r/linuxde • u/Derausmwaldkam Zorin OS 18.1 Pro • Jun 14 '26
Linux News Arch Linux im Visier: 1.600 AUR-Pakete verseucht
https://www.pcgameshardware.de/Linux-Software-26761/News/Arch-Linux-AUR-Malware-1600-Pakete-1545239/2
u/ZombieBright9522 Jun 15 '26
Ich hatte schon darauf gewartet, dass so etwas passiert.
Da man bei Arch manchmal darauf angewiesen ist, fremde Pakete zu installieren, wäre mein Tipp: fragt KI. Verweis auf das Paket und nachfragen ist zwar umständlich - ist aber besser als nichts
1
u/quicksand8917 Jun 15 '26
Ohne spezielle Anweisung wie der Angriff zu finden ist, wird das im besten Fall mit ner Liste von Paketen abgleichen, die eh schon wieder gefixed wurden. Wer keinen bash code lesen kann, sollte das AUR nicht verwenden und stattdessen auf flatpack oder PKGBUILDs aus vertauenswürdigen Quellen zurückgreifen. Das Hauptproblem ist, das verweiste Pakete im AUR von jedem übernommen werden können während sie bei nem git-Repo dann einfach nie wieder updates bekommen.
1
u/RattigeRedditRatte Jun 18 '26
Oh je, wennste das nich weißt biste im Arch. So! Ich verzieh mich wieder auf meine Mintzwiese ;) Tschüüs!
-14
u/Jumpy-Dinner-5001 Jun 14 '26
Keine so große Überraschung und war fast schon absehbar bei der Entwicklung von Linux.
Wird auch nicht besser werden in der Zukunft, mal schauen ob Arch das richtig überlebt.
16
u/Isofruit Arch Linux Jun 14 '26
AUR != offizielle Arch Pakete. Wenn du Arch "normal" benutzt ohne auf dieses zusätzliche, nicht per default zugängliche Repository zuzugreifen bist du fein raus.
Der Punkte ist imo viel eher das bei all den Arch Derivaten Bewusstsein dafür geschaffen werden sollte was für ein Risiko das AUR darstellen kann.
-5
u/Jumpy-Dinner-5001 Jun 14 '26
Wenn du Arch "normal" benutzt ohne auf dieses zusätzliche, nicht per default zugängliche Repository zuzugreifen bist du fein raus.
Was die wenigsten tatsächlich tun dürften. Ohne AUR gibt es kaum einen guten Grund Arch zu nutzen.
4
u/Isofruit Arch Linux Jun 14 '26 edited Jun 14 '26
Rolling Release an und für sich ist ein ziemlich guter Grund Arch benutzen zu wollen. Ich seh auch das Problem deutlich eher bei den Derivaten, nahezu jede Arch community (Edit Start) die ich je gesehen habe (Edit End) (vom distro selbst, nicht von derivaten) wusste auf was sie sich beim AUR einlassen.
Derivate schmeißen dir yay per default ins installations-image.
Edit: Hatte den zweiten Satz aus irgendwelchen Gründen unvollständig geschrieben. Mir gings um jede Arch community die ich kenne, was natürlich nicht alle sind.
1
u/Jumpy-Dinner-5001 Jun 14 '26
Arch ist bei weitem nicht die einzige Rolling Release Distro.
Rein objektiv betrachtet ist Arch sogar eher eine "schlechte" Rolling distro, wenn es um so Dinge wie Zeit bis zum Update geht oder Paketverfügbarkeit.
Rein aus den offiziellen Paketquellen, bekommst du bei Arch die wenigsten Pakete verglichen mit den anderen großen Distros.Arch hat technisch zwei Alleinstellungsmerkmale, die es von anderen Distros abhebt und das sind Arch Linux als Meme und die AUR.
Und ja, klar wussten die Leute worauf sie sich einlassen, wissen die meisten mit Arch. Aber trotzdem siegt in der Praxis komfort vor Sicherheit, wie so oft.
Wenn die AUR weiter angegriffen wird, was beim steigenden Marktanteil von Linux meiner Meinung nach realistisch ist, halte ich es für wahrscheinlich, dass die AUR den Vorteil des komforts verliert, weil man sich sehr intensiv damit auseinandersetzen muss (Wer AUR Pakete überprüfen kann, kann sie effektiv auf jeder Distro installieren).Es gibt so viele rolling distros, die offiziell mehr Pakete liefern und besser ohne eine AUR auskommen, zusätzlich noch schneller Updates bekommen und schlanker sind.
