=0    changed=0    unreachable=0    failed=1    skipped=0    rescued=0    ignored=0

Der Text 'my_var' is undefined in obiger Fehlerausgabe benennt den Grund des Scheiterns.

Nun gibt es Fälle, in denen Tasks, welche undefinierte Variablen enthalten, nicht zum Abbruch des gesamten Playbooks führen sollen. Stattdessen soll der betroffene Task einfach übersprungen werden. Dies erreicht man mit der Bedingung `is defined`. Der nächste Code-Block liefert wieder ein Beispiel dazu.

]$ cat test_conditionals.yml
---
- name: Play around with conditionals
  hosts: localhost
  gather_facts: false

  tasks:
    - name: >-
        When all conditionals are met, print the variable value using
        ansible.builtin.debug
      when:
        - my_var is defined
        - my_var == "Hello world!"
      ansible.builtin.debug:
        var: my_var

]$ ansible-playbook -i hosts test_conditionals.yml

PLAY [Play around with conditionals] *******************************************

TASK [When all conditionals are met, print the variable value using ansible.builtin.debug] ***
skipping: [localhost]

PLAY RECAP *********************************************************************
localhost                  : ok=0    changed=0    unreachable=0    failed=0    skipped=1    rescued=0    ignored=0

Der Task mit der undefinierten Variable wurde übersprungen (skipped) und das Playbook erfolgreich beendet.

Im nächsten Beispiel habe ich die Variable my_var im Playbook definiert und den passenden Wert zugewiesen.

]$ cat test_conditionals.yml
---
- name: Play around with conditionals
  hosts: localhost
  gather_facts: false
  vars:
    my_var: Hello world!

  tasks:
    - name: >-
        When all conditionals are met, print the variable value using
        ansible.builtin.debug
      when:
        - my_var is defined
        - my_var == "Hello world!"
      ansible.builtin.debug:
        var: my_var

]$ ansible-playbook -i hosts test_conditionals.yml

PLAY [Play around with conditionals] *******************************************

TASK [When all conditionals are met, print the variable value using ansible.builtin.debug] ***
ok: [localhost] => {
    "my_var": "Hello world!"
}

PLAY RECAP *********************************************************************
localhost                  : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Das war auch schon alles für heute. Ihr seht, es ist keine Hexerei. Mir hilft es, die Bedeutung von is defined zu erinnern, wenn ich es einmal aufgeschrieben habe.

Zum Ende gibt es noch einen Code-Block, der zeigt, dass dies auch mit Dictionaries funktioniert:

]$ cat test_conditionals.yml
---
- name: Play around with conditionals
  hosts: localhost
  gather_facts: false
  vars:
    my_dict:
      my_var: Hello world!

  tasks:
    - name: >-
        When all conditionals are met, print the variable value using
        ansible.builtin.debug
      when:
        - my_dict.my_var is defined
        - my_dict.my_var == "Hello world!"
      ansible.builtin.debug:
        var: my_dict.my_var

]$ ansible-playbook -i hosts test_conditionals.yml

PLAY [Play around with conditionals] *******************************************

TASK [When all conditionals are met, print the variable value using ansible.builtin.debug] ***
ok: [localhost] => {
    "my_dict.my_var": "Hello world!"
}

PLAY RECAP *********************************************************************
localhost                  : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

In der Kategorie Ansible findet ihr weitere Artikel rund um Ansible. Viel Spaß beim Stöbern.

Mit dem Mozilla VPN bietet Mozilla in Zusammenarbeit mit Mullvad sein eigenes Virtual Private Network an und verspricht neben einer sehr einfachen Bedienung eine durch das moderne und schlanke WireGuard-Protokoll schnelle Performance, Sicherheit sowie Privatsphäre: Weder werden Nutzungsdaten geloggt noch mit einer externen Analysefirma zusammengearbeitet, um Nutzungsprofile zu erstellen.

Jetzt Mozilla VPN nutzen

Die Neuerungen vom Mozilla VPN 2.23

Das Update auf das Mozilla VPN 2.23 bringt keine neuen Funktionen, sondern ausschließlich Fehlerbehebungen und Verbesserungen unter der Haube. Für Nutzer eines iPhones oder iPads ist Apple iOS 14 die neue Mindestanforderung, iOS 13 wird nicht länger unterstützt.

