[devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 771 bytes --]

On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> mozilla-plugin-adobe-flash - Adobe Flash Player
> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> - add Categories parameter to desktop-file
> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> - new version
> * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2

Серж, там remote code exec заткнули, а ты даже слово security
в %changelog не упомянул.

Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
но критичные исправления в безопасности -- хоть словом или двумя.

Настоятельная просьба касается всех участников команды.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Led]

2007/7/13, Michael Shigorin <mike@osdn.org.ua>:
> On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> > mozilla-plugin-adobe-flash - Adobe Flash Player
> > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> > - add Categories parameter to desktop-file
> > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> > - new version
> > * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
>
> Серж, там remote code exec заткнули, а ты даже слово security
> в %changelog не упомянул.
>
> Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> но критичные исправления в безопасности -- хоть словом или двумя.

Открой глаза: это ОБЫЧНАЯ практика.

> Настоятельная просьба касается всех участников команды.

Я, например, недавно узнал для себя, что в ffmpeg за последний год не
добавилось ни одного кодека (судя по %changelog) - "пацаны в
мейнстриме" просто тупо меняют местами строки в C-коде и от этого
получаются новые SVN-снапшоты в Сизифе:)

Рекомендую также обратить внимание на форк pulseaudio в Sisyphus. Если
ты думаешь, что pulseaudio-0.9.6.tar.gz на pulseaudio.org и в Sisyphus
- это одно и то же или очень похоже - ты глубоко ошибаешся. Если
думаешь, что куча строк
"%def_with ... и %{subst_with ...} в спеке несут хоть какую-то
смысловую нагрузку -ты тоже ошибаешся :(
Добро пожоловать в "резко повысившееся качество спеков/пакетов в связи
с использованием git" :(

-- 
Led.

Re: [devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Aleksey Novodvorsky]

On 7/13/07, Michael Shigorin <mike@osdn.org.ua> wrote:
> On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> > mozilla-plugin-adobe-flash - Adobe Flash Player
> > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> > - add Categories parameter to desktop-file
> > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> > - new version
> > * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
>
> Серж, там remote code exec заткнули, а ты даже слово security
> в %changelog не упомянул.
>
> Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> но критичные исправления в безопасности -- хоть словом или двумя.
>
> Настоятельная просьба касается всех участников команды.

Лучше бы это  оформить в виде полиси.

Rgrds, Алексей

Re: [devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Pavlov Konstantin]

[-- Attachment #1: Type: text/plain, Size: 1820 bytes --]

On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> 2007/7/13, Michael Shigorin <mike@osdn.org.ua>:
> > On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> > > mozilla-plugin-adobe-flash - Adobe Flash Player
> > > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> > > - add Categories parameter to desktop-file
> > > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> > > - new version
> > > * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
> >
> > Серж, там remote code exec заткнули, а ты даже слово security
> > в %changelog не упомянул.
> >
> > Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> > но критичные исправления в безопасности -- хоть словом или двумя.
> 
> Открой глаза: это ОБЫЧНАЯ практика.
> 
> > Настоятельная просьба касается всех участников команды.
> 
> Я, например, недавно узнал для себя, что в ffmpeg за последний год не
> добавилось ни одного кодека (судя по %changelog) - "пацаны в
> мейнстриме" просто тупо меняют местами строки в C-коде и от этого
> получаются новые SVN-снапшоты в Сизифе:)

Подозреваю, что в таком случае придется:
- в GUI-приложениях писать о появлении новых окошек
- в пакете kernel-image-* писать о появлении новых драйверов
- в glibc писать о появлении новых функций.

Подозреваю, что скилл человека, который хочет узнать о том, что
поддерживается, а что -- нет, достаточен для того, чтобы зайти на
оффициальную страницу проекта и почитать документацию / faq / whatever.

-- 
 * combr а есть кто специалист по беспроводному оборудованию?  хочу
   связать два дома 
<combr> по 802.11b. будут ли внешним антеннам мешать деревья? ;)
<drF_ckoff> "беспроводное оборудование" будет сосать, пока не изобретут
            "беспроводное электричество" =)

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] security fixes and %changelog

[Michael Shigorin]

On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> > Серж, там remote code exec заткнули, а ты даже слово security
> > в %changelog не упомянул.
> > Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> > но критичные исправления в безопасности -- хоть словом или двумя.
> Открой глаза: это ОБЫЧНАЯ практика.

