Gerade erst haben wir alle Sicherheitslöcher, die durch „Shellshock“ verursacht wurden, geschlossen, da steht bereits das nächste Update an. Hintergrund ist ein Sicherheitsupdate welches Citrix, die Firma hinter den Xen-Servern, veröffentlicht hat.
XSA108 und das große Rätselraten
XSA108 ist der Name des Xen Security Advisory. Obwohl der Patch bereits veröffentlicht wurde, hat Citrix noch keine Details zu dem Patch veröffentlicht, diese sollen erst am 01.10.2014 veröffentlicht werden (http://xenbits.xen.org/xsa/). Dementsprechend brodelt die Gerüchteküche, was für eine Sicherheitslücke durch diesen Patch geschlossen wird, vor allem vor dem Hintergrund, dass Amazon für eine Großzahl ihrer EC2-Server einen Reboot durchgeführt hat (Link). Das Problem ist also, dass wir nicht wissen, was für eine Sicherheitslücke mit dem Patch adressiert wird und ob die unsere Flexserver-Infrastruktur betrifft. Es stellt sich also die Frage: Jetzt patchen oder nicht?
Entscheidung: Wir patchen!
Trotz dieser Unsicherheit haben wir uns entschieden, alle Xen-basierenden Serversysteme heute außerplanmäßig zu patchen. Mag sein, dass diese Arbeit unnötig ist, aber Vorsicht ist besser als Nachsicht. Für unsere Kunden mit Flexservern sind diese Wartungsarbeiten transparent. In unserem Hochverfügbarkeitscluster können wir einen Server nach dem anderen neustarten, ohne dass Kunden davon etwas mitbekommen. In den Abendstunden folgen dann die Server unserer Kunden mit älteren vServer-Angeboten (HKN vServer und Elk vServer). Diese werden einen kurzen Ausfall haben, während der Xen-Server neu startet.