Der Beitrag Mozilla VPN 2.23 veröffentlicht erschien zuerst auf soeren-hentzschel.at.

Mozilla hat im Rahmen eines AMAs auf Reddit überraschend angekündigt, die Unterstützung für Nutzer von Firefox auf Windows 7 und Windows 8 zu verlängern.

Im Juni hatte Mozilla ein sogenanntes „Ask me Anything“ (AMA) auf Reddit veranstaltet, bei dem hochrangige Mozilla-Mitarbeiter die Fragen von Firefox-Nutzern beantwortet haben. Ein Thema war die Unterstützung der veralteten Betriebssysteme Windows 7 und Windows 8. Deren Unterstützung hatte Microsoft selbst bereits im Januar 2020 eingestellt. Während der Konkurrent Google Chrome seit Februar 2023 keine Unterstützung mehr anbietet, wurden Firefox-Nutzer auf Firefox ESR 115 migriert, dessen – nach aktuell bekannter Planung – letztes Update am 3. September 2024 erscheinen wird.

Byron Jourdan, seines Zeichens Senior Director Product Management bei Mozilla, erklärte:

Wir planen, den Support für Windows 7-Benutzer über das derzeit geplante Datum hinaus zu verlängern und ihnen bessere Möglichkeiten für die Migration auf einen neuen PC zu geben, wenn sie sich dafür entscheiden.

Reddit

Konkrete Angaben dazu, wie genau die weitere Unterstützung aussehen und wie lange diese anhalten soll, machte er keine. Viel mehr wisse Mozilla selbst noch nicht, wie lange Nutzer dieser veralteten Betriebssysteme noch unterstützt werden. Derzeit nutzen noch rund zehn Prozent aller Firefox-Nutzer entweder Windows 7 oder Windows 8, was der Grund für die verlängerte Unterstützung ist.

Da Firefox 128, der die neue Basis für Firefox ESR bilden wird, technisch nicht mehr dazu in der Lage ist, auf Systemen mit Windows 7 oder Windows 8 zu laufen, ist parallel zu Firefox ESR 128 von einer verlängerten Laufzeit von Firefox ESR 115 auszugehen. Offiziell bestätigt ist dies noch nicht.

Der Beitrag Mozilla wird Unterstützung von Firefox für Windows 7 und Windows 8 verlängern erschien zuerst auf soeren-hentzschel.at.

Die Open Source Software Landschaft (kurz OSS Landschaft) ist eine dynamische und komplexe Welt, die von einer globalen Gemeinschaft von Entwicklern und Maintainers getragen wird. Diese beiden Rollen sind entscheidend für den Erfolg und die Nachhaltigkeit von OSS-Projekten, unterscheiden sich jedoch erheblich in ihren Verantwortlichkeiten, Aufgaben und Schwerpunkten. Gerade die von Euch, die mit Linux […]

Der Beitrag Entwickler vs Maintainer – was ist der Unterschied? erschien zuerst auf fosstopia.

In der Open Source Software - Entwicklung stößt man früher oder später auf die Begriffe oder Rollen „Entwickler“ und „Maintainer“. In diesem Video versuche ich einen Überblick zu geben und die beiden Rollen etwas voneinander abzugrenzen. Nichts ist in Stein gemeißelt. Jedes Projekt kann sich die Rollen selbst verteilen. Oftmals ist der Chefentwickler auch der „erste“ Maintainer. Aber nicht immer. Daher gibts in diesem Beitrag auch ein Stück weit meine Sicht auf die Dinge, die auch nur meine ist. Sie deckt sich möglicherweise nicht vollumfänglich mit anderen Definitionen.

Der Beitrag Entwickler vs Maintainer - was ist der Unterschied in der Open Source Software Entwicklung? erschien zuerst auf fosstopia.

Fedora, eine der beliebtesten Linux-Distributionen, steht erneut im Mittelpunkt heftiger Diskussionen. Der aktuelle Vorschlag „Opt-In Metrics for Fedora Workstation“ soll möglicherweise in die kommende Fedora 42-Version aufgenommen werden. Ziel ist es, anonyme, generische Daten über die Nutzung von Fedora Workstation zu sammeln, um die Entwicklung an die tatsächlichen Benutzerbedürfnisse anzupassen. Diese Datenerfassung soll über Azafea […]

Der Beitrag Fedora 42: Datenerfassung von Nutzermetriken auf Opt-In-Basis? erschien zuerst auf fosstopia.

