[sisyphus] Куда подевался ftp.pl?

[sisyphus] Куда подевался ftp.pl?

[Igor Dobryninsky]

  Добый день.

  Раньше в пакет perl входил ftp.pl, который используется в inn. Нынче
же в perl-base этого файла нет, поэтому при dist-upgrade apt предлагает
снести inn. И в других перловых пакетах я этого файлика не нашёл.

  Подскажите, где его искать?

-- 
  Best Regards, Igor Dobryninsky (egor@shadow.sts.ru)

Re: [sisyphus] Куда подевался ftp.pl?

[Sergey S. Skulachenko]

On Fri, 25 Jul 2003 23:05:28 +0400
Igor Dobryninsky <egor@shadow.sts.ru> wrote:

>   Раньше в пакет perl входил ftp.pl, который используется в
>   inn. Нынче
> же в perl-base этого файла нет, поэтому при dist-upgrade apt
> предлагает снести inn. И в других перловых пакетах я этого
> файлика не нашёл.
> 
>   Подскажите, где его искать?

Память не подвела. Он есть в когда-то любимом пакете
mirror-2.9-ipl3mdk.noarch.rpm. Это Вам поможет?

_____________
С уважением,
С.С.Скулаченко

Re: [sisyphus] Куда подевался ftp.pl?

[Igor Dobryninsky]

  Hello, Sergey.

On Sat, 26 Jul 2003 00:07:52 +0400
"Sergey S. Skulachenko" <sssku@online.ru> wrote:

SSS> Память не подвела. Он есть в когда-то любимом пакете
SSS> mirror-2.9-ipl3mdk.noarch.rpm. Это Вам поможет?

  :) Нет. Я вчера, видимо, переутомился, поэтому вопрос поставил
неверно.

  Вероятно, пакет inn намеренно не пересобирается, ввиду того, что он
"COMPLETELY INSECURE", как написано у него в Description? Нельзя ли
узнать, в чём именно он INSECURE и каковы планы maintainer'а
относительно этого пакета?

-- 
  Best Regards, Igor Dobryninsky (egor@shadow.sts.ru)

[sisyphus] Re: Куда подевался ftp.pl?

[Alexey Tourbin]

[-- Attachment #1: Type: text/plain, Size: 410 bytes --]

On Fri, Jul 25, 2003 at 11:05:28PM +0400, Igor Dobryninsky wrote:
>   Раньше в пакет perl входил ftp.pl, который используется в inn. Нынче
> же в perl-base этого файла нет, поэтому при dist-upgrade apt предлагает
> снести inn. И в других перловых пакетах я этого файлика не нашёл.
> 
>   Подскажите, где его искать?

Всё, его больше нет.  Это была очень старая Perl4 библиотека.
См. rpm --changelog perl-base.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Куда подевался ftp.pl?

[Igor Dobryninsky]

  Hello, Alexey.

On Sat, 26 Jul 2003 14:35:16 +0400
Alexey Tourbin <at@altlinux.ru> wrote:

AT> Всё, его больше нет.  Это была очень старая Perl4 библиотека.
AT> См. rpm --changelog perl-base.

  А как теперь быть с inn? Мне он нужен.

-- 
  Best Regards, Igor Dobryninsky (egor@shadow.sts.ru)

[sisyphus] Re: Куда подевался ftp.pl?

[Alexey Tourbin]

[-- Attachment #1: Type: text/plain, Size: 1096 bytes --]

On Sat, Jul 26, 2003 at 04:52:48PM +0400, Igor Dobryninsky wrote:
> AT> Всё, его больше нет.  Это была очень старая Perl4 библиотека.
> AT> См. rpm --changelog perl-base.
> 
>   А как теперь быть с inn? Мне он нужен.

ftp.pl is no longer supported
(as if it was *ever* maintained, said Randal Schwartz --
http://www.xray.mpe.mpg.de/cgi-bin/w3glimpse2html/perl5-porters/2003-05/msg01158.html).

Нужно пересобирать inn без той его части, для которой требуется ftp.pl.

Кроме того, apt-cache show inn показывает:

 !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
 !!! ATTENTION !!!                                                     !!! ATTENTION !!!
 !!! ATTENTION !!!        THIS PACKAGE IS COMPLETELY INSECURE.         !!! ATTENTION !!!
 !!! ATTENTION !!! DON'T INSTALL IT UNLESS YOU DON'T CARE OF SECURITY. !!! ATTENTION !!!
 !!! ATTENTION !!!                                                     !!! ATTENTION !!!
 !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!

А это гораздо хуже, чем сломанные зависимости. :)

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Куда подевался ftp.pl?

[Alexei Takaseev]

On Sat, 26 Jul 2003 17:32:20 +0400
Alexey Tourbin <at@altlinux.ru> wrote:

> Нужно пересобирать inn без той его части, для которой требуется
> ftp.pl.
> 
> Кроме того, apt-cache show inn показывает:
> 
>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
>  ATTENTION !!! ATTENTION !!!!!! ATTENTION !!!                  
>                                    !!! ATTENTION !!!
>  !!! ATTENTION !!!        THIS PACKAGE IS COMPLETELY INSECURE. 
>         !!! ATTENTION !!!
>  !!! ATTENTION !!! DON'T INSTALL IT UNLESS YOU DON'T CARE OF
>  SECURITY. !!! ATTENTION !!!!!! ATTENTION !!!                  
>                                    !!! ATTENTION !!!
>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
>  ATTENTION !!! ATTENTION !!!
> 
> А это гораздо хуже, чем сломанные зависимости. :)

А, в таком случае, какие алтернативы (INN'у) нужно рассматривать?
Из адекватного по функционалу мне известем только проприетарный
DNews :-|

Re: [sisyphus] Re: Куда подевался ftp.pl?