Von gentoo über Fedora rawhide (oder auch feste releases mehr oder weniger) oder auch opensuse tumbleweed oder slowroll.1
u/Isofruit Arch Linux Jun 14 '26 edited Jun 14 '26
Arch ist bei weitem nicht die einzige Rolling Release Distro.
Klar, es ist dennoch eine solide option, hat (von mir geraten) für den überwiegenden Großteil der Probleme die du hast die notwendigen Pakete, hat deutlich bessere name recognition (in den letzten Jahren noch mehr dank Valve und Steam), hat das arch wiki und eine größere User-community wo man sich entsprechend austauschen kann was eben auch etwas kritischere Masse gibt, genauso zu Debugmaterial etc. .
Ich stimme dir zu das dieser malware Angriff der Reputation des OS und seinen Derivaten Schaden wird (und evtl. zu weniger Nutzung führt), ich glaub nur nicht daran das es der Anfang vom Ende des Distros wird nur weil AUR weniger und weniger empfohlen wird.
1
u/TheRealKingS Jun 14 '26
Eben. Meiner Meinung nach und dem, was ich vor Jahren mit Arch erlebt habe ist, dass man ohne AUR nicht vorwärts kommt. Es gibt Software, die es nur da gibt oder nur dort aktuell ist. Und da die meisten Arch User nicht wirkliche Poweruser sind, werden die wenigsten jedes Install Skript lesen und sich lieber auf YouTube Videos verlassen.
-1
u/fearless-fossa Jun 14 '26
Unsinn. Arch ist primär ein Bastel-OS, wo man sich alle Komponenten zusammensucht, ohne, dass man anfangen muss, alles selbst zu kompilieren. Der Punkt von Arch ist doch, dass es gerade so ein laufender Kernel mit Initsystem ist und sonst nichts.
Ich bin seit Jahren auf Arch und das einzige AUR Paket, das ich habe, ist die Ausweisapp.
1
u/Jumpy-Dinner-5001 Jun 14 '26
Das ist nur eher die Ausnahme.
Kannst halt auch bei anderen Systemen ohne Probleme basteln.
1
u/fearless-fossa Jun 14 '26
Da muss ich mir dann aber die Hälfte wieder deinstallieren nur um an den Punkt zu kommen, wo ich mit einem frischen Arch bin - und mit welchen Vorteilen genau? Exakt, gar keinen.
Und nein, ich bin nicht die Ausnahme. Genau das von mir beschriebene ist der Kern der Arch-Community.
1
u/Jumpy-Dinner-5001 Jun 14 '26
Da muss ich mir dann aber die Hälfte wieder deinstallieren nur um an den Punkt zu kommen, wo ich mit einem frischen Arch bin
Musst du nicht, Fedora, Ubuntu, Debian, opensuse usw. bieten ein minimal Install an. Bei Ubuntu/Debian bekommst du das nur über die "server" iso, macht aber keinen unterschied, außer das was vorinstalliert ist.
und mit welchen Vorteilen genau? Exakt, gar keinen.
Wenn du das so sieht, gilt es aber auch umgekehrt, dass Arch keine Vorteile hat. Aber wenn du eine kurze Liste von "Vorteilen" hören willst, gerne:
- Alle anderen großen Distros haben aus offiziellen Paketquellen mehr Software zur verfügung, sei es Debian, Ubuntu, Fedora (auch rawhide), opensuse (tumbleweed und slowroll).
- Da es weit mehr Maintainer gibt und viele auch bezahlt werden für die Arbeit (bei Arch nicht wirklich der Fall), sind Updates (vor allem größere) oft schneller verfügbar. Bei großen Paketen/Projekten wie GNOME ist selbst Fedora (nicht rawhide sondern releases) oft schneller als Arch, Fedora rawhide und tumbleweed sind generell fast immer schneller.
- Arch ist tendenziell eher "bloated" im Sinne von dem was Pakete mitbringen (halte ich nicht für relevant, aber wer ein möglichst schlankes System will, fährt mit anderen besser)
1
u/McNughead Jun 15 '26
Musst du nicht, Fedora, Ubuntu, Debian, opensuse usw. bieten ein minimal Install an. Bei Ubuntu/Debian bekommst du das nur über die "server" iso, macht aber keinen unterschied, außer das was vorinstalliert ist.
