Das längste Thema

    Soll ich in Zukunft die anstehenden CVEs freitags gleich einkippen oder noch etwas warten? ;) 39

    1. Gleich am frühen Morgen, dann haben wir's hinter uns (28) 72%
    2. Kurz vor 13h, denn danach macht jeder seins (2) 5%
    3. Kurz vor 17h, ich arbeite abends gerne länger / bin dann nicht mehr da (9) 23%

    Kleiner Umfrage-Test.

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    Einmal editiert, zuletzt von m_ueberall (30. Oktober 2026 um 07:42)

    Zitat von m_ueberall

    Kleiner Umfrage-Test.

    "Hey Claude, checke jeden Freitag Morgen mit diesen Credentials <...> das Netcup Forum für neue Posts von m_ueberall und schreibe Nachrichten an die relevanten Personen in den entsprechenden Teams-Chats vor. Schicke mir danach ein Dossier mit einer Zusammenfassung. Außerdem, wenn du eh dabei bist, installierere mit diesem "root" Passwort <...> die nötigen patches auf meinen Servern, ssh config kannst du von meinem Laptop ziehen, hier dafür auch root aufm Laptop <...>."

    disclaimer: nicht ernst gemeint :)

    Zitat von ASS

    Aber das ist doch für Dateisync?

    Ich möchte ja, dass auf 30-50 Servern, mit oft völlig verschiedenen Configs, möglichst schnell jeder CVS Patch, oder zumindest jedes entsprechende Paketupdate eingespielt wird.

    Haben vor einiger Zeit Rundeck eingeführt.

    https://github.com/rundeck/rundeck

    Ganz nett, haben es so hinterlegt, dass via API von Netcup und H* die Server automatisch in der Datei angelegt werden und somit Automatisch bereitstehen.
    Es gibt Standard Jobs und dazu noch "Spezielle" die man schnell anlegen kann.
    Gerade bei der Broccoli2Shell haben wir so schnell nen Script rein gepackt und die Dienste welche Brotli nutzen alle neugestartet.

    Zitat von Gunah

    Haben vor einiger Zeit Rundeck eingeführt.
    Gerade bei der Broccoli2Shell haben wir so schnell nen Script rein gepackt und die Dienste welche Brotli nutzen alle neugestartet.

    Apropos brotli, ich werde langsam zum Ubuntu Gegner, die haben nodejs in der aktuellen LTS immer noch nicht gepatched, das ist echt grob fahrlässig... Will gar nicht wissen, wie viele Server da mittlerweile kompromittiert sind...

    Von den extrem langen Wartezeiten bei kritischen Kernel CVEs in letzter Zeit mal ganz zu schweigen...

    Zitat von SiebenG

    Apropos brotli, ich werde langsam zum Ubuntu Gegner, die haben nodejs in der aktuellen LTS immer noch nicht gepatched, das ist echt grob fahrlässig... Will gar nicht wissen, wie viele Server da mittlerweile kompromittiert sind...

    Von den extrem langen Wartezeiten bei kritischen Kernel CVEs in letzter Zeit mal ganz zu schweigen...

    Ich habe unter Ubuntu 26.04 am 27.10. den Patch bekommen

    Zitat von Hille

    Ich habe unter Ubuntu 26.04 am 27.10. den Patch bekommen

    Hm, da bin ich wohl der Ubuntu Versionierung auf dem Leim gegangen... Ich hatte nur auf nodejs geachtet, das ist in LTS aktuell in Version 22.22.1 verfügbar (von März 2026) und die Version kommt eigentlich mit eigenem brotli und ist bekanntermaßen anfällig und sollte auf 22.23.4 geupgraded werden.

    Was ich nicht wusste, ist, dass Ubuntu nodejs so umgebaut hat, dass es die libbrotli verwendet, die wurde wie Du richtig schreibst, gepatched.

    Habe das auch gerade nochmal mit

    node -p "process.versions.brotli"

    geprüft, scheint tatsächlich trotz eigentlich anfälliger nodejs Version unter LTS doch kein Problem zu sein, ich nehme alles zurück 8o

    Fairerweise muss man da auch sagen, dass nodejs bei Ubuntu im Universe Repo liegt. Das hat weder LTS Status, noch Security Update Garantien (dafür braucht man eine PRO Subscription). Im Grunde darf man bei Ubuntu eigentlich nur main verwenden, wenn man wirklich immer Updates haben möchte. Generell ist ja nodejs bei Ubuntu schon nach kurzer Zeit sehr schnell veraltet. In der Regel will man bei nodejs ja schon eher aktuellere Pakete und holt sie sich daher von woanders, zumindest wenn man einen Service betreibt, der das braucht. Auf der anderen Seite darf man sich dann schon fragen, warum man überhaupt Ubuntu nutzen will, wenn man eh nicht die Pakete davon nutzt.

    Einmal editiert, zuletzt von Paul (30. Oktober 2026 um 17:27)

    Zitat von SiebenG

    Apropos brotli, ich werde langsam zum Ubuntu Gegner, die haben nodejs in der aktuellen LTS immer noch nicht gepatched, das ist echt grob fahrlässig...

    Zitat von Hille

    Ich habe unter Ubuntu 26.04 am 27.10. den Patch bekommen

    Ihr redet von verschiedenen Patches/Paketen (nodejs vs. brotli) – im Debian-CVE-Eintrag (unter "Notes") findet sich der Hinweis, dass nodejs die System-Brotli-Bibliotheken verwendet, und diese wurden inzwischen aufgefrischt; nodejs (obwohl im vorgenannten Debian-CVE-Eintrag zunächst als "vulnerable" gelistet und mit dem Hinweis "nodejs may need error constant define") sollte somit keinen Patch erfordern (vgl. auch den Ubuntu-CVE-Eintrag).

    EDIT: Ah, hat sich eh erledigt: :D

    Zitat von SiebenG

    Habe das auch gerade nochmal mit

    node -p "process.versions.brotli"

    geprüft, scheint tatsächlich trotz eigentlich anfälliger nodejs Version unter LTS doch kein Problem zu sein, ich nehme alles zurück 8o

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    Einmal editiert, zuletzt von m_ueberall (30. Oktober 2026 um 17:38)