Re: Sarge: This version of the ClamAV engine is outdated.
Am Samstag, den 16.07.2005, 14:02 +0200 schrieb Felix M. Palmen:
> * Daniel Leidert <daniel.leidert.spam@gmx.net> [20050716 13:44]:
> > Am Freitag, den 15.07.2005, 11:03 +0200 schrieb Andreas Barth:
> > > Spekulationen mögen sich nett anhören, sind aber nicht unbedingt
> > > hilfreich. Faktisch wurde das stable-security-Update von clamav vom
> > > volatile-Team gemacht, nicht umgekehrt.
> >
> > BTW: Wer garantiert, dass dies für alle (zukünftig) in Volatile zu
> > findenden Pakete der Fall sein wird; dass Volatile also _nicht_ hinter
> > Sarge herhinken wird (ganz abgesehen davon, dass neuer Code auch neue
> > Sicherheitslücken mit sich bringen kann).
[1]:
> Wer garantiert, dass die offiziellen Pakete nicht "hinterherhinken"?
Niemand. Aber es liegt im Interesse des gesamten Debian-Projektes, dass
die offiziellen Pakete dies nicht tun. Gilt das auch für Volatile?
> Insbesondere in jüngster Zeit sicher auch eine berechtigte Frage.
Das hatten wir doch schon, oder?
> Und: Was nützt ein Virenscanner, dessen Engine technisch nicht in der
> Lage ist, einige der neuesten Schädlinge zu finden?
War das Thema nicht schon längst durch? Darum ging und geht es (mir)
nicht. Mein ursprünglicher Einspruch basierte auf der Aussage von
Stephen Gran und dem DSA 737
(http://www.debian.org/security/2005/dsa-737), nach denen die Sid- und
damit auch die Volatile-Pakete gegen genannte Sicherheitslücke anfällig
sind, das Problem für Sarge lt. DSA jedoch gefixt wurde. Bisher habe ich
zusätzlich den Eindruck, dass die ClamAV-Pakete in Volatile Backports
der Sid-Pakete sind. Damit würden sie JFTP zwangsläufig mindestens so
weit wie die offiziellen Pakete "hinterherhinken" (um noch einmal auf
[1] Bezug zu nehmen). Das Ziel von Volatile ist mir bekannt. Das ändert
aber nichts an meinen grundsätzlichen Bedenken. Ich bekomme
Bauchschmerzen, wenn inoffizielle Projekte völlig bedenkenlos an
(möglicherweise) unerfahren(er)e Nutzer empfohlen werden: "Beachten Sie,
dass debian-volatile kein offizieller Service von Debian ist. Benutzen
Sie ihn nach Ihrem eigenen Ermessen." (aus den Release-Notes).
MfG Daniel
Reply to: