[devel] Нарушения Vulnerability Policy

[devel] Нарушения Vulnerability Policy

[Anton Farygin]

Всем привет.

Есть предложение сделать так, что бы пакеты, нарушающие это Policy не 
проходили в репозиторий, при этом дополнить policy для случаев, когда 
CVE надо упомянуть но не закрыть.

https://www.altlinux.org/Vulnerability_Policy

Пример:

https://packages.altlinux.org/ru/sisyphus/srpms/firefox-esr/changelog/


Rgds,

Rider

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 10:50, Anton Farygin wrote:
> Всем привет.
>
> Есть предложение сделать так, что бы пакеты, нарушающие это Policy не 
> проходили в репозиторий, при этом дополнить policy для случаев, когда 
> CVE надо упомянуть но не закрыть.
>
> https://www.altlinux.org/Vulnerability_Policy
>
> Пример:
>
> https://packages.altlinux.org/ru/sisyphus/srpms/firefox-esr/changelog/
>
И, заодно, расширить Policy под такой формат.

Re: [devel] Нарушения Vulnerability Policy

[Stanislav Levin]

[-- Attachment #1.1: Type: text/plain, Size: 466 bytes --]



07.02.2023 10:50, Anton Farygin пишет:

> 
> https://www.altlinux.org/Vulnerability_Policy
> 


Не понятно, что именно регламентирует эта полиси - *формат* указания 
устраненных уязвимостей в changelog или *обязанность* кого-то указывать 
устраненные уязвимости в changelog в определенном формате.

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 840 bytes --]

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 11:38, Stanislav Levin wrote:
>
>
> 07.02.2023 10:50, Anton Farygin пишет:
>
>>
>> https://www.altlinux.org/Vulnerability_Policy
>>
>
>
> Не понятно, что именно регламентирует эта полиси - *формат* указания 
> устраненных уязвимостей в changelog или *обязанность* кого-то 
> указывать устраненные уязвимости в changelog в определенном формате. 

И формат и обязанность, судя по тексту политики.

Re: [devel] Нарушения Vulnerability Policy

[Stanislav Levin]

[-- Attachment #1.1: Type: text/plain, Size: 223 bytes --]



07.02.2023 11:40, Anton Farygin пишет:

> 
> И формат и обязанность, судя по тексту политики.
> 
Что из этого предлагается заинфорсить?

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 840 bytes --]

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 11:51, Stanislav Levin wrote:
>
>
> 07.02.2023 11:40, Anton Farygin пишет:
>
>>
>> И формат и обязанность, судя по тексту политики.
>>
> Что из этого предлагается заинфорсить?

Заэнфорсить получится только формат.

Re: [devel] Нарушения Vulnerability Policy

[Paul Wolneykien]

В Tue, 7 Feb 2023 12:01:57 +0300
Anton Farygin <rider@basealt.ru> пишет:

> On 07.02.2023 11:51, Stanislav Levin wrote:
> >
> >
> > 07.02.2023 11:40, Anton Farygin пишет:
> >  
> >>
> >> И формат и обязанность, судя по тексту политики.
> >>  
> > Что из этого предлагается заинфорсить?  
> 
> Заэнфорсить получится только формат.

  А почему? У нас ведь, вроде бы, есть база данных уязвимостей.

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 13:53, Paul Wolneykien wrote:
> В Tue, 7 Feb 2023 12:01:57 +0300
> Anton Farygin <rider@basealt.ru> пишет:
>
>> On 07.02.2023 11:51, Stanislav Levin wrote:
>>>
>>> 07.02.2023 11:40, Anton Farygin пишет:
>>>   
>>>> И формат и обязанность, судя по тексту политики.
>>>>   
>>> Что из этого предлагается заинфорсить?
>> Заэнфорсить получится только формат.
>    А почему? У нас ведь, вроде бы, есть база данных уязвимостей.
вроде бы.

Re: [devel] Нарушения Vulnerability Policy

[Paul Wolneykien]

В Tue, 7 Feb 2023 14:07:19 +0300
Anton Farygin <rider@basealt.ru> пишет:

> On 07.02.2023 13:53, Paul Wolneykien wrote:
> > В Tue, 7 Feb 2023 12:01:57 +0300
> > Anton Farygin <rider@basealt.ru> пишет:
> >  
> >> On 07.02.2023 11:51, Stanislav Levin wrote:  
> >>>
> >>> 07.02.2023 11:40, Anton Farygin пишет:
> >>>     
> >>>> И формат и обязанность, судя по тексту политики.
> >>>>     
> >>> Что из этого предлагается заинфорсить?  
> >> Заэнфорсить получится только формат.  
> >    А почему? У нас ведь, вроде бы, есть база данных уязвимостей.  
> вроде бы.