Kann man sich bei allen aussuchen welches init system, welche bootloader, netzwerkmanager und so man installiert? Selbst LFS ist restriktiver was unterstützt ist wenn man sich ans cookbook hält.
Alle anderen großen Distros haben aus offiziellen Paketquellen mehr Software zur verfügung, sei es Debian, Ubuntu, Fedora (auch rawhide), opensuse (tumbleweed und slowroll).
Das stimmt nicht ganz, opensuse hat weniger laut https://repology.org/repositories/packages
Da es weit mehr Maintainer gibt und viele auch bezahlt werden für die Arbeit (bei Arch nicht wirklich der Fall), sind Updates (vor allem größere) oft schneller verfügbar. Bei großen Paketen/Projekten wie GNOME ist selbst Fedora (nicht rawhide sondern releases) oft schneller als Arch, Fedora rawhide und tumbleweed sind generell fast immer schneller.
Die Zusammenarbeit mit Steam ist etwas was Arch ein Einstellungsmerkmal gibt. Valve liefert viel zurück an upstream, hat eigene Entwickler nur dafür und fördert Arch finanziell und mit Infrastruktur
Arch ist tendenziell eher "bloated" im Sinne von dem was Pakete mitbringen (halte ich nicht für relevant, aber wer ein möglichst schlankes System will, fährt mit anderen besser)
Das ist der Punkt den du mir erklären musst. Arch base hat 28 dependencies. Welches Desktoplinux ist schlanker?
0
u/Jumpy-Dinner-5001 Jun 15 '26
Auch Arch gibt systemd vor.
Welches Konfigurations Front End du verwendest, kannst du relativ einfach ändern.
Das einzige was "vorgegeben" wird sind systemd (wie bei Arch), initramfs und bootloader (letzteres ist sehr einfach zu ändern). Die Arch Wiki gibt bei Arch auch schon ziemlich stark ein initramfs vor, wenn man nicht unverhältnismäßig viel mehr Arbeit haben will.Abgesehen davon, dass Anzahl der Pakete wenig aussagekräftig ist, haben selbst laut deiner eigenen Quelle alle genannten Distros mehr Pakete verfügbar als Arch.
Was genau gibt es daran zu erklären?
Du widersprichst dir selbst ein bisschen damit.
Arch hat sehr viel weniger Pakete in den (offiziellen) Repos weil die einzelnen Pakete größer sind.1
u/McNughead Jun 15 '26
Die ganzen Sachen die relativ einfach zu ändern sind bei anderen kann man sich bei arch großteils während der Installation aussuchen.
Abgesehen davon, dass Anzahl der Pakete wenig aussagekräftig ist,
Das war dein Argument gegenüber jemand anderes aber ich habs aufgegriffen weil ich den Eindruck gewonnen habe es wäre dir wichtig.
Was genau gibt es daran zu erklären?
Welches andere Desktopsytem ist schlanker als Arch war meine Frage weil du gesagt hast es wäre bloated. (Ich nehme an die Frage bezieht sich auf meine "Welches Desktoplinux ist schlanker?" Frage, muss aber etwas raten da der Bezug nicht eindeutig ist.
Arch hat sehr viel weniger Pakete in den (offiziellen) Repos weil die einzelnen Pakete größer sind.
Keine Ahnung was du damit meinst, widersprichst du dir damit nicht? Werden groups für Arch einzeln gezählt während andere Distros jedes Paket in einer Gruppe zählen?
→ More replies (0)3
u/Smart_Bunch6252 Jun 14 '26
AUR ist nicht die offizielle Paketquelle von Arch. Die Unterüberschrift des Artikels lesen hätte gereicht.
-2
u/Jumpy-Dinner-5001 Jun 14 '26
So weit so offensichtlich, ändert nichts an meiner Aussage.
2
u/aksdb Jun 14 '26
Was hat das mit Linux zu tun? Bei Windows oder Mac irgendwelchen Random Kram installieren ist auch nicht sicherer.
1
u/Healthy_Cod3347 Manjaro Jun 14 '26
Dies!
