Re: [devel] JFYI: kernel modules build on git.eter

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1806 bytes --]

On Sun, Jul 17, 2011 at 03:19:58AM +0400, Evgeny Sinelnikov wrote:
> Здравствуйте,
> 
> хочу поделиться информацией о том, что я реализовал на сервере
> git.etersoft.ru сборку модулей ядра в виде специальной команды. Сборка
> модулей основана на текущей схеме сборки модулей и скриптах из
> kernel-build-tools.
> 
> В простейшем случае механизмом воспользоваться можно следующим образом:
> $ ssh git.eter kmod kernel-modules ovz-eter nvidia
> new task #1236: owner=sin repo=sisyphus
> /var/spool/girar/tasks/1236
> fetching module template "template/nvidia/sisyphus" from
> /people/sin/packages/kernel-modules.git... done
> generating pkg.tar for kernel-modules.git tag
> "kernel-modules-nvidia-ovz-eter-275.09.07-alt2.132640.26.eter1"... done
> task #1236: added #100: build module "kernel-modules-nvidia-ovz-eter" with
> tag "kernel-modules-nvidia-ovz-eter-275.09.07-alt2.132640.26.eter1" from
> /people/sin/packages/kernel-modules.git
> task #1236: try #1 queued, result will be emailed to sin@etersoft.ru
> 
> Собственно, я не предполагаю, что это срочно нужно перенести на git.alt.
> Скорее, я рассчитываю, что это даст тему для обсуждения, и может стать
> дополнительной темой на конференции, как минимум в кулуарах.
> 
> Наработки доступны здесь:
> http://git.altlinux.org/people/sin/packages/girar.git

Там используется subst_module_spec(), скопированный из kernel-build-sh-functions.
Надеюсь, вы помните, что там есть вызов утилиты add_changelog, который равносилен
исполнению произвольного кода на сервере?

Когда мы разрабатывали GEAR, свойство обработки репозитория без использования
средств, равносильных исполнению произвольного кода, было ключевым для
того, чтобы GEAR можно было применять к сторонним репозиториям, в
частности, на сервере.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 510 bytes --]

On Tue, Jul 19, 2011 at 12:41:42AM +0400, Dmitry V. Levin wrote:

DVL> Там используется subst_module_spec(), скопированный из kernel-build-sh-functions.
DVL> Надеюсь, вы помните, что там есть вызов утилиты add_changelog, который равносилен
DVL> исполнению произвольного кода на сервере?

Э... а почему вызов этой утилиты равносилен исполнению произвольного кода
на сервере?

-- 
С уважением, Денис

http://mithraen.ru/
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 532 bytes --]

On Fri, Jul 22, 2011 at 12:58:09AM +0400, Денис Смирнов wrote:
> On Tue, Jul 19, 2011 at 12:41:42AM +0400, Dmitry V. Levin wrote:
> 
> DVL> Там используется subst_module_spec(), скопированный из kernel-build-sh-functions.
> DVL> Надеюсь, вы помните, что там есть вызов утилиты add_changelog, который равносилен
> DVL> исполнению произвольного кода на сервере?
> 
> Э... а почему вызов этой утилиты равносилен исполнению произвольного кода
> на сервере?

add_changelog -> stamp_spec -> rpm --specfile -> sh.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Igor Vlasenko]

On Fri, Jul 22, 2011 at 01:07:02AM +0400, Dmitry V. Levin wrote:
> On Fri, Jul 22, 2011 at 12:58:09AM +0400, Денис Смирнов wrote:
> > DVL> Там используется subst_module_spec(), скопированный из kernel-build-sh-functions.
> > DVL> Надеюсь, вы помните, что там есть вызов утилиты add_changelog, который равносилен
> > DVL> исполнению произвольного кода на сервере?

можно заменить add_changelog на равносильный вызов
$ srpmnmu -i --next-release-policy=none --changelog '- some text' /path/to.spec
у которого реализация add_changelog чисто перловая.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine


-- 
This message has been scanned for viruses and
dangerous content by MailScanner, and is
believed to be clean.