Das Ubuntu 22.04 Buch für Einsteiger Seit Juni 2024 ist das neue Buch von Linux Autor Josef Moser über Ubuntu 24.04 LTS erhältlich. Wie immer handelt es sich dabei um eine sogenannte Schnellanleitung. Das bedeutet, dass es sich inhaltlich hauptsächlich an Linux Einsteiger richtet. Ubuntu zählt zu den beliebtesten Linux Betriebssystemen. Alle zwei Jahre veröffentlicht… Weiterlesen Ubuntu 24.04 Buch von Josef Moser veröffentlicht

Der Beitrag Ubuntu 24.04 Buch von Josef Moser veröffentlicht erschien zuerst auf Die Seite für LINUX UMSTEIGER.

Am 1. Juli 2009 wurde die erste Version von Zorin OS veröffentlicht. Seitdem hat sich das Projekt kontinuierlich weiterentwickelt und feiert nun sein 15-jähriges Jubiläum. Ziel von Zorin OS war es von Anfang an, eine Linux-Desktop-Erfahrung zu bieten, die für jeden zugänglich ist. Das Betriebssystem sollte schneller, leistungsfähiger und sicherer sein, die Privatsphäre respektieren und […]

Der Beitrag 15 Jahre Zorin OS erschien zuerst auf fosstopia.

Willkommen auf dem digitalen Jahrmarkt! Bei "Duck Shoot" dreht sich alles um schnelle Reflexe und genaues Zielen. Bunte Enten ziehen in Reihen über den Bildschirm und fordern jeden Schützen heraus. Hier zählt jeder Treffer und die Zeit ist immer knapp. Also, Visier einstellen und auf zur fröhlichen Entenjagd!

Der Beitrag Duck Shoot erschien zuerst auf Linux Abos.

"Dragon Casino" kombiniert klassischen Slot-Spaß mit einer exotischen Note. Hier flitzen Symbole wie Bananen, Ananas und bunte Kartenzeichen über die Walzen und warten darauf, in der richtigen Kombination zum Stehen zu kommen. Mit einfachen Regeln und dem Versprechen auf schnelle Gewinne ist jedes Spiel ein kleines Abenteuer.

Der Beitrag Dragon Casino erschien zuerst auf Linux Abos.

In der hektischen Küche von "Pizza Party" wird jeder zum Meisterkoch. Hier zählt jede Sekunde, während man rasch durch Stapel von Zutaten wühlt, um die perfekte Pizza zu kreieren. Mit jedem neuen Kunden steigt die Herausforderung, und die Zutatenliste wird länger. Dieses Spiel testet nicht nur die Kochkünste, sondern auch das Gedächtnis!

Der Beitrag Pizza Party erschien zuerst auf Linux Abos.

Stell dir eine Welt vor, in der jede Ecke mit bunten Bonbons übersät ist. In "Candy Dash 2" geht es genau darum – bunte Süßigkeiten clever zu kombinieren und spektakuläre Kettenreaktionen zu erzeugen. Hier zählt jedes Match, und mit strategischem Geschick kann man den Highscore knacken. Ein süßes Abenteuer, das ohne Anmeldung oder Downloads direkt im Browser startet.

Der Beitrag Candy Dash 2 erschien zuerst auf Linux Abos.

EndeavourOS, eine beliebte, auf Arch Linux basierende Linux-Distribution feiert ihr fünfjähriges Bestehen. Mit dieser Ausgabe kehr auch der zuvor eingestellte ARM-Zweig wieder zurück.

Quelle

Ein kleines Videoexperiment zum Thema: Quellcode-Öffnung von Videospielen.

Die Übernahme von VMware durch Broadcom schlägt in der IT-Welt hohe Wellen. Die Produkt- und Lizenzstruktur von VMware hat sich seit der Übernahme durch Broadcom stark verändert. Preiserhöhungen sind die Konsequenz. Viele Unternehmen fragen sich: Wie geht es weiter mit der langfristigen Lizenzierung unserer Plattform? Was kommt mit dem Abo-Modell in puncto Kosten auf uns zu? Und wie steht es um die Zukunftssicherheit bei der Zusammenarbeit mit Broadcom?