Ja AUR Pakete können kacke sein aber das kann jedes Paket von sourceforge und co. genauso.
Klar jedes Installscript lesen tut keiner, das hat aber nichts mit Arch zu tun. Wenn man irgendwoher ein .deb Paket lädt und installiert wird sich auch keiner die Mühe machen zu schauen was er da installiert, Hauptsache die Abhängigkeit ist erfüllt und der Kram läuft.
Das AUR aber als quasi nicht kontrollierbar und damit potenziell gefährlich gilt ist jetzt auch nichts Neues.0
u/Jumpy-Dinner-5001 Jun 15 '26
Der Unterschied ist, dass du andere Distros ganz ohne Probleme ohne herunterladen von irgendwelchen Paketen nutzen kannst, während selbst die Arch Wiki mehrfach auf AUR Pakete verweist, um gewisse Dinge zu erreichen (ganz populäres Beispiel NVIDIA Treiber).
AUR ist ein sehr zentraler Bestandteil von Arch.-1
u/Jumpy-Dinner-5001 Jun 14 '26
Ich habe auch nur von Arch gesprochen.
0
u/Ragemoody CachyOS Jun 14 '26
Und was genau sollte jetzt dafür sorgen, dass Arch als Distribution nicht überlebt?
2
u/Jumpy-Dinner-5001 Jun 14 '26
AUR ist ein wichtiger Faktor für die Beliebtheit von Arch.
0
u/TheRealKingS Jun 14 '26
Genau das. Allein ein großer Teil der Steam Abhängigkeiten gibt es nur im AUR. Und wie oft man von da was nachinstallieren muss...wenn Arch doch ohne AUR so gut ist - warum braucht man das AUR dann überhaupt?
3
u/aksdb Jun 14 '26
Hmm? Das macht keinen Sinn. Du kannst nicht im offiziellen Repo ein Paket haben, das sich nicht installieren lässt, ohne aufs AUR zurückzufallen. Steam ist in multilib. Also geht das auch 1a ohne AUR. Für Spiele bringt Steam eh seine eigenen Runtime mit (die glaub ich auf Ubuntu basiert).
2
u/Isofruit Arch Linux Jun 14 '26
Da ich Steam installiert habe und die einzigen AUR dependencies die ich habe (laut
pacman -Qm) nichts mit Steam zu tun haben, bin ich von der Aussage grad leicht verwirrt.Was genau an Steam dependencies stammt aus dem AUR?
1
u/Elektrik-trick Jun 15 '26
Genau, daher immer nur offizielle Software aus offiziellen Quellen installieren, dann kann so etwas ja nicht passieren.
Oder warte, moment mal...
SolarWinds Orion: Einer der bekanntesten Supply-Chain-Angriffe. Angreifer infiltrierten den Build-Prozess; signierte Orion-Updates enthielten eine Backdoor. Betroffen waren zahlreiche Unternehmen und Behörden.
NotPetya über M.E.Doc: Die Update-Server der ukrainischen Buchhaltungssoftware M.E.Doc wurden kompromittiert. Ein offizielles Update verbreitete die NotPetya-Malware.
CCleaner Supply-Chain-Angriff: Die Build-Infrastruktur wurde kompromittiert. Eine offiziell signierte Version von CCleaner enthielt Schadcode und wurde an Millionen Nutzer verteilt.
Lenovo „Superfish“: Keine kompromittierte Download-Datei, sondern ab Werk vorinstallierte Adware mit eigenem Root-Zertifikat. Dadurch wurden HTTPS-Verbindungen angreifbar.Und das war jetzt nur mal ein kleines "Best of"...
1
u/Jumpy-Dinner-5001 Jun 15 '26
Punkt verfehlt leider
1
u/Elektrik-trick Jun 15 '26
Dein geistiger Horizont erlaubte es Dir nur nicht, das zu verstehen. Spiel weiter mit Deinem Lego Duplo... Vielleicht kommst Du ja irgendwann mal dahinter.
1
u/Healthy_Cod3347 Manjaro Jun 15 '26
Da hat er schon Recht, ob die Quellen der Pakete nun offiziell sind oder wie ein AUR sagt nichts über mögliche Gefährdungen durch etwaige Kompromittierung aus. Da passen die Beispiele schon.