Нет, это не обычная практика для тех людей, пакеты которых обычно
можно ставить и обновлять "вслепую".

Я не требую простыню с подробностями -- просто если при упаковке
новой версии или сборки _известно_, что она закрывает дырки -- 
хотя бы банальное "security fixes" или "security update" плюхнуть
можно?  Нужно.

> > Настоятельная просьба касается всех участников команды.
> Я, например, недавно узнал для себя, что в ffmpeg за последний
> год не добавилось ни одного кодека (судя по %changelog) -
> "пацаны в мейнстриме" просто тупо меняют местами строки в
> C-коде и от этого получаются новые SVN-снапшоты в Сизифе:)

Меня это не интересует.  Вот если в каком из кодеков сменой
порядка строк будет дырка заткнута -- то куда более как.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[devel] pulseaudio

[Michael Shigorin]

On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> Рекомендую также обратить внимание на форк pulseaudio в Sisyphus.

Его таки форкнули?  А чего именно от Сержа не домоглись, 
или просто слишком много доказывать приходится?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[devel] [PP] Re: security fixes and %changelog

[Michael Shigorin]

On Fri, Jul 13, 2007 at 05:54:50AM +0400, Aleksey Novodvorsky wrote:
> > Серж, там remote code exec заткнули, а ты даже слово security
> > в %changelog не упомянул.  Это _очень_ плохая практика.
> > Лучше забыть вписать всё остальное, но критичные исправления
> > в безопасности -- хоть словом или двумя.
> > Настоятельная просьба касается всех участников команды.
> Лучше бы это  оформить в виде полиси.

Довольно давно было добавлено к
http://wiki.sisyphus.ru/devel/spectips/ChangeLog; 
дописал ещё строчку, если претензий к этому тексту нет,
предлагаю сослаться на него с
http://www.freesource.info/wiki/AltLinux/Policy

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] security fixes and %changelog

[Igor Zubkov]

13.07.07, Michael Shigorin<mike osdn org ua> написал(а):
> On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> > > Серж, там remote code exec заткнули, а ты даже слово security
> > > в %changelog не упомянул.
> > > Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> > > но критичные исправления в безопасности -- хоть словом или двумя.
> > Открой глаза: это ОБЫЧНАЯ практика.
>
> Нет, это не обычная практика для тех людей, пакеты которых обычно
> можно ставить и обновлять "вслепую".

Тебе привести доказательства того что это обычная практика (по крайней
мере для некоторых)?

-- 
icesik

Re: [devel] security fixes and %changelog

[Michael Shigorin]

On Fri, Jul 13, 2007 at 10:13:16AM +0300, Igor Zubkov wrote:
> > > > Серж, там remote code exec заткнули, а ты даже слово
> > > > security в %changelog не упомянул.  Это _очень_ плохая
> > > > практика.  Лучше забыть вписать всё остальное, но
> > > > критичные исправления в безопасности -- хоть словом или
> > > > двумя.
> > > Открой глаза: это ОБЫЧНАЯ практика.
> > Нет, это не обычная практика для тех людей, пакеты которых
> > обычно можно ставить и обновлять "вслепую".
> Тебе привести доказательства того что это обычная практика (по
> крайней мере для некоторых)?

Вот к этим некоторым (всем вместе) и обращаюсь, поскольку пару
раз уже изрядно напрягало.

[...]

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1147 bytes --]

On Fri, Jul 13, 2007 at 05:54:50AM +0400, Aleksey Novodvorsky wrote:
> On 7/13/07, Michael Shigorin <mike@osdn.org.ua> wrote:
> > On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> > > mozilla-plugin-adobe-flash - Adobe Flash Player
> > > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> > > - add Categories parameter to desktop-file
> > > * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> > > - new version
> > > * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
> >
> > Серж, там remote code exec заткнули, а ты даже слово security
> > в %changelog не упомянул.
> >
> > Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> > но критичные исправления в безопасности -- хоть словом или двумя.
> >
> > Настоятельная просьба касается всех участников команды.
> 
> Лучше бы это  оформить в виде полиси.

Внимание, оформляю в виде полиси:

Если в обновлении пакета содержится security fix, то вам следует явно
написать об этом в %changelog пакета.

