[devel] Inconvenient seccomp (Was: I: glibc 2.32 && sisyphus snapshot publication skip)

["Vladimir D. Seleznev" <vseleznv@altlinux.org>]

On Fri, Dec 18, 2020 at 06:38:47PM +0300, Gleb Fotengauer-Malinovskiy wrote:
> Hi,
> 
> On Thu, Dec 17, 2020 at 02:30:25PM +0000, Girar awaiter (glebfm) wrote:
> > http://git.altlinux.org/tasks/263483/logs/events.8.1.log
> > 
> > 2020-Dec-17 14:16:56 :: test-only task #263483 for sisyphus resumed by glebfm:
> > 2020-Dec-17 14:16:56 :: message: Update glibc; drop FTBFS packages blocking this update.
> > #100 removed
> > #200 removed
> > #300 build 2.32-alt1 from /people/glebfm/packages/glibc.git fetched at 2020-Dec-16 19:12:07
> 
> On Thu, Dec 17, 2020 at 03:13:36PM +0000, Girar pender (glebfm) wrote:
> > http://git.altlinux.org/tasks/archive/done/_257/263483/logs/events.9.1.log
> 
> В связи с этим обновлением glibc пришлось отключить публикацию
> сегодняшнего снапшота репозитория sisyphus.  Это связано с тем, что версия
> openssh, которая была в этом снапшоте имела seccomp-фильтр, который
> запрещает использование некоторых системных вызовов, которые используются
> в функциях glibc, которые вызывает sshd.  Т.е. после обновления glibc без
> обновления seccomp-фильтра sshd стал бы нерабочим.
> 
> Сейчас openssh в Сизифе обновлён и добавлена защита, которая не позволит
> точечно обновить glibc без обновления openssh, так что следующий снапшот
> репозитория будет опубликован как обычно.

Ручная защита...

Seccomp -- крайне неудобная и, скажем так, неконсистентная вещь для
дистрибуции. Этот случай с openssh -- наглядный пример, когда из-за
изменения поведения glibc правила seccomp ломают приложение. И эта вещь,
которую легко обнаружить, сложнее обнаружить, когда правила внезапно и
тихо становятся бесполезными.

-- 
   WBR,
   Vladimir D. Seleznev