Ubuntu，ownCloud和Linux软件仓库的一个隐藏的阴暗面

Ubuntu的Universe存储库中的ownCloud版本陈旧且充满了“多重关键安全漏洞”。这不是什么秘密。 ownCloud项目本身要求Ubuntu将其删除，以便用户不会有脆弱的服务器软件。 Ubuntu建议ownCloud他们应该接管维护它。 OwnCloud认为这很荒谬 - 他们只是想编写软件，而不是将其维护在每个发行版的仓库中。

Ubuntu终于采取行动并上传了一个空白软件包，该软件包将禁用Ubuntu 14.04系统中易受攻击的ownCloud服务器软件。但是这整整一周的考验证明了Linux软件的封装，分发和更新方式存在严重的弱点。

为什么Ubuntu的软件库中存在漏洞软件？大多数Linux用户通常通过其Linux发行版的软件软件存储库。 Linux用户被告知这是获得软件的最好，最安全的方式。您可以从一个集中的源代码轻松安装它，然后您的Linux发行版随即负责为您进行更新并及时安全更新。

[更多阅读：您的新电脑需要这15个免费的优秀程序]

这就是它应该如何工作的，但这并不总是如此。在这种情况下，ownCloud包含在Ubuntu的“Universe”存储库中，该存储库充满了社区支持的软件。 Canonical和Ubuntu的主要开发人员并没有承诺通过安全更新来支持该软件。

Ubuntu软件中心的Steam

Ubuntu软件中心对此提供了一些警告，但大多数Linux用户不会看到它。 Universe存储库默认情况下处于启用状态，所以大多数Linux用户不知道Ubuntu软件中心的大多数软件没有得到官方的支持，并且没有安全更新。

社区支持开发的阴暗面

Ubuntu社区 - 在这种情况下，首先上传和打包软件的人 - 负责将更新的安全ownCloud软件包放在一起，以便用户可以获得这些安全更新。

正在开发ownCloud的开发人员似乎拥有失去兴趣，所以自1月份以来没有发布更新。没有迹象表明他们会发布更新。

这是关于大多数Linux发行版软件存储库工作方式的黑暗隐藏真相。您依赖社区成员为您提供任何安全更新，并且他们对您没有任何义务。由于Canonical的Marc Deslauriers在邮件列表中解释道：“Ubuntu中的owncloud软件包位于universe中，这意味着它由Ubuntu社区维护。有人需要加强和照顾它。如果没有人这样做，那么它不幸保持现状。“

ownCloud和Ubuntu来回移动

为了解决这个问题，ownCloud采取了非常不寻常的步骤在Ubuntu邮件列表上发送消息，要求Ubuntu开发人员从存储库中删除软件包。当然，他们没有合法权利要求这是开源软件。但他们想阻止他们的用户使用这个旧的，易受攻击的软件。他们的建议看起来很简单。毕竟，Ubuntu的开发人员可以发布一个完全空白的新版本的软件包。当用户更新他们的系统时，OwnCloud将被删除，然后这些用户可以从ownCloud为Ubuntu提供的包中安装ownCloud，这些包由openSUSE构建服务创建。 ownCloud将负责及时更新其用户系统的安全更新。

从Ubuntu存储库安装的一个易受攻击的ownCloud版本。

Ubuntu的开发人员最初不愿意这样做。为什么，这不是系统的工作方式！该软件包现在已经锁定在稳定版本中，并且不应该有任何重大更改，即使它是从根本上不安全的服务器软件。实际上删除它将是非常不寻常的。他们建议ownCloud应该接管Ubuntu中的ownCloud软件包的维护并保持它们的最新状态。至少，ownCloud的工作是创建一个空包，并通过官僚程序推出它。

OwnCloud的开发人员认为这太疯狂了。他们希望专注于创建软件，并且他们已经提供了一个单独的地方，Linux用户可以获得各种Linux发行版的软件包和更新。他们不想花时间打包他们的软件，因为他们害怕使用不同的Linux发行版，并将其保存在各种不同的存储库中。正如ownCloud的Lukas Reschke所解释的那样：“从我这边来说，我的工作是在这里完成的，我已经通过多种渠道告知了负责人，如果他们无意自行解决问题，我们可以很好地生活（原文如此） “

在来回过程中，Ubuntu用户留下的是旧的，容易受到攻击的服务器软件，需要花费数周的时间。

OwnCloud不在Ubuntu 14.10的存储库，但它在Ubuntu 14.04的存储库中。幸运的是，Ubuntu现在正在推出一个空包来移除ownCloud的易受攻击版本。 Kubuntu的Jonathan Riddell加强了必要的工作，化解了这种情况。

这种情况经常发生

这不是一次性问题，但这次

是

这是一个很大的问题，因为它是这是一款我们正在谈论的服务器软件 - 直接暴露在互联网上的软件，它可能会受到危害。

过去，我个人在Launchpad中直接向Ubuntu报告了一些安全漏洞。在最令人震惊的情况下，与Sun合作在Multiverse存储库中添加了Java版本，并在媒体上进行了热烈的讨论，Sun如何“在包装上直接与Canonical合作”，这是一个旧的易受攻击的软件包。即使他们发布了针对未来Ubuntu开发版的安全更新，Ubuntu也不认为他们的工作是为当前Ubuntu版本提供更新的安全Java版本。以下是2007年发布的可悲bug报告。

想要了解Linux，BSD，Chrome操作系统以及世界其他地区的更多信息吗？将世界加入超出Windows专栏页面或遵循我们的RSS提要 最终，各种不同的Linux发行版以及它们自己的软件包存储库和格式会产生问题。软件包通常由可随时离开的用户创建和维护。没有办法解决这个问题 - 这在Linux上是一个严重的问题。 谢天谢地，像Apache这样的通用服务器软件和像Firefox这样的桌面软件都更关注它们。例如，这些是Ubuntu上“主”存储库的一部分，Canonical致力于为其提供及时的安全更新。请注意社区支持的服务器软件。