Les responsables de la sécurités chez Debian serait-il en vacances ou plus grave y aurait-il des dissensions au sein de l'équipe ?

Selon Heise.de se serait le cas.

http://www.heise.de/newsticker/meldung/61076(...)

Debian depuis plusieurs semaines sans mises à jour de sécurité

Depuis des semaines, aucune annonce et encore plus mal, aucun Security-Patch pour Debian n'a éte publié . Pourtant Il y a eu une série entière de points faibles liés à la sécurité
dans des logiciels, que l'on retrouve sous forme de paquets Debian
Par exemple :
SquirrelMail, SpamAssassin ou sudo pour ne citer qu'eux....

La dernière annonce date du 3. Juin, soit avant la sortie de Debian 3.1 (Sarge). Le courriel de Heise Security à L'Email oficielle de Debian Security ainsi qu'à l'éditeur des Advisories est depuis 4 jours resté sans réponses.

Selon nos recherches différents Patches liés à la sécurité sont déjà marqués par les mainteneurs des packets dans la base de donnée comme finis et transmis au security-team.
Mais les mises à jour dues se font attendre, le Debian-Security-Team est manifestement "disparu".

Des Debian-Insider confirment, qu'il y a eu au départ des problèmes avec l'infrastructure d'essai
pour le Debian 3.1. Ceux-ci sont toutefois resolus. Le long délai pourrait toutefois pouvoir être attribué à des problèmes et différences personnels dans le Debian-Security-Teams.
Les adminstrateurs de Systèmes Debian ne devraient pas momentanément compter sur le Debian-Update-System et doivent avoir bon gré, mal gré avoir un oeil vigilant sur les problèmes de sécurité possibles des logiciels utilisés.

Avec quelques Patches "en attente" on peut franchir la période
d'attente par des Workarounds, avec d'autres, un Patch installé à la main peut éventuellement aider .

On peut aussi utiliser des Repositories comme sarge-proposed-updates et/ou
stable-proposed-updates . L'université Essen met un miroir de ces Repositories à la
disposition:

deb http ://debian.uni-essen.DE/debian/ Main sarge-proposed-updates contrib non-free
/etc./apt/sources.l'adresse peut être activée.
Toutefois, -- probablement faute de Release-- les mises à jour de sécurité ne se trouvent pas encore là aussi.

Déjà, la sortie de Debian 3.1 a été accompagnée de panne de sécurité:
La première version n'a pas contenu d'entrée active pour les mises à jour de sécurité.
Celle-ci a seulement été ajoutée à posteriori avec la version 3.1_r0a présentée ultérieurement.

L'équipe de Debian doit faire attention de ne pas perde en quelques semaines la confiance batie sur des années du haut niveau de sécurité de la distribution.

> Lire le journal (11 commentaires, moyenne: 4,5).