Re: [devel] [#217095] FAILED del=libidn

Re: [devel] [#217095] FAILED del=libidn

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 975 bytes --]

On Fri, Nov 30, 2018 at 05:23:11AM +0000, Girar Builder awaiter robot wrote:
> http://git.altlinux.org/tasks/217095/logs/events.1.1.log
> 
> 2018-Nov-30 05:21:47 :: task #217095 for sisyphus started by ldv:
> #100 delete libidn
[...]
> 	ACLs of affected packages (18):
> cone	lakostis @everybody
> courier-imap	lakostis @everybody
> gnunet	lav viy @everybody
> gsasl	@nobody
> jabber-muc	alexsid @qa @everybody
> jabberd2	lakostis @everybody
> jxmpp	viy @everybody
> kde4-kopete	zerg @everybody
> kde5-kopete	zerg @everybody
> kdelibs	@nobody
> libgloox	drool @everybody
> mcabber	mithraen gns
> pidgin	shaba damned mike shrek @qa
> prosody	enp @everybody
> psi	greycat rider @everybody
> psi-plus	week @everybody
> swift	glebfm amike @everybody
> tin	mike @everybody

Просьба собрать эти пакеты с libidn2 вместо libidn.
В крайнем случае, если собрать с libidn2 совсем не получается,
собрать без libidn.  Пакет libidn будет удалён.


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [devel] [#217095] FAILED del=libidn

[Sergey V Turchin]

On Friday, 30 November 2018 15:16:24 MSK Dmitry V wrote:

[...]

> Просьба собрать эти пакеты с libidn2 вместо libidn.
> В крайнем случае, если собрать с libidn2 совсем не получается,
> собрать без libidn.
Там многие из них тогда без поддержни jabber останутся.
https://gitlab.com/libidn/libidn2/issues/28

> Пакет libidn будет удалён.


-- 
Regards, Sergey.

Re: [devel] [#217095] FAILED del=libidn

[Michael Shigorin]

On Fri, Nov 30, 2018 at 03:16:24PM +0300, Dmitry V. Levin wrote:
> > http://git.altlinux.org/tasks/217095/logs/events.1.1.log
> > tin	mike @everybody
> Просьба собрать эти пакеты с libidn2 вместо libidn.

checking for stringprep_check_version in -lidn... no
checking for idn_decodename in -lidnkit... no

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [devel] [#217095] FAILED del=libidn

[Alexey V. Vissarionov]

[-- Attachment #1: Type: text/plain, Size: 1329 bytes --]

On 2018-11-30 17:48:39 +0300, Michael Shigorin wrote:

 >> Просьба собрать эти пакеты с libidn2 вместо libidn.
 > checking for stringprep_check_version in -lidn... no
 > checking for idn_decodename in -lidnkit... no

Насколько я пони мяу, вариантов не так уж и много:

1. Собрать без сабжа. Я бы сделал именно так, но так надо
было делать с самого начала, ибо сейчас это превратится в
"аааааа!!!!11 поломали!!!!!!1" со стороны тех страдальцев,
которые вынуждены использовать кривые домены.

2. Пропатчить или дождаться патча от апстрима. Хорошо, но
ресурсоемко и слабо предсказуемо по времени.

3. Специально для софта, которому жизненно необходим сабж
первой версии, сделать libidn1-devel-static (именно static
и только devel): это позволит дождаться реализации пункта
номер 2 без потери функциональности и, что немаловажно, не
плодить при этом очередной зоопарк версий - софт, которому
нужна старая версия, перестает зависеть от сабжа, что дает
возможность спокойно обновлять оный.

