Linuxfabrik Monitoring Plugins und liblzma

Aufgrund der Vorkommnisse rund um liblzma seit dem 29.03.2024 wurden wir unter anderem in einem GitHub-Issue gefragt, welche Versionen der liblzma-Bibliothek in unseren Paketen sowie den zip- und tarballs verwendet werden.

Kurz: Wir sind nicht betroffen. Die Monitoring-Plugins werden auf den offiziellen Distributionen wie Debian, RHEL und Ubuntu kompiliert, so dass die .deb- und .rpm-Pakete immer die Bibliotheken in der Version des Systems liefern. Für die Zip- und Tarballs werden die Monitoring-Plugins bis heute (20240404) auf RHEL7 kompiliert.

Anbei eine Liste, welche liblzma-Version in welchen Paketen oder Archiven enthalten ist.

repo.linuxfabrik.ch:

• debian 10 buster: 5.2.4
• debian 11 bullseye: 5.2.5
• debian 12 bookworm: 5.4.1
• rhel 7: 5.2.2
• rhel 8: 5.2.4
• rhel 9: 5.2.5
• ubuntu 18.04 bionic: 5.2.2
• ubuntu 20.04 focal: 5.2.4
• ubuntu 22.04 jammy: 5.2.5

download.linuxfabrik.ch:

• tar: 5.2.2
• zip: 5.2.2

Hintergrund:

• CVE-2024-3094
• Schöner Artikel auf DerStandard.at