Category Archives: Linux

freut Euch auf die neuen Meteokarten

Posted on by

Wer in letzter Zeit unter Fedora, und vermutlich auch anderen Distros, die Kartenfunktionen von meteo benutzen wollte, bekam einfach nur eine Meldung „unacceptable TLS certificate“ zu sehen. *FIXED* und wie 😀

freut Euch auf die neuen Meteokarten

Da ich bei Fedora den Bugreport dazu eingereicht hatte, habe ich heute eine Benachrichtigung bekommen, daß die 0.9.9-2 Version fertig ist. Da habe ich gleich male in Update gemacht und muß sagen, es hat sich gelohnt. Nicht nur, daß die Karten wieder funktionieren, nein auch die Darstellung ist jetzt Windy.com angelehnt und es sieht einfach schick aus 😀

Sehr selbst:

Meteo Startkarteund wenn man da ein Ortsdetail anklickt:

Meteo ortsspzifische Temperaturdaten eingeblendet.So macht eine WetterApp richtig Spaß..  Wer war gnome-weather gleich nochmal? 😀

Linux am Dienstag: Programm vom 18.7.2023

Posted on by

Hui… die GhostscriptlĂŒcke hatte ich ja schon im Blog, aber irgendwie mĂŒĂŸte man sich dagegen schĂŒtzen können… ob eine Firewall da hilft? Findet es raus und kommt heute Abend vorbei!

Linux am Dienstag: Programm vom 18.7.2023

u.a. im Programm am 18.7.2023, ab 19 Uhr:

  • Vortrag – Firewallen wir uns doch mal!
  • Linux – GhostScriptlĂŒcke nicht nur in Ghostscript
  • Sommerloch – bka.de ohne Strom – Ausfall beim Bund
  • Datenschutz – unzulĂ€ssiges Cookiebanner bei Heise.de
  • Log4j – immer noch nicht ĂŒberall gefixt

und andere IT-NewsbeitrÀge aus aller Welt. Wie jede Woche per Videokonferenz auf https://meet.cloud-foo.de/Linux .Hinweis: Die bisherigen VortrÀge findet man unter https://linux-am-dienstag.de/archiv/ .

Der Ghostscript Exploit, der in andere Anwendungen eskaliert

Posted on by

Vor einigen Tagen hatte ich ja was zum Kernel Bug geschrieben, nĂ€mlich, daß ich mir mehr Sorgen mache, daß eins der Desktopprogramme geknackt wird. Jetzt ist es bei Ghostscript soweit.

Der Ghostscript Exploit, der in andere Anwendungen eskaliert

Ghostscript < 10.1.02  hat eine Schwachstelle, die das AusfĂŒhren von Code erlaubt. Das an sich ist schon schlimm, wenn man dann erfĂ€hrt, daß das bei den Maintainer untergegangen ist 🙁

Schlimmer ist aber, daß die LĂŒcke in andere Anwendungen wie InkScape, LibreOffice und Gimp eskaliert, dort also auch funktioniert. Möglich macht dies das Äquivalent der grĂ¶ĂŸten Container-Sorge ĂŒberhaupt: Diese Anwendungen halten sich eine selbst gepatchte Version von Ghostscript in der Codebasis und naja, in der ist der Bug auch drin.

Das ist vergleichbar mit einer Sammlung von Docker Containern,Snaps & Flatpaks, welche alle die gleiche ausnutzbare libPNG drin haben und jetzt alle geupdated werden mĂŒssen, wo ja eigentlich nur eine Komponente das Update wirklich brĂ€uchte: Ghostscript. Was zeigt das: Dumme Entscheidungen brauchen kein Containermodell 😉

Anstatt einer Komponente, mĂŒssen jetzt ein Haufen unĂŒbersehbarer Anwendungen aktualisiert werden, wozu man erstmal rausfinden muß, wo das ĂŒberall drin ist. Das muß man erst mal schaffen. Log4J lĂ€sst so derbe grĂŒĂŸen, daß heute wohl Murmeltiertag ist.

Da zu allem Überfluss ein POC-Exploit bekannt ist, werden echte Exploits nicht lange auf sich warten lassen.

Die Situation auf Debian ist besser als die von Fedora, weil Debian immerhin das erste GS Update ausgeschickt hat, bei Fedora aber nichts am Horizont ist. Dagegen habe ich mal was gemailt…

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-36664

https://www.kroll.com/en/insights/publications/cyber/ghostscript-cve-2023-36664-remote-code-execution-vulnerability