Re: [devel] security fixes and %changelog

["Dmitry V. Levin" <ldv@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 1652 bytes --]

On Fri, Jul 13, 2007 at 02:36:44PM +0400, Anton Farygin wrote:
> Dmitry V. Levin wrote:
> > On Fri, Jul 13, 2007 at 05:54:50AM +0400, Aleksey Novodvorsky wrote:
> >> On 7/13/07, Michael Shigorin <mike@osdn.org.ua> wrote:
> >>> On Fri, Jul 13, 2007 at 01:41:05AM +0400, QA Team Robot wrote:
> >>>> mozilla-plugin-adobe-flash - Adobe Flash Player
> >>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt2
> >>>> - add Categories parameter to desktop-file
> >>>> * Thu Jul 12 2007 Sergey V Turchin <zerg@altlinux> 9.0.48.0-alt1
> >>>> - new version
> >>>> * Mon Jan 22 2007 Sergey V Turchin <zerg@altlinux> 9.0.31.0-alt2
> >>> Серж, там remote code exec заткнули, а ты даже слово security
> >>> в %changelog не упомянул.
> >>>
> >>> Это _очень_ плохая практика.  Лучше забыть вписать всё остальное,
> >>> но критичные исправления в безопасности -- хоть словом или двумя.
> >>>
> >>> Настоятельная просьба касается всех участников команды.
> >> Лучше бы это  оформить в виде полиси.
> > 
> > Внимание, оформляю в виде полиси:
> > 
> > Если в обновлении пакета содержится security fix, то вам следует явно
> > написать об этом в %changelog пакета.
> > 
> > Оставляю за собой право заворачивать обновления пакетов, нарушающих это
> > правило.
> 
> Как должна выглядеть запись, что бы её было удобно grep ?

Здесь (ещё?) нет универсального формата.
В случае обновления версии можно написать так:
http://git.altlinux.org/people/ldv/packages/?p=mutt.git;a=commit;h=1.4.2.3-alt1
Если приложен патч, то можно написать так:
http://git.altlinux.org/people/ldv/packages/?p=file.git;a=commit;h=4.20-alt5


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]