В принципе, из всего списка интерес представляют разве что
jabberd2 и егойные клиенты (pidgin и psi): остальное можно
(а gsasl даже нужно) выкинуть фпень.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [devel] [#217095] FAILED del=libidn

[Dmitry V. Levin]

On Mon, Dec 03, 2018 at 06:13:30AM +0300, Alexey V. Vissarionov wrote:
[...]
> 3. Специально для софта, которому жизненно необходим сабж
> первой версии, сделать libidn1-devel-static (именно static
> и только devel): это позволит дождаться реализации пункта
> номер 2 без потери функциональности и, что немаловажно, не
> плодить при этом очередной зоопарк версий - софт, которому
> нужна старая версия, перестает зависеть от сабжа, что дает
> возможность спокойно обновлять оный.

Не надо никаких static, там уязвимости исправлять надо.


-- 
ldv

Re: [devel] [#217095] FAILED del=libidn

[Alexey V. Vissarionov]

[-- Attachment #1: Type: text/plain, Size: 1095 bytes --]

On 2018-12-03 06:20:19 +0300, Dmitry V. Levin wrote:

 >> 3. Специально для софта, которому жизненно необходим сабж
 >> первой версии, сделать libidn1-devel-static (именно static
 >> и только devel): это позволит дождаться реализации пункта
 >> номер 2 без потери функциональности и, что немаловажно, не
 >> плодить при этом очередной зоопарк версий - софт, которому
 >> нужна старая версия, перестает зависеть от сабжа, что дает
 >> возможность спокойно обновлять оный.

 > Не надо никаких static, там уязвимости исправлять надо.

Исправлять - надо. Но потеря функциональности - по определению
недопустимый риск (very high probability, very high impact). И
избежать его можно всего двумя способами: либо сознательным
снижением функциональности (сборка без сабжа; low probability,
high impact) до приемлемого уровня, либо принятием риска от
уязвимостей в сабже как допустимого (medium probability, medium
impact).


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [devel] [#217095] FAILED del=libidn

[Sergey V Turchin]

On Monday, 3 December 2018 06:13:30 MSK Alexey V wrote:

[...]
> В принципе, из всего списка интерес представляют разве что
> jabberd2
К сожалению, твои предпочтения мало кого интересуют из пользователей.

> и егойные клиенты (pidgin и 
> psi): остальное можно
libiris(ему нужен libidn, а не пакету psi), во всём подряд Qt-шном 
используется.

> (а gsasl даже нужно) выкинуть фпень.
Попробуй его выкинуть без jabberd2.

-- 
Regards, Sergey.

Re: [devel] [#217095] FAILED del=libidn

[Sergey V Turchin]

On Monday, 3 December 2018 06:13:30 MSK Alexey V wrote:
> On 2018-11-30 17:48:39 +0300, Michael Shigorin wrote:
>  >> Просьба собрать эти пакеты с libidn2 вместо libidn.
>  > 
>  > checking for stringprep_check_version in -lidn... no
>  > checking for idn_decodename in -lidnkit... no
> 
> Насколько я пони мяу, вариантов не так уж и много:
Немного больше.
4. Выделить stringprep в отдельную библиотеку, тогда патчить станет гораздо 
проще.
https://gitlab.com/libidn/libidn2/issues/28

Правда, я не знаю, не в ней ли сами грабли.

-- 
Regards, Sergey.

Re: [devel] [#217095] FAILED del=libidn

[Denis Medvedev]

On понедельник, 3 декабря 2018 г. 11:33:35 MSK Sergey V 
Turchin wrote:
> On Monday, 3 December 2018 06:13:30 MSK Alexey V 
wrote:
> > On 2018-11-30 17:48:39 +0300, Michael Shigorin wrote:
> >  >> Просьба собрать эти пакеты с libidn2 вместо 
libidn.
> >  > 
> >  > checking for stringprep_check_version in -lidn... no
> >  > checking for idn_decodename in -lidnkit... no
> > 
> > Насколько я пони мяу, вариантов не так уж и много:
> Немного больше.
> 4. Выделить stringprep в отдельную библиотеку, тогда 
патчить станет гораздо
> проще.
> https://gitlab.com/libidn/libidn2/issues/28
> 
> Правда, я не знаю, не в ней ли сами грабли.
Насколько я читал СVE, к сожалению, именно в ней...
Поэтому ее и выпилили.