Re: [devel] JFYI: kernel modules build on git.eter

[Rinat Bikov]

22 июля 2011 г. 21:47 Igor Vlasenko написал:
> можно заменить add_changelog на равносильный вызов
> $ srpmnmu -i --next-release-policy=none --changelog '- some text' /path/to.spec
> у которого реализация add_changelog чисто перловая.
А это не будет равносильно выполнению произвольного перлового кода на
стороне сервера?

-- 
С уважением, Ринат Биков.

Re: [devel] JFYI: kernel modules build on git.eter

[Igor Vlasenko]

On Fri, Jul 22, 2011 at 10:45:42PM +0400, Rinat Bikov wrote:
> 22 июля 2011 г. 21:47 Igor Vlasenko написал:
> > можно заменить add_changelog на равносильный вызов
> > $ srpmnmu -i --next-release-policy=none --changelog '- some text' /path/to.spec
> > у которого реализация add_changelog чисто перловая.
> А это не будет равносильно выполнению произвольного перлового кода на
> стороне сервера?

Если я в коде напортачу, то да. А так нет.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine


-- 
This message has been scanned for viruses and
dangerous content by MailScanner, and is
believed to be clean.

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 804 bytes --]

On Fri, Jul 22, 2011 at 08:47:17PM +0300, Igor Vlasenko wrote:
> On Fri, Jul 22, 2011 at 01:07:02AM +0400, Dmitry V. Levin wrote:
> > On Fri, Jul 22, 2011 at 12:58:09AM +0400, Денис Смирнов wrote:
> > > DVL> Там используется subst_module_spec(), скопированный из kernel-build-sh-functions.
> > > DVL> Надеюсь, вы помните, что там есть вызов утилиты add_changelog, который равносилен
> > > DVL> исполнению произвольного кода на сервере?
> 
> можно заменить add_changelog на равносильный вызов
> $ srpmnmu -i --next-release-policy=none --changelog '- some text' /path/to.spec
> у которого реализация add_changelog чисто перловая.

Насколько надежно в таком случае srpmnmu может вычислить
'%|serial?{%{serial}:}|%{version}-%{release}'
используемый для формирования %changelog'а?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1396 bytes --]

On Fri, Jul 22, 2011 at 11:31:59PM +0400, Evgeny Sinelnikov wrote:
> 22 июля 2011 г. 23:17 пользователь Dmitry V. Levin написал:
> > On Fri, Jul 22, 2011 at 08:47:17PM +0300, Igor Vlasenko wrote:
> > > On Fri, Jul 22, 2011 at 01:07:02AM +0400, Dmitry V. Levin wrote:
> > > > On Fri, Jul 22, 2011 at 12:58:09AM +0400, Денис Смирнов wrote:
> > > > > DVL> Там используется subst_module_spec(), скопированный из
> > kernel-build-sh-functions.
> > > > > DVL> Надеюсь, вы помните, что там есть вызов утилиты add_changelog,
> > который равносилен
> > > > > DVL> исполнению произвольного кода на сервере?
> > >
> > > можно заменить add_changelog на равносильный вызов
> > > $ srpmnmu -i --next-release-policy=none --changelog '- some text'
> > /path/to.spec
> > > у которого реализация add_changelog чисто перловая.
> >
> > Насколько надежно в таком случае srpmnmu может вычислить
> > '%|serial?{%{serial}:}|%{version}-%{release}'
> > используемый для формирования %changelog'а?
> >
> У меня используется свой вариант girar-stamp-spec, но проблема там та же.
> Возможность вероятного трояна, если я правильно понял, состоит в том, что в
> сборочных секциях может быть, по сути, любой скрипт, а соответственно и код.

В любой части спекфайла может встретиться вычисление выражения, которое
приведет к исполнению произвольного shell-кода при запуске rpm --specfile.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 914 bytes --]

On Sat, Jul 23, 2011 at 12:22:34AM +0400, Evgeny Sinelnikov wrote:
> 22 июля 2011 г. 23:56 пользователь Dmitry V. Levin написал:
[...]
> > В любой части спекфайла может встретиться вычисление выражения, которое
> > приведет к исполнению произвольного shell-кода при запуске rpm --specfile.
> >
> Я предлагаю их исключить при вычислении NVR всё лишнее.

