Wie für andere hochwertige Betriebssysteme auch werden für FreeBSD Sicherheitshinweise
herausgegeben. Die Hinweise werden gewöhnlich auf den Sicherheits-Mailinglisten und in
den Errata veröffentlicht, nachdem das Sicherheitsproblem behoben ist. Dieser Abschnitt
beschreibt den Umgang mit den Sicherheitshinweisen.
Der nachstehende Sicherheitshinweis stammt von der Mailingliste freebsd-security-notifications:
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
CVE Name: CVE-XXXX-XXXX
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.FreeBSD.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. References

- Das Feld Topic enthält eine Beschreibung des
Sicherheitsproblems und benennt das betroffene Programm.

- Das Feld Category beschreibt den betroffenen Systemteil.
Mögliche Werte für dieses Feld sind core, contrib oder ports. Die Kategorie core gilt für Kernkomponenten des FreeBSD-Betriebssystems, die Kategorie
contrib beschreibt zum Basissystem gehörende Software
Dritter beispielsweise sendmail. Die Kategorie ports beschreibt Software, die Teil der Ports-Sammlung ist.

- Das Feld Module beschreibt die betroffene Komponente. Im
Beispiel ist sys angegeben, das heißt dieses Problem
betrifft eine Komponente, die vom Kernel benutzt wird.

- Das Feld Announced gibt den Zeitpunkt der Bekanntgabe des
Sicherheitshinweises an. Damit existiert das Sicherheitsproblem, ist vom
Sicherheits-Team bestätigt worden und eine entsprechende Korrektur wurde in das
Quellcode-Repository von FreeBSD gestellt.

- Das Feld Credits gibt die Person oder Organisation an, die
das Sicherheitsproblem bemerkte und gemeldet hat.

- Welche FreeBSD-Releases betroffen sind, ist im Feld Affects angegeben. Die Version einer Datei, die zum Kernel gehört,
können Sie schnell mit ident ermitteln. Bei Ports ist die
Versionsnummer angegeben, die Sie im Verzeichnis /var/db/pkg
finden. Wenn Sie Ihr System nicht täglich aktualisieren, ist Ihr System
wahrscheinlich betroffen.

- Wann das Problem in welchem Release behoben wurde, steht im Feld Corrected.

- Reserviert für Informationen, über die in der Common Vulnerabilities Database nach Sicherheitslücken gesucht
werden kann.

- Im Feld Background wird das betroffene Werkzeug
beschrieben. Meist finden Sie hier warum das Werkzeug Bestandteil von FreeBSD ist,
wofür es benutzt wird und eine kurze Darstellung der Herkunft des Werkzeugs.

- Im Feld Problem Description befindet sich eine genaue
Darstellung des Sicherheitsproblems. Hier wird fehlerhafter Code beschrieben oder
geschildert, wie ein Werkzeug ausgenutzt wird.

- Das Feld Impact beschreibt die Auswirkungen des
Sicherheitsproblems auf ein System, beispielsweise erweiterte Rechte oder gar
Superuser-Rechte für normale Benutzer.

- Im Feld Workaround wird eine Umgehung des
Sicherheitsproblems beschrieben. Die Umgehung ist für Administratoren gedacht, die
ihr System aus Zeitnot, Netzwerk-technischen oder anderen Gründen nicht aktualisieren
können. Nehmen Sie Sicherheitsprobleme ernst: Auf einem betroffenen System sollte das
Problem entweder behoben oder, wie hier beschrieben, umgangen werden.

- Im Feld Solution enthält eine getestete
Schritt-für-Schritt Anleitung, die das Sicherheitsproblem behebt.

- Das Feld Correction Details enthält die CVS-Tags der
betroffenen Dateien zusammen mit zugehörigen Revisionsnummern.

- Im Feld References finden sich Verweise auf weitere
Informationsquellen. Dies können URLs zu Webseiten, Bücher, Mailinglisten und
Newsgroups sein.