advancedpersistentthreat upgrade
	Am 5. Mai hat ein Ubuntu Update von Ruby das Puppet zerschossen,
	weil die puppet:/// URLs ab da falsch geparst werden:
	

	
 Fix for CVE-2023-28755 breaks "puppet apply" run
	
 [PUP-11848] Ruby 2.7 patched with fix for CVE-2023-28755 breaks parsing of puppet:// URIs for puppet apply
	
 Bug #2018547 “puppet can no longer find puppet:// resources afte...” 
	
	Wie ich das gemerkt hab, war meine erste Reaktion: "dann nageln wir
	die Ruby Version in /etc/apt/preferences.d fest und verhindern den Upgrade".
	Ja, aber wie krieg ich das auf die betroffenen Rechner, wenn Puppet nicht mehr geht?
	Zwei Tage später haben die Ubuntesen den Patch wieder zurückgerollert.
	

	Gegen Angreifer gibt mir das System einige Werkzeuge, dass die da nicht root
	werden und Blödsinn machen.
	Gegen Package-Updates mit cronapt hilft nix, weil die über Nacht beliebige
	post-install Skripte als root ausführen.
	Und nicht Upgraden geht auch nicht, weil die CVEs im Stundentakt einschlagen.
	Und die Maintainer brauchen gar nicht bösartig oder inkompetent sein,
	bei 106 Packages und Abhängigkeiten und schlecht
	zu testenden Nebeneffekten (wie den seltsamen puppet:/// URLs)
	haben die keine Chance, keine Fehler zu machen.
	

[/bauerm] permanent link