Re: [devel] [git update] packages/gear: tags/compound_subst_stable

Re: [devel] [git update] packages/gear: tags/compound_subst_stable

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 922 bytes --]

On Tue, Aug 28, 2007 at 03:00:30AM +0400, Aleksey Morozov wrote:
> Update of /people/morozov/packages/gear.git
[...]
> Full diff since `1.2.5-alt1' follows:
[...]
> --- a/gear-sh-functions.in
> +++ b/gear-sh-functions.in
[...]
>  get_NVR_from_spec()
>  {
>  	local spec="$1" && shift
> +        local arg=${rpm_rclist:--q} # extra -q does't affect anything
>  
> -	spec_name="$(sed '/^name:[[:space:]]*/I!d;s///;q' "$spec")"
> -	spec_version="$(sed '/^version:[[:space:]]*/I!d;s///;q' "$spec")"
> -	spec_release="$(sed '/^release:[[:space:]]*/I!d;s///;q' "$spec")"
> +	spec_name=$($RPM "$arg" -q --qf '%{NAME}' --specfile "$spec")
> +	spec_version=$($RPM "$arg" -q --qf '%{VERSION}' --specfile "$spec")
> +	spec_release=$($RPM "$arg" -q --qf '%{RELEASE}' --specfile "$spec")

Это изменение противоречит архитектуре gear.
rpmquery --specfile даёт возможность выполнить произвольный код.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] [git update] packages/gear: tags/compound_subst_stable

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 633 bytes --]

* Dmitry V. Levin <ldv@> [070828 11:25]:
> > +	spec_name=$($RPM "$arg" -q --qf '%{NAME}' --specfile "$spec")
> > +	spec_version=$($RPM "$arg" -q --qf '%{VERSION}' --specfile "$spec")
> > +	spec_release=$($RPM "$arg" -q --qf '%{RELEASE}' --specfile "$spec")
> Это изменение противоречит архитектуре gear.
> rpmquery --specfile даёт возможность выполнить произвольный код.
К тому же при недостатке зависимостей rpmquery может просто не
суметь распарсить спек.

Но на самом деле очень неудобно, что в gear-rules нельзя
использовать полупроизвольные токены, типа svnrev, cvsdate и им
подобных...

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] [git update] packages/gear: tags/compound_subst_stable

[Alexey Tourbin]

[-- Attachment #1: Type: text/plain, Size: 1015 bytes --]

On Tue, Aug 28, 2007 at 08:41:58PM +0400, Alexey I. Froloff wrote:
> * Dmitry V. Levin <ldv@> [070828 11:25]:
> > > +	spec_name=$($RPM "$arg" -q --qf '%{NAME}' --specfile "$spec")
> > > +	spec_version=$($RPM "$arg" -q --qf '%{VERSION}' --specfile "$spec")
> > > +	spec_release=$($RPM "$arg" -q --qf '%{RELEASE}' --specfile "$spec")
> > Это изменение противоречит архитектуре gear.
> > rpmquery --specfile даёт возможность выполнить произвольный код.
> К тому же при недостатке зависимостей rpmquery может просто не
> суметь распарсить спек.
> 
> Но на самом деле очень неудобно, что в gear-rules нельзя
> использовать полупроизвольные токены, типа svnrev, cvsdate и им
> подобных...

Произвольные токены из %define в спеке?  Я об этом думал.
https://bugzilla.altlinux.org/show_bug.cgi?id=12387

Нужно уметь очень корректно распарсить %define, потому что
последующий define отменяет предыдущий %define (точнее,
перекрывает).  А последующий %define можно попробовать
оформить очень нестандартно.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]