Это сложно.  Вы либо теряете поддержку вполне легальных конструкций,
либо сохраняете поддержку исполнения произвольного shell-кода.

По шаблонам kernel-модулей можно, наверное, договориться и привести
их все к простому виду, который легко парсится без помощи rpm.

> Примерно так:
> $ grep -e '^[Nn]ame:.*' -e '^[Vv]ersion:.*' -e '^[Rr]elease:.*' -e
> '^[Gg]roup:.*' -e '^[Ll]icense:.*' -e '^[Ss]ource:.*' -e '^[Ss]ummary:.*' -e
> '^%define.*' -e '^%description.*' <girar.spec
> %define tratata ng

%define tratata %(echo ng)


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1358 bytes --]

On Sat, Jul 23, 2011 at 04:20:48AM +0400, Evgeny Sinelnikov wrote:
> 23 июля 2011 г. 3:24 пользователь Dmitry V. Levin написал:
> > On Sat, Jul 23, 2011 at 12:22:34AM +0400, Evgeny Sinelnikov wrote:
> > > 22 июля 2011 г. 23:56 пользователь Dmitry V. Levin написал:
> > [...]
> > > > В любой части спекфайла может встретиться вычисление выражения, которое
> > > > приведет к исполнению произвольного shell-кода при запуске rpm
> > --specfile.
> > > >
> > > Я предлагаю их исключить при вычислении NVR всё лишнее.
> >
> > Это сложно.  Вы либо теряете поддержку вполне легальных конструкций,
> > либо сохраняете поддержку исполнения произвольного shell-кода.
> >
> В общем случае, это так, но gear всё равно ограничивает возможности и не
> подставляет всё. Так что мы, в любом случае, ограничены тем, что может
> раскрыть gear --describe. Думаю, этим подмножеством и можно ограничиться.
> 
> > По шаблонам kernel-модулей можно, наверное, договориться и привести
> > их все к простому виду, который легко парсится без помощи rpm.

Об этом и речь.  Если мы соглашаемся не использовать в спек-файлах
шаблонов kernel-модулей конструкций, которые не обрабатывает gear, то,
с одной стороны, обрабатывать такие шаблоны будет проще, но, с другой
стороны, мы лишаем себя возможности использовать всю полноту языка
rpm-спекфайлов.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Michael Shigorin]

On Sat, Jul 23, 2011 at 12:26:16PM +0400, Dmitry V. Levin wrote:
> > В общем случае, это так, но gear всё равно ограничивает
> > возможности и не подставляет всё. Так что мы, в любом случае,
> > ограничены тем, что может раскрыть gear --describe. Думаю,
> > этим подмножеством и можно ограничиться.
> Об этом и речь.  Если мы соглашаемся не использовать в
> спек-файлах шаблонов kernel-модулей конструкций, которые не
> обрабатывает gear, то, с одной стороны, обрабатывать такие
> шаблоны будет проще, но, с другой стороны, мы лишаем себя
> возможности использовать всю полноту языка rpm-спекфайлов.

Если такая полнота не даёт возможность разумной автоматизации,
то она может быть менее выигрышным вариантом.

По крайней мере затык с ядрами vs модулями в 5.1 заметно подорвал
к нему доверие, а причина была вполне будничной -- более новые
версии соответствующего юзерспейса.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 608 bytes --]

On Sat, Jul 23, 2011 at 08:17:58PM +0400, Evgeny Sinelnikov wrote:
[...]
> Вкратце, этот вариант (ssh git.eter task add [id] branch [master])
> позволяет:
> - не делать специальные коммиты для увеличения релизов (релизы увеличиваются
> автоматически на основании текущего в репозитории);
> - не делать подписанные теги (тег делает сам girar), что упрощает частую
> пересборку и необходимый порог для начала работы со сборочной системой
> (пересобирающему вообще можно не иметь gpg-подписи);