  Тогда, значит, если выходит версия про которую известно, что в
апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
бывают...

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 14:16, Paul Wolneykien wrote:
> В Tue, 7 Feb 2023 14:07:19 +0300
> Anton Farygin<rider@basealt.ru>  пишет:
>
>> On 07.02.2023 13:53, Paul Wolneykien wrote:
>>> В Tue, 7 Feb 2023 12:01:57 +0300
>>> Anton Farygin<rider@basealt.ru>  пишет:
>>>   
>>>> On 07.02.2023 11:51, Stanislav Levin wrote:
>>>>> 07.02.2023 11:40, Anton Farygin пишет:
>>>>>      
>>>>>> И формат и обязанность, судя по тексту политики.
>>>>>>      
>>>>> Что из этого предлагается заинфорсить?
>>>> Заэнфорсить получится только формат.
>>>     А почему? У нас ведь, вроде бы, есть база данных уязвимостей.
>> вроде бы.
>    Тогда, значит, если выходит версия про которую известно, что в
> апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
> можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
> бывают...

У меня бывает обратная ситуация - когда CVE в changelog указываю (указан 
апстримом), а вот в базе CVE его нет по неизвестным мне причинам и 
появляется в базах с задержкой на пару недель.

Плюс бывают ложные сработки, плюс не все CVE на нас распространяются.

Re: [devel] Нарушения Vulnerability Policy

[Vitaly Chikunov]

On Tue, Feb 07, 2023 at 10:50:41AM +0300, Anton Farygin wrote:
> Всем привет.
> 
> Есть предложение сделать так, что бы пакеты, нарушающие это Policy не
> проходили в репозиторий, при этом дополнить policy для случаев, когда CVE
> надо упомянуть но не закрыть.

(Добавление CVE бага обычно не указывают в changelog.)

Примерно в 100% случаев упоминание CVE означает закрытие, в остальных
очень редких случаях - частичный фикс.

Просто так упоминать, но не закрывать даже частично - не понятно зачем.

Поэтому я бы предложил любое упоминание CVE без специального "формата
закрытия" считать закрытием. А для "не закрытия" использовать специальный
формат или вообще запретить указывать в %changelog.


> 
> https://www.altlinux.org/Vulnerability_Policy
> 
> Пример:
> 
> https://packages.altlinux.org/ru/sisyphus/srpms/firefox-esr/changelog/
> 
> 
> Rgds,
> 
> Rider
> 
> 
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 15:11, Vitaly Chikunov wrote:
> On Tue, Feb 07, 2023 at 10:50:41AM +0300, Anton Farygin wrote:
>> Всем привет.
>>
>> Есть предложение сделать так, что бы пакеты, нарушающие это Policy не
>> проходили в репозиторий, при этом дополнить policy для случаев, когда CVE
>> надо упомянуть но не закрыть.
> (Добавление CVE бага обычно не указывают в changelog.)
>
> Примерно в 100% случаев упоминание CVE означает закрытие, в остальных
> очень редких случаях - частичный фикс.
>
> Просто так упоминать, но не закрывать даже частично - не понятно зачем.
>
> Поэтому я бы предложил любое упоминание CVE без специального "формата
> закрытия" считать закрытием. А для "не закрытия" использовать специальный
> формат или вообще запретить указывать в %changelog.
>
>
Отличное предложение, кстати.

Дима и Глеб, что скажете ?

Re: [devel] Нарушения Vulnerability Policy

[Leonid Krivoshein]

On 2/7/23 14:16, Paul Wolneykien wrote:
> [...]
>    Тогда, значит, если выходит версия про которую известно, что в
> апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
> можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
> бывают...

А что в отношение ядра? Там почти каждая сборка с исправлениями CVE, и 
зачастую без указания CVE. Наверняка так не только с ядром. Наш 
маинтейнер может и не знать о закрытии конкретной CVE, если это явно не 
упомянуто в апстримном changelog.


-- 
WBR, Leonid Krivoshein.

Re: [devel] Нарушения Vulnerability Policy

[Ivan A. Melnikov]

On Tue, Feb 07, 2023 at 02:16:46PM +0300, Paul Wolneykien wrote:
> В Tue, 7 Feb 2023 14:07:19 +0300
> Anton Farygin <rider@basealt.ru> пишет:
> 
> > On 07.02.2023 13:53, Paul Wolneykien wrote:
> > > В Tue, 7 Feb 2023 12:01:57 +0300
> > > Anton Farygin <rider@basealt.ru> пишет:
> > >  
> > >> On 07.02.2023 11:51, Stanislav Levin wrote:  
> > >>>
> > >>> 07.02.2023 11:40, Anton Farygin пишет:
> > >>>     
> > >>>> И формат и обязанность, судя по тексту политики.
> > >>>>     
> > >>> Что из этого предлагается заинфорсить?  
> > >> Заэнфорсить получится только формат.  
> > >    А почему? У нас ведь, вроде бы, есть база данных уязвимостей.  
> > вроде бы.
> 
>   Тогда, значит, если выходит версия про которую известно, что в
> апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
> можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
> бывают...