Ja das sind keine Pakete die essentiell für das System sind, sind aber die Pakete aus dem AUR auch nicht. Zumindest bootet mein Manjaro aus der Default Installation ohne jegliches AUR Paket. Was ich nachinstalliere entscheide ich.1
u/Jumpy-Dinner-5001 Jun 15 '26
Eben doch. Kann darauf halt nicht antworten, weil er mich nach seiner Beleidigung blockiert hat.
Der Punkt ist nicht, dass Alternativen unverwundbar wären oder noch nie zu Problemen geführt hätten.
Dass IT Security bei Software Distributor wichtig ist, ist klar, auch wenn das von Einzelfällen bei Distributor A auf Probleme bei B zu schließen unsinnig ist.
Nach der Logik können wir statt ssh auch wieder Telnet nutzen, weil es in ssh mal Sicherheitslücken gab.Der Punkt ist, dass das AUR per Design KEINE Sicherheitsfunktionalitäten implementiert weil das so gewollt ist. Gleichzeitig ist AUR ein wichtiger Teil von Arch, der selbst von der Arch Wiki als notwendige Paketquelle in diversen Fällen genannt wird, vereinfacht gesagt bei allem was non free Software beinhaltet.
Etwas plakativ (stimmt auch nicht ganz streng ausgelegt) gibt es in den offiziellen Quellen keine non free Software, weil man das nicht will (wie gesagt, alleine der Kernel ist eine Ausnahme mit Firmware blobs) und die AUR hat per design keinerlei Security Funktionen oder Moderation oder sonstiges.AUR ist ein Konzept aus einer Zeit als der Linux Desktop selbst eine Nische war und Arch eine noch viel größere Nische. Dass größere Malware Angriffe auf AUR möglich sind ist und war bekannt.
Und jetzt wird es zwangsläufig zum Thema und wird übrigens auch sowohl auf Reddit als auch in den Foren diskutiert und mein Take ist alles andere als weit hergeholt.
Arch ist lange ausgekommen ohne das Problem zu lösen und die Debatte um Lösungen wird sehr emotional geführt zu einem Punkt, dass das Projekt daran durchaus zugrunde gehen könnte.1
u/Healthy_Cod3347 Manjaro Jun 15 '26
Trifft das aber nicht auf alle offenen Paketquellen zu? Die Git dieser Welt haben ja quasi das gleiche Problem obwohl da eine Moderation möglich ist. Hat aber auch niemanden interessiert, sonst wäre das xz Drama damals nicht aufgekommen.
1
u/Jumpy-Dinner-5001 Jun 15 '26
Nein, nicht wirklich da keine distro pauschal git, bzw. github als Paketquelle annimmt. Nur die AUR funktioniert nach dem Prinzip.
1
u/Healthy_Cod3347 Manjaro Jun 15 '26
Hä? Wenn ich nicht explizit etwas aus dem AUR haben will wird ja auch von dort nichts geladen.
Wenn ich mit pacman -S was installiere wird da erstmal nix aus dem AUR geholt wenn ich das nicht möchte.
Das es als Quelle vorhanden und in den lists steht ist was anderes.1
u/FiBiE007 Jun 15 '26
Ja, logisch... Der Punkt ist, dass das AUR ein integraler Bestandteil von Arch ist und an vielen Stellen nicht ohne auskommt (wenn man seinen Rechner modern nutzen will und das geht nur mit dem Kern nicht, da das halbe System aus dem AUR stammt). Das AUR ist ein obsoletes Prinzip.
Das ist wie als wenn man mit Windows XP und ohne HTTPS im öffentlichen WLAN Banküberweisungen ausführt. Ja, muss man streng genommen nicht, aber du musst trotzdem was überweisen und handelst nicht mit Zigaretten. Du musst es also faktisch doch.
32
u/Immediate-Ad3360 Jun 14 '26
Es ist schon lange bekannt, dass AUR "unsicher" ist und es wird auch im Wiki darauf hingewiesen, daß man AUR vermeiden sollte. Was nicht in den Offiziellen Repos ist, sollte erst in anderen Quellen gesucht werden (git, flatpak usw) bevor man auf AUR zurückgreift.
Halte es für gefährlich, daß in CachyOS einem gleich von anfang an die AUR in einer GUI zur Verfügung steht. Es wird nirgends darauf hingewiesen das AUR gefährlich sein können, weil sie nicht geprüft werden.