[gefixt] Ubuntu: Rootpasswort auslesbar

Zitat:

The root password from the first user registred by Breezy can be found by any user by reading the file /var/log/installer/cdebconf/questions.dat

Das Rootpasswort des 1. Users, der sich in Breezy registriert hat, kann von jedem beliebigen User in der Datei /var/log/installer/cdebconf/questions.dat ausgelesen werden.
https://launchpad.net/distros/ubuntu/+bug/34606/

Thx, für den Hinweis

Update.
Gefixt. Reaktionszeit: Ca. 12 Stunden.

Habe auch gelesen, daß es gefixt ist, aber müßte sich da nicht auch die automatische Aktualisierung melden? Und manuell wurde bei mir auch nichts erneuert.

@rich: Du kannst testen, ob die Lücke bei Dir noch existiert:

$ grep -i rootpassword /var

Wenn das nichts anzeigt, dann ist die Lücke gefixt.

Alternativ kannst Du Dir die Rechte der Datei anzeigen lassen:

$ sudo ls -l /var/log/installer/cdebconf/questions.dat

Da darf dann nur so etwas stehen:

-rw-------

MfG
Vimes

Eigenartig:

Commit Log for Mon Mar 13 12:34:22 2006
Die folgenden Pakete wurden aktualisiert:
base-config (2.67ubuntu19) to 2.67ubuntu20
login (1:4.0.3-37ubuntu7) to 1:4.0.3-37ubuntu8
passwd (1:4.0.3-37ubuntu7) to 1:4.0.3-37ubuntu8

Versuch's mal über den Server der TU Dresden:

deb http://ftp.inf.tu-dresden.de/os/linux/dists/ubuntu breezy main restricted universe multiverse
deb http://ftp.inf.tu-dresden.de/os/linux/dists/ubuntu breezy-security main restricted universe multiverse
deb http://ftp.inf.tu-dresden.de/os/linux/dists/ubuntu breezy-updates main restricted universe multiverse

Diese Quellen nehme ich immer, schätze mal, dass die Ubuntu-Server qualmen.

Wenn's das auch nicht bringt, dann installiere doch sicherheitshalber die obigen Dateien zu Fuß.

P.S.:
Und die Heise-Trolle quietschen vor Vergnügen. Ist ja auch, ähmm, peinlich.

Diese Pakete verwende ich schon lange, habe diese ja von dir. :)
Deshalb hat es mich gewundert. Jetzt hat es geklappt, aber hat auch länger gedauert.
Vorher war der Versuch mit "apt-get", jetzt habe ich in der Paketverwaltung diese neu runter geladen.

Es wäre gar nicht so schlimm gewesen, da ja niemand zu meinem PC rangeht (außer mein Schatzi). Bei mir handelt es sich um reines Interesse.
Es fehlt jetzt in der questions.dat der Eintrag: "Value: samt Passwort"

Nachtrag: @Vimes
Auch mit grep -i rootpassword /var zeigt er nun kein Passwort mehr an. Allerdings muß bei mir "grep -r" reingeschrieben werden.
Beim zweiten alternativen Befehl kommt dann "-rw----- root Nummer Datum /Pfad/Dateiname"

Außerdem geht diese Datei auch mit gedit alleine nicht mehr zu lesen.

Zitat:

Original von rich20 Außerdem geht diese Datei auch mit gedit alleine nicht mehr zu lesen.

Das zeigt dieses -rw--------- auch gerade an - nur root darf sie noch lesen.

mfG
Vimes

Zu den Hintergründen ganz interessant ist die Stellungnahme des zuständigen Maintainers:
http://www.ubuntuforums.org/showthread.php?t=143334&page=7

Na also. Bei Pro-Linux ging es deswegen heiß her. Jemand meinte, ich möchte bitte selbst programmierte Software deutlich kennzeichnen, damit er sie meiden kann - ich hatte Verständnis für den Fehler bekundet...

MfG
Vimes

Zitat:

Bei Pro-Linux ging es deswegen heiß her

Irgendwann habe ich das nicht mehr verfolgt. wurde langweilig.

Trolle. Mich ärgert der entsprechende Thread bei ubuntuusers. Da wird allen Ernstes "erwartet" und "gefordert", dass solche Bugs zukünftig nicht mehr vorkommen. Irgendwie haben diese Autoren etwas nicht begriffen, was mit "freier" anfängt und mit "Software" aufhört. Ich hab die Panne nicht gesehen, diese Erwartungshalter haben's auch nicht gesehen. Da schwillt mir der Kamm. Aus momentanen Zeitgründen habe ich mich an der Flamerei mal nicht beteiligt.

OT
Wäre mal nett zu erfahren was die "Erwarter und Forderer" sagen würden wenn sie auf einmal zur Kasse gebeten würden um solche Bugs abzuschalten

Ich hasse solche user die alles was sie für gut finden und kostenlos ist mitnehmen und dann auch noch meinen sie könnten Ansprüche stellen.

OT, aber ich kann nicht mehr:

Frage: Sorry, aber auf meiner Installation von "Breezy Badger" ist die Datei nur fuer root lesbar und sie enthaelt auch kein Password.

Antwort: Dann hast Du etwas falsch gemacht.

(Aus dem von Vimes erwähnten Troll-Thread, habe gerade mal weitergelesen).

Es wurde ja nicht nur gefordert, daß so etwas nicht mehr vorkommt, es wurde ja von mehreren gesagt, daß "so ein Fehler nicht passieren darf". Da ist mir doch mehr oder weniger der Kragen geplatzt...

Das sind mit Sicherheit alles Typen, die nie auch nur eine Zeile Code geschrieben haben, schon gar nicht für Umme. Aber groß rummaulen und angeben, das können sie.

MfG
Vimes

Jo. Trolle.

Aber es gibt neben den vernünftigen Beiträgen eines "Jehu" zumindest noch ein Posting, das mir auffällt:

Zitat:

Seit einigen Wochen kommen bei jeder Meldung über Ubuntu hier im Forum verstärkt negative Äusserungen. Die meisten ohne Substanz, frei nach dem Motto "Ubuntu hat ein geniales Marketing, aber für mich ist das nichts". Zugegeben, diesmal gab es wirklich mal einen Grund zum Meckern. Aber warum muss jedes erfolgreiches Linux-Projekt schlecht geredet werden? Kann mir das mal jemand erklären? Als wenn es in der IT-Welt nicht genügend schlechtere Produkte gebe, über die man lästern könnte. Aber nein, sobald eine Distribution Erfolg hat, womöglich sogar Geld verdient, kommen die ablehnenden Stimmen. Und was angesagt ist, ist per se schon schlecht. Das ist meiner Meinung nach auch des Pudels Kern: Viele Linuxer sind gar nicht Linuxer, weil sie von einem besseren Produkt überzeugt sind. Sondern schlicht und einfach, weil sie sich von der breiten Masse absetzen wollen. Etwas was alle machen, ist schon nicht mehr cool genug. Etwas, was erfolgreich ist, macht keinen Spaß mehr. Der ewige Underdog eben. Ich kann diese Einstellung ja in gewisser Weise verstehen. Aber trotzdem fände ich es besser, wenn die Energien in positive Bahnen gelenkt werden. Ubuntu ist ein gutes Produkt. Auch wenn der heutige Bug ein schlimmer war: Der Fehler ist atemberaubend schnell und einfach zu beheben. Und weiter gehts. Der Gegner sitzt nicht in Südafrika.

So isses.

ack