Debian: il repository multimediale non ufficiale è considerato insicuro

Il progetto Debian avverte gli utenti che il repository Debian Multimedia ufficiale dovrebbe essere considerato insicuro. Secondo i manutentori Debian, il dominio debian-multimedia.org non è più utilizzato dai gestori precedenti ed è ora a nome di qualcuno sconosciuto. Ciò significa che il repository non è più sicuro e gli utenti dovrebbero rimuoverlo dal loro file sources.list il prima possibile.

Nel suo annuncio, il progetto Debian raccomanda agli utenti di controllare i propri sistemi eseguendo:

grep debian-multimedia.org /etc/apt/sources.list/etc/apt/sources.list.d/*

che mostrerà debian-multimedia.org nel suo output se l'utente ha questo repository abilitato. Nel frattempo, lo sviluppatore Steve Kemp ha chiesto alla comunità di creare uno strumento per manipolare facilmente le voci nel file sources.list. Per il momento, gli utenti Debian devono modificare i sorgenti del loro repository con un editor di testo.

L'utilizzo di archivi non ufficiali rappresenta sempre un rischio per la sicurezza e questo esempio mostra chiaramente uno dei motivi, poiché il progetto in generale non ha alcun controllo su tali archivi.

Considerando che i nuovi proprietari del dominio debian-multimedia.org probabilmente non avranno accesso alle chiavi di firma per il repository scaduto, il rischio per la sicurezza è mitigato finché gli utenti non installano i pacchetti non firmati. In ogni caso, si consiglia di rimuovere il repository dal file sources.list il prima possibile.

fonte: Debian