Re: [devel] repocop: obsolete attacks test

[Igor Zubkov <igor.zubkov@gmail.com>]

27 октября 2009 г. 19:36 пользователь Igor Vlasenko написал:
> Уважаемые коллеги,
> новый тест репокопа. С добычей. :(
>
> http://repocop.altlinux.org/pub/repocop/reports/txt/by-test/rpm-package-is-obsoleted.txt
>
> предложен Игорем Зубковым.
>
> Помогает отслеживать в репозитории забытый мусор
> (пакет залит с новым именем, а старый остался)
> и тихие войны через Obsoletes:.
>
> Например, hd2u obsoletes dos2unix, но этот пакет жив здоров
> и находится в репозитории.
> Что, вообще говоря, не есть хорошо.
> Либо Obsoletes убрать, либо dos2unix удалить.
> Соответственно, на dos2unix вешается warning
> rpm-package-is-obsoleted
> а hd2u получает info: rpm-obsolete-live-package.
>
> Отдельный возможный случай -
> пакеты вроде бы и не нужны в репозитарии, а
> рука их выбросить не поднимается по разным причинам.
>
> В таком случае можно добваить список исключений.
>
> Предлагайте, я добавлю.

Я склонен считать что каждый пакет из списка rpm-obsolete-live-package
нарушает целостность репозитория и должен быть исправлен. info для
такого мало.

Если поставить dos2unix через:
apt-get install dos2unix

Пакет встанет и будет работать, но первый же dist-upgrade заменит его на hd2u.

Таким же образом можно провести атаку на репозиторий. К примеру, можно
заменить через такую схему любой базовый пакет в системе.

-- 
icesik