From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <vseleznv@altlinux.org>
Date: Fri, 18 Dec 2020 19:08:51 +0300
From: "Vladimir D. Seleznev" <vseleznv@altlinux.org>
To: ALT Linux Team development discussions <devel@lists.altlinux.org>
Message-ID: <20201218160851.GA761999@portlab>
References: <girar.task.263623.1.1@gyle.mskdc.altlinux.org>
 <girar.task.263623.2.3@gyle.mskdc.altlinux.org>
 <20201218153847.GB531956@glebfm.cloud.tilaa.com>
MIME-Version: 1.0
Content-Type: text/plain; charset=utf-8
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20201218153847.GB531956@glebfm.cloud.tilaa.com>
User-Agent: Mutt/1.10.1 (2018-07-13)
Subject: [devel] Inconvenient seccomp (Was: I: glibc 2.32 && sisyphus
 snapshot publication skip)
X-BeenThere: devel@lists.altlinux.org
X-Mailman-Version: 2.1.12
Precedence: list
Reply-To: ALT Linux Team development discussions <devel@lists.altlinux.org>
List-Id: ALT Linux Team development discussions <devel.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/options/devel>,
 <mailto:devel-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/devel>
List-Post: <mailto:devel@lists.altlinux.org>
List-Help: <mailto:devel-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/devel>,
 <mailto:devel-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Fri, 18 Dec 2020 16:08:52 -0000
Archived-At: <http://lore.altlinux.org/devel/20201218160851.GA761999@portlab/>
List-Archive: <http://lore.altlinux.org/devel/>
List-Post: <mailto:devel@altlinux.org>

On Fri, Dec 18, 2020 at 06:38:47PM +0300, Gleb Fotengauer-Malinovskiy wrote:
> Hi,
> 
> On Thu, Dec 17, 2020 at 02:30:25PM +0000, Girar awaiter (glebfm) wrote:
> > http://git.altlinux.org/tasks/263483/logs/events.8.1.log
> > 
> > 2020-Dec-17 14:16:56 :: test-only task #263483 for sisyphus resumed by glebfm:
> > 2020-Dec-17 14:16:56 :: message: Update glibc; drop FTBFS packages blocking this update.
> > #100 removed
> > #200 removed
> > #300 build 2.32-alt1 from /people/glebfm/packages/glibc.git fetched at 2020-Dec-16 19:12:07
> 
> On Thu, Dec 17, 2020 at 03:13:36PM +0000, Girar pender (glebfm) wrote:
> > http://git.altlinux.org/tasks/archive/done/_257/263483/logs/events.9.1.log
> 
> В связи с этим обновлением glibc пришлось отключить публикацию
> сегодняшнего снапшота репозитория sisyphus.  Это связано с тем, что версия
> openssh, которая была в этом снапшоте имела seccomp-фильтр, который
> запрещает использование некоторых системных вызовов, которые используются
> в функциях glibc, которые вызывает sshd.  Т.е. после обновления glibc без
> обновления seccomp-фильтра sshd стал бы нерабочим.
> 
> Сейчас openssh в Сизифе обновлён и добавлена защита, которая не позволит
> точечно обновить glibc без обновления openssh, так что следующий снапшот
> репозитория будет опубликован как обычно.

Ручная защита...

Seccomp -- крайне неудобная и, скажем так, неконсистентная вещь для
дистрибуции. Этот случай с openssh -- наглядный пример, когда из-за
изменения поведения glibc правила seccomp ломают приложение. И эта вещь,
которую легко обнаружить, сложнее обнаружить, когда правила внезапно и
тихо становятся бесполезными.

-- 
   WBR,
   Vladimir D. Seleznev