Re: [devel] severity "security"

["Nikolay A. Fetisov" <naf@altlinux.ru>]

[-- Attachment #1: Type: text/plain, Size: 1722 bytes --]

On Mon, 02 Oct 2006 20:10:09 +0300
Andrew Kornilov wrote:

> ....
> >Пойдите на http://cve.mitre.org/cve/ и посмотрите.
> >  
> Там не всё. Вот только что приехала уязвимость на OpenVPN: DoS, System 
> Access; на mitre.org её нет. 

Пример не удачный, если Вы об этом:
http://secunia.com/advisories/22232/ ,
"The OpenVPN Windows Installer prior to 2.0.9 includes vulnerable
versions of the OpenSSL DLL files."

К сборкам OpenVPN в Sisyphus, Compact 3.0 и Master 2.4 данная
уязвимость отношения напрямую не имеет; ошибки в библиотеках
OpenSSL закрыты в Sisyphus и Master 2.4.

Просто так обновлять пакет до 2.0.9 я большого смысла не вижу, в
Unix-коде там не было изменений с 2.0.7, т.е. с  апреля этого года.


> Что мне делать? Ждать, когда об этом узнает майнтейнер, 
> повесить баг, пересобрать самому?

Как уже было сказано, наверное, стоило бы:
- сообщить майнтейнеру,
- повесить ошибку в bugzilla, с указанием источника сообщения об
уязвимости и описанием её,
- далее, по возможности/желанию/прочему - сборка исправленной версии, с
размещением патчей как приложений к ошибке.


-- 
С уважением,	
Николай Фетисов

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 189 bytes --]