Такие строгости мне кажутся не слишком уместными. А вот какой-то
сервис типа репокопа, предлагающий патчи на ченджлог...

-- 
  wbr,
    iv m.

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 07.02.2023 23:03, Ivan A. Melnikov wrote:
> On Tue, Feb 07, 2023 at 02:16:46PM +0300, Paul Wolneykien wrote:
>> В Tue, 7 Feb 2023 14:07:19 +0300
>> Anton Farygin<rider@basealt.ru>  пишет:
>>
>>> On 07.02.2023 13:53, Paul Wolneykien wrote:
>>>> В Tue, 7 Feb 2023 12:01:57 +0300
>>>> Anton Farygin<rider@basealt.ru>  пишет:
>>>>   
>>>>> On 07.02.2023 11:51, Stanislav Levin wrote:
>>>>>> 07.02.2023 11:40, Anton Farygin пишет:
>>>>>>      
>>>>>>> И формат и обязанность, судя по тексту политики.
>>>>>>>      
>>>>>> Что из этого предлагается заинфорсить?
>>>>> Заэнфорсить получится только формат.
>>>>     А почему? У нас ведь, вроде бы, есть база данных уязвимостей.
>>> вроде бы.
>>    Тогда, значит, если выходит версия про которую известно, что в
>> апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
>> можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
>> бывают...
> Такие строгости мне кажутся не слишком уместными. А вот какой-то
> сервис типа репокопа, предлагающий патчи на ченджлог...

В моём видении идеального мира указывать в changelog закрытие CVE, если 
оно закрывается новой версией должно быть необязательно, при условии 
наличия специального сервиса, информирующего о таком ментейнеров и 
пользователей.

Re: [devel] Нарушения Vulnerability Policy

[Ivan A. Melnikov]

On Wed, Feb 08, 2023 at 08:34:15AM +0300, Anton Farygin wrote:
> On 07.02.2023 23:03, Ivan A. Melnikov wrote:
> > On Tue, Feb 07, 2023 at 02:16:46PM +0300, Paul Wolneykien wrote:
> > > В Tue, 7 Feb 2023 14:07:19 +0300
> > > Anton Farygin<rider@basealt.ru>  пишет:
> > > 
> > > > On 07.02.2023 13:53, Paul Wolneykien wrote:
> > > > > В Tue, 7 Feb 2023 12:01:57 +0300
> > > > > Anton Farygin<rider@basealt.ru>  пишет:
> > > > > > On 07.02.2023 11:51, Stanislav Levin wrote:
> > > > > > > 07.02.2023 11:40, Anton Farygin пишет:
> > > > > > > > И формат и обязанность, судя по тексту политики.
> > > > > > > Что из этого предлагается заинфорсить?
> > > > > > Заэнфорсить получится только формат.
> > > > >     А почему? У нас ведь, вроде бы, есть база данных уязвимостей.
> > > > вроде бы.
> > >    Тогда, значит, если выходит версия про которую известно, что в
> > > апстриме была закрыта уязвимость, а в чейнджлоге это не отражено, то
> > > можно показать игроку жёлтую карточку. Или красную. Или какие там ещё
> > > бывают...
> > Такие строгости мне кажутся не слишком уместными. А вот какой-то
> > сервис типа репокопа, предлагающий патчи на ченджлог...
> 
> В моём видении идеального мира указывать в changelog закрытие CVE, если оно
> закрывается новой версией должно быть необязательно, при условии наличия
> специального сервиса, информирующего о таком ментейнеров и пользователей.

... и apt (или хотя бы apt-indicator) с ним интегрированы?

-- 
  wbr,
    iv m.

Re: [devel] Нарушения Vulnerability Policy

[Anton Farygin]

On 08.02.2023 10:11, Ivan A. Melnikov wrote:
>>> Такие строгости мне кажутся не слишком уместными. А вот какой-то
>>> сервис типа репокопа, предлагающий патчи на ченджлог...
>> В моём видении идеального мира указывать в changelog закрытие CVE, если оно
>> закрывается новой версией должно быть необязательно, при условии наличия
>> специального сервиса, информирующего о таком ментейнеров и пользователей.
> ... и apt (или хотя бы apt-indicator) с ним интегрированы?

Т.к. это всё должно работать в виде rest api, то интеграция с разными 
сервисами внутри системы естественным образом возможна.