Nach dem Bug ist vor dem nächsten Bug. Nach "Copy Fail" und "Dirty Frag" kommt nun eine aus der gleichen Fehlerfamilie stammende neue Sicherheitslücke, die auf den Namen "Fragnesia" (nicht zu verwechseln mit dem Bambusgewächs "Fargesia" ) getauft und ebenfalls per KI gefunden wurde (Berichte und Anleitungen: 1 , 2 , 3 , 4 , 5 , 6 ). Erneut hilft die temporäre Abschaltung von einigen Kernelmodulen und AppArmor soll wohl teilweise davor schützen. Der Kernelpatch ist eingereicht und befindet sich in der Prüfung. Somit ist bei den Distributionen (und auch bei Windows!) mit einem zeitnahen Kernel-Update zu rechnen,

Sicher, Vibe Coding erleichtert die Gesamtsituation nicht wirklich. Und nach dem Bug ist bekanntermaßen vor dem (nächsten) Bug ( heise ). Inzwischen platzt aber selbst dem werten Herrn Wohltätigem Diktator langsam der Kragen und er pfeift die all zu Überaktiven zurück ( fosstopia ,  heise , linux magazin , linuxnews ). Den kuriosen "Lösungsweg" von GKH mag man zwar schmunzelnd zur Kenntnis nehmen. Wenn aber dieses KI-Gedöns dazu führt, dass wir in unseren LTS-Distributionen bald nur noch daily kernel haben, dann läuft da auch organisatorisch etwas schief! Ich orakel daher, dass sich an der aktuellen Situation mittelfristig etwas konzeptionell verändern wird! Die neu erdachte "temporäre" Lösung von Rocky Linux ist da ein sicher diskutabler Punkt. Aber insgesamt bedarf es hier einer grundlegenden Lösung, wenn wir uns nicht in täglicher kleinklein-(Kernel)-Herumpatcherei verlieren wollen. Am Ende würde dies Stable Distributionen quasi zu Daily Distributionen machen und das kann doch nicht der angemessene Umgang mit dieser neuen Situation sein. So ertappe ich mich selber dabei, dass ich inzwischen als Folge dieser Situation mehrmals pro Tag das "apt update"-Szenario auf meinen Systemen durchspiele und permanent auf den Feed-Reader starre, was die bekannten Linux-Nachrichtenseiten wieder über "neue" Sicherheitslücken schreiben.

Ergänzend und hoffentlich abschließend ordnet ein neuer Artikel zu dem Themenbereich die Aufregung der letzten Wochen ein und entspannt hoffentlich die Situation. Allerdings ist auch zukünftig weiterhin mit der Ausnutzung solcher Lücken zu rechnen.

IBM/Red Had will diese neue Problemsituation jetzt mit ihrem beim "Project Lightwell" mächtig viel draufgeworfenen Geld grundlegend erschlagen ( fosstopia ,  heise ). Natürlich ist mal wieder die Rede von den Interesen der Markriesen. Aber nicht von den KMUs und NGOs, die eben NICHT das Geld haben, sich die entsprechenden Sicherheistaudits zu leisten und vielfach noch grundlegender von solchen Sicherheitslücken getroffen werden. Geschweige den die privaten EndanwenderInnen, die häufig noch nicht einmal über mögliche Alternativen Bescheid wissen - womit wir wieder beim Thema des Digital Independence Day sind.

In dem Kontext will ich erneut auf den Einsatz von Rust hinweisen (wichtig vor allem im Kernel!), dessen bedeutend geringere Fehleranfälligkeit in der Speicherverwaltung sich zunehmend zeigt und die so derlei tiefgreifende Fehler massiv eindämmen kann.

Nach dem KI-Bug ist vor dem KI-Bug. Oder wie der Autor Ferdinand schreibt "Und täglich grüßt .." (ihr kennt das ja). Es wurde die nächste Sicherheitslücke gefunden und "CIFSwitch" getauft ( linuxnews ). Ich habe sofort nachgeschaut: das entsprechende Paket cifs-utils ist bei uns NICHT installiert, so dass uns das Problem NICHT betrifft. Einmal mehr bestätigt dieser Fall: Die sicherste Software ist die, die nicht installiert ist. Und: Je öfter ich Systeme installiere, desto schlanker setze ich sie auf! Auch aus solchen Gründen sind große Desktopumgebungen mit ihrem fetten Code kein Thema mehr für mich.