Оставляю за собой право заворачивать обновления пакетов, нарушающих это
правило.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] security fixes and %changelog

[Anton Farygin]

Dmitry V. Levin wrote:
> On Fri, Jul 13, 2007 at 05:54:50AM +0400, Aleksey Novodvorsky wrote:
>> On 7/13/07, Michael Shigorin <mike@osdn.org.ua> wrote:
>>> On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
>>>> mozilla-plugin-adobe-flash - Adobe Flash Player
>>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
>>>> - add Categories parameter to desktop-file
>>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
>>>> - new version
>>>> * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
>>> Серж, там remote code exec заткнули, а ты даже слово security
>>> в %changelog не упомянул.
>>>
>>> Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
>>> но критичные исправления в безопасности -- хоть словом или двумя.
>>>
>>> Настоятельная просьба касается всех участников команды.
>> Лучше бы это  оформить в виде полиси.
> 
> Внимание, оформляю в виде полиси:
> 
> Если в обновлении пакета содержится security fix, то вам следует явно
> написать об этом в %changelog пакета.
> 
> Оставляю за собой право заворачивать обновления пакетов, нарушающих это
> правило.

Как должна выглядеть запись, что бы её было удобно grep ?

Re: [devel] security fixes and %changelog

[Igor Zubkov]

В сообщении от Friday 13 July 2007 12:01:37 Michael Shigorin написал(а):
> On Fri, Jul 13, 2007 at 10:13:16AM +0300, Igor Zubkov wrote:
> > > > > Серж, там remote code exec заткнули, а ты даже слово
> > > > > security в %changelog не упомянул.  Это _очень_ плохая
> > > > > практика.  Лучше забыть вписать всё остальное, но
> > > > > критичные исправления в безопасности -- хоть словом или
> > > > > двумя.
> > > >
> > > > Открой глаза: это ОБЫЧНАЯ практика.
> > >
> > > Нет, это не обычная практика для тех людей, пакеты которых
> > > обычно можно ставить и обновлять "вслепую".
> >
> > Тебе привести доказательства того что это обычная практика (по
> > крайней мере для некоторых)?

qt4:
* Tue Apr 03 2007 Sergey V Turchin <zerg at altlinux dot org> 4.2.3-alt8

- add patch against UTF-8 bug

* Fri Mar 30 2007 Sergey V Turchin <zerg at altlinux dot org> 4.2.3-alt7

Это CVE-2007-0242.
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0242

Этот же баг относится к qt3:
* Mon Apr 02 2007 Sergey V Turchin <zerg at altlinux dot org> 3.3.8-alt5

- add patch against utf8 bug

* Thu Mar 29 2007 Sergey V Turchin <zerg at altlinux dot org> 3.3.8-alt4

avahi:
* Fri Jun 29 2007 Sergey V Turchin <zerg at altlinux dot org> 0.6.20-alt2

- reload dbus config instead of restart

* Tue Jun 26 2007 Sergey V Turchin <zerg at altlinux dot org> 0.6.20-alt1

- new version

* Tue May 22 2007 Sergey V Turchin <zerg at altlinux dot org> 0.6.19-alt1

Это CVE-2007-3372.
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3372

Так же, сюда можно добавить то, что в avahi не одна уязвомость было. Так же, 
была уязвимость в nvidia драйверах. Так же... Так же... Продолжать можно 
долго.

> Вот к этим некоторым (всем вместе) и обращаюсь, поскольку пару
> раз уже изрядно напрягало.

+1

-- 
icesik

Re: [devel] pulseaudio

[Igor Zubkov]

В сообщении от Friday 13 July 2007 09:45:07 Michael Shigorin написал(а):
> On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> > Рекомендую также обратить внимание на форк pulseaudio в Sisyphus.
>
> Его таки форкнули?  А чего именно от Сержа не домоглись,
> или просто слишком много доказывать приходится?

Майк, ты мне скажи, у тебя будет желание ковырятся в таком мусоре?

[icesik@iceberg SOURCES]$ diff -urN pulseaudio-0.9.6 pulseaudio-0.9.6.lioka > 
lioka.patch 
[icesik@iceberg SOURCES]$ cat lioka.patch | wc -l
131358
[icesik@iceberg SOURCES]$ 

git'ификация в полный рост.