А действительно ли это хорошо -- иметь возможность отправить на сборку
пакет без подписи?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

[devel] [JT] чудеса в %release бэкпортов

[Michael Shigorin]

On Sat, Jul 23, 2011 at 08:27:20PM +0400, Evgeny Sinelnikov wrote:
> /5.0/branch/files/i586/RPMS/libuniset-1.0-alt41.M50.42.Build2.i586.rpm

Кто бы ещё напомнил, откуда (и зачем) выросло "42",
если по [[Backports policy]] вместо "42.Build2"
следовало просто ставить "2"...

(для определения релиза, который бэкпортился, достаточно
прибавить единичку к alt41, и требование, из которого это
вытекает, имеет чисто техническую природу обеспечения
"младшести" при сравнении бранчевой и сизифной версий)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] JFYI: kernel modules build on git.eter

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 381 bytes --]

On Sat, Jul 23, 2011 at 08:27:20PM +0400, Evgeny Sinelnikov wrote:
> Да, я там ввёл ещё такую возможность, как вставка суффикса для бранча, в
> итоге бекпортирование выглядит совершенно тривиально и не требует никаких
> действий вообще.

На тему тривиального бэкпортирования, что вы думаете о предложенном в
https://bugzilla.altlinux.org/show_bug.cgi?id=20912


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [devel] JFYI: kernel modules build on git.eter

[Michael Shigorin]

On Mon, Jul 25, 2011 at 01:18:38AM +0400, Dmitry V. Levin wrote:
> > Да, я там ввёл ещё такую возможность, как вставка суффикса
> > для бранча, в итоге бекпортирование выглядит совершенно
> > тривиально и не требует никаких действий вообще.
> На тему тривиального бэкпортирования, что вы думаете о предложенном в
> https://bugzilla.altlinux.org/show_bug.cgi?id=20912

Недавно распробовал gear-hsh --commit наконец.
А механическое бэкпортирование и впрямь штука надоедливая.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] JFYI: kernel modules build on git.eter

[Michael Shigorin]

On Fri, Jul 22, 2011 at 11:56:24PM +0400, Dmitry V. Levin wrote:
> В любой части спекфайла может встретиться вычисление выражения, которое
> приведет к исполнению произвольного shell-кода при запуске rpm --specfile.

Можно ещё попробовать применить вариант а-ля libnoch,
только заглушить не {f,}{chmod,chown}, а *exec.

Хотя вообще-то напрашивается ручка к rpm, которая бы отключала
попытки запуска кода.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] JFYI: kernel modules build on git.eter

[Igor Vlasenko]

On Fri, Jul 22, 2011 at 11:17:16PM +0400, Dmitry V. Levin wrote:
> > можно заменить add_changelog на равносильный вызов
> > у которого реализация add_changelog чисто перловая.
> 
> Насколько надежно в таком случае srpmnmu может вычислить
> '%|serial?{%{serial}:}|%{version}-%{release}'
> используемый для формирования %changelog'а?

Достаточно надежно. Epoch там по тегам Serial/Epoch вычисляется.
Проблемы могут быть, если в тегах достаточно навороченные конструкции
макросов. Условные конструкции будут раскрываться, но вот выражения вида 
Version: %{get_version bla-bla}
оно не раскроет.

И еще добавил ключ --safe-mode (это 0.64) так как в 0.63
по умолчанию таки использоался rpm -bE, что было то же самое
с точки зрения безопасности, что и add_changelog.

теперь вызов выглядит как
srpmnmu -i --safe-mode --next-release-policy=none --changelog '- some text' /path/to.spec

конечно, srpmnmu предназначен не для замены add_changelog,
и там слишком много лишнего.
Если будет интерес, я мог бы добавить отдельную утилиту, 
что-то вроде add_changelog_safe.

-- 

Dr. Igor Vlasenko
--------------------
Topology Department
Institute of Math
Kiev, Ukraine


-- 
This message has been scanned for viruses and
dangerous content by MailScanner, and is
believed to be clean.