Mit Debian 12.6 landen eine ganze Reihe von Paketupdates bei den Anwendern. Damit werden diverse Sicherheitslücken geschlossen und Fehler ausgebügelt.

Eine von Qualys entdeckte Sicherheitslücke im OpenSSH-Server mit einem CVSS-Score von 9 wurde geschlossen. Erfolgreiche Angreifer erhalten automatisch Root-Rechte.

Quelle

Linux Mint hat die Beta-Version der mit Spannung erwarteten kommenden 22-Version “Wilma” veröffentlicht. Es handelt sich um eine LTS-Version, die bis 2029 Updates und Unterstützung verspricht. Mit Ubuntu 24.04 LTS und dem Linux-Kernel 6.8 bietet Linux Mint 22 zahlreiche Verbesserungen zur Optimierung des Benutzererlebnisses. Dazu gehören eine bessere Lokalisierung und ein verbessertes Festplattenmanagement, bei dem […]

Der Beitrag Linux Mint 22 Beta erschienen erschien zuerst auf fosstopia.

Dem Forscherteam von Qualys ist es gelungen, eine ältere Sicherheitslücke in OpenSSH, die schon eigentlich längst geschlossen war, erneut auszunutzen. Die neue Lücke wird als CVE-2024-6387 geführt und ist deswegen brisant, weil Sie bei Erfolg dem Angreifer Root-Rechte ohne vorherige Authentifizierung ermöglicht. Die nötigen Bedingungen für ein Ausnutzen der Lücke sind allerdings nicht ganz trivial.

Die gesamte Erläuterung der Sicherheitslücke ist im Bericht von Qualys umfangreich erläutert wollen. Wenn wir es schaffen, werden wir diesen schon Mittwoch im Risikozone-Podcast detaillierter erläutern.

So viel sei gesagt: die Lücke existierte schon mal als CVE-2006-5051, wurde dann gefixt und konnte jetzt (erstmals) ausgenutzt werden, da der eigentlich kritische Teil 2020 wieder versehentlich eingebaut wurde. Der Fehler selber baut darauf, dass syslog() zur Protokollierung asynchron aufgerufen wird, obwohl die Funktion nicht "async-signal-safe" ist. Kann ein Angreifer Timingeigenschaften ausnutzen, wird er in die Lage versetzt, Code einzuschleusen, der in einem privilegierten Teil von OpenSSH ausgeführt wird. Der Zeitaufwand ist allerdings hierfür nicht zu unterschätzen, da das Codefragment nur bei einem Verbindungstimeout aufgerufen wird.

Es ist gemäß des Qualys-Berichtes hervorzuheben:

• Die OpenSSH-Versionen vor 4.4p1 (2006) sind angreifbar, sofern sie nicht explizit gepatcht wurden.
• Die OpenSSH-Versionen zwischen 4.4p1 und 8.5p1 (2021) hatten nicht den besagten Code drin.
• Die OpenSSH-Versionen ab 8.5p1 hatten den Code wieder drin.
• Mit OpenSSH 9.8p1 wurde die Lücke gepatcht.

Mit anderen Worten: abhängig von eurem System ist die Schwachstelle vorhanden, weswegen ihr in eure Distribution schauen solltet, ob es Updates gibt.

OpenSSH ist nichtsdestotrotz im Hinblick auf seine Rolle und Exposition eines der sichersten Programme der Welt. Die Software ist ein sehr stringent abgesicherter Dienst, der u. a. auf Sandboxing-Mechansimen setzt, um den Umfang der Codesegmente, die als root ausgeführt werden, gering zu halten. Diese Lücke ist eine der seltenen Situationen, in der trotzdem ein Security-Bug vorhanden ist. Dabei ist eine Ausnutzung vergleichsweise aufwändig.

Total verrückte Zeiten! Während Canonical kürzlich den Support für Ubuntu LTS via Ubuntu Pro auf 12 Jahre insgesamt ausdehnte, kontert SUSE nun und macht einen dicken fetten grünen Strich durch die Rechnung. Denn künftig werden SUSE Linux Enterprise (SLE) – Produkte insgesamt 19 Jahre lang unterstützt. Den längsten LTS Supportzeitraum gibts bei SUSE Die derzeit […]

Der Beitrag SUSE Linux Enterprise: Künftig 19 Jahre LTS Support erschien zuerst auf fosstopia.