-- 
icesik

Re: [devel] security fixes and %changelog

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1652 bytes --]

On Fri, Jul 13, 2007 at 02:36:44PM +0400, Anton Farygin wrote:
> Dmitry V. Levin wrote:
> > On Fri, Jul 13, 2007 at 05:54:50AM +0400, Aleksey Novodvorsky wrote:
> >> On 7/13/07, Michael Shigorin <mike@osdn.org.ua> wrote:
> >>> On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> >>>> mozilla-plugin-adobe-flash - Adobe Flash Player
> >>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> >>>> - add Categories parameter to desktop-file
> >>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> >>>> - new version
> >>>> * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
> >>> Серж, там remote code exec заткнули, а ты даже слово security
> >>> в %changelog не упомянул.
> >>>
> >>> Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> >>> но критичные исправления в безопасности -- хоть словом или двумя.
> >>>
> >>> Настоятельная просьба касается всех участников команды.
> >> Лучше бы это  оформить в виде полиси.
> > 
> > Внимание, оформляю в виде полиси:
> > 
> > Если в обновлении пакета содержится security fix, то вам следует явно
> > написать об этом в %changelog пакета.
> > 
> > Оставляю за собой право заворачивать обновления пакетов, нарушающих это
> > правило.
> 
> Как должна выглядеть запись, что бы её было удобно grep ?

Здесь (ещё?) нет универсального формата.
В случае обновления версии можно написать так:
http://git.altlinux.org/people/ldv/packages/?p=mutt.git;a=commit;h=1.4.2.3-alt1
Если приложен патч, то можно написать так:
http://git.altlinux.org/people/ldv/packages/?p=file.git;a=commit;h=4.20-alt5


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] pulseaudio

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 895 bytes --]

On Fri, Jul 13, 2007 at 01:51:16PM +0300, Igor Zubkov wrote:
> В сообщении от Friday 13 July 2007 09:45:07 Michael Shigorin написал(а):
> > On Fri, Jul 13, 2007 at 02:01:51AM +0300, Led wrote:
> > > Рекомендую также обратить внимание на форк pulseaudio в Sisyphus.
> >
> > Его таки форкнули?  А чего именно от Сержа не домоглись,
> > или просто слишком много доказывать приходится?
> 
> Майк, ты мне скажи, у тебя будет желание ковырятся в таком мусоре?
> 
> [icesik@iceberg SOURCES]$ diff -urN pulseaudio-0.9.6 pulseaudio-0.9.6.lioka > 
> lioka.patch 
> [icesik@iceberg SOURCES]$ cat lioka.patch | wc -l
> 131358

У меня есть пакеты, содержащие гораздо больше изменений.

<administrativia>
Игорь, перед отправкой сообщений в список рассылки не забывай, пожалуйста,
удалять фразы, которые могут показаться оскорбительнымидругим подписчикам.
</administrativia>


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] [wiki] /devel/SpecTips/ChangeLog (was: security fixes and %changelog)

[Michael Shigorin]

On Fri, Jul 13, 2007 at 03:03:39PM +0400, Dmitry V. Levin wrote:
> > Как должна выглядеть запись, что бы её было удобно grep ?
> Здесь (ещё?) нет универсального формата.

Добавил на wiki; есть мнение, что хорошо бы понемногу
договориться по общепринятому способу сообщения о закрытии
багов и дырок.

В launchpad для первого сделали (недавно капитально взрывали,
правда) автозакрытие багов в BTS по ченжлогу успешной сборки,
для второго -- где-то на вебе автоссылание сразу на нужную
страничку CVE.

По крайней мере второе когда-то будет хорошо сделать
в sisyphus.ru; сам остановился на "fixes #nnnnn".

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] security fixes and %changelog (was: [cyber] I: Sisyphus-20070713 packages: +5! +20 (6438))

[Konstantin A. Lepikhov]

[-- Attachment #1: Type: text/plain, Size: 534 bytes --]

Hi Pavlov!

Friday 13, at 09:49:44 AM you wrote:

> Подозреваю, что в таком случае придется:
> - в GUI-приложениях писать о появлении новых окошек
> - в пакете kernel-image-* писать о появлении новых драйверов
в kernel-image так и делается.

> - в glibc писать о появлении новых функций.
> 
> Подозреваю, что скилл человека, который хочет узнать о том, что
> поддерживается, а что -- нет, достаточен для того, чтобы зайти на
> оффициальную страницу проекта и почитать документацию / faq / whatever.


-- 
WBR et al.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]