[Igor Dobryninsky]

  Hello, Alexey.

On Sat, 26 Jul 2003 17:32:20 +0400
Alexey Tourbin <at@altlinux.ru> wrote:

AT> >   А как теперь быть с inn? Мне он нужен.

AT> ftp.pl is no longer supported
AT> (as if it was *ever* maintained, said Randal Schwartz --
AT> http://www.xray.mpe.mpg.de/cgi-bin/w3glimpse2html/perl5-porters/2003-05/msg01158.html).

AT> Нужно пересобирать inn без той его части, для которой требуется ftp.pl.

  Да, я догадался. :) Меня интересует, будет ли пакет поддерживаться в
дистрибутиве или придётся собирать его самому?

AT> Кроме того, apt-cache show inn показывает:
AT> 
AT>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
AT>  !!! ATTENTION !!!                                                     !!! ATTENTION !!!
AT>  !!! ATTENTION !!!        THIS PACKAGE IS COMPLETELY INSECURE.         !!! ATTENTION !!!
AT>  !!! ATTENTION !!! DON'T INSTALL IT UNLESS YOU DON'T CARE OF SECURITY. !!! ATTENTION !!!
AT>  !!! ATTENTION !!!                                                     !!! ATTENTION !!!
AT>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!

AT> А это гораздо хуже, чем сломанные зависимости. :)

  Хотелось бы знать, чем вызвано такое заявление? Я за посмотрел
имеющийся у меня архивчик рассылки SecurityFocus за последний год и не
нашёл там ничего про inn. Это именно сборка для ALTLinux'а небезопасна?

-- 
  Best Regards, Igor Dobryninsky (egor@shadow.sts.ru)

Re: [sisyphus] inn security

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1093 bytes --]

On Sat, Jul 26, 2003 at 11:31:50AM +0400, Igor Dobryninsky wrote:
> "Sergey S. Skulachenko" <sssku@online.ru> wrote:
> SSS> Память не подвела. Он есть в когда-то любимом пакете
> SSS> mirror-2.9-ipl3mdk.noarch.rpm. Это Вам поможет?
> 
>   :) Нет. Я вчера, видимо, переутомился, поэтому вопрос поставил
> неверно.
> 
>   Вероятно, пакет inn намеренно не пересобирается, ввиду того, что он

Это вопрос к maintainer'у пакета.

> "COMPLETELY INSECURE", как написано у него в Description? Нельзя ли
> узнать, в чём именно он INSECURE и каковы планы maintainer'а
> относительно этого пакета?

Пометку в Description поставил я в знак того, что пакет по определению
небезопасен для системы, и это, похоже, навсегда.

Было время (до inn-2.3.4-alt2), когда сам факт установки пакета в систему
приводил к potential root compromise.

В inn >= 2.3.4-alt2 это, похоже, уже исправлено, однако последствия
использования этого пакета на совести администратора системы.

При выпуске дистрибутивов такие пакеты в лучшем случае попадают в
компоненту insecure, и для них обычно не выпускаются обновления.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Куда подевался ftp.pl?

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1060 bytes --]

On Sat, Jul 26, 2003 at 11:23:26PM +0400, Igor Dobryninsky wrote:
> AT> Кроме того, apt-cache show inn показывает:
> AT> 
> AT>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
> AT>  !!! ATTENTION !!!                                                     !!! ATTENTION !!!
> AT>  !!! ATTENTION !!!        THIS PACKAGE IS COMPLETELY INSECURE.         !!! ATTENTION !!!
> AT>  !!! ATTENTION !!! DON'T INSTALL IT UNLESS YOU DON'T CARE OF SECURITY. !!! ATTENTION !!!
> AT>  !!! ATTENTION !!!                                                     !!! ATTENTION !!!
> AT>  !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!! ATTENTION !!!
> 
> AT> А это гораздо хуже, чем сломанные зависимости. :)
> 
>   Хотелось бы знать, чем вызвано такое заявление? Я за посмотрел
> имеющийся у меня архивчик рассылки SecurityFocus за последний год и не
> нашёл там ничего про inn. Это именно сборка для ALTLinux'а небезопасна?

Вы судите о безопасности программного обеспечения по активности на
SecurityFocus?


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Куда подевался ftp.pl?

[Igor Dobryninsky]

  Hello, Dmitry.

On Sun, 27 Jul 2003 22:24:03 +0400
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

DVL> Вы судите о безопасности программного обеспечения по активности на
DVL> SecurityFocus?

  Я подписан на несколько рассылок по безопасности и в последнее время
не припомню упоминаний о уязвимостях в inn. Если у Вас есть сведения о
них, не могли бы Вы их привести? Например, в security-announce...

  Дело в том, что я работаю в ISP и мы, естественно, используем inn
(пока ещё на Master 2.0) в качестве news-сервера. Поэтому, если inn
действительно completely insecure, хотелось бы иметь об этом полную
информацию.

-- 
  Best Regards, Igor Dobryninsky (egor@shadow.sts.ru)

Re: [sisyphus] inn security

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1325 bytes --]

On Mon, Jul 28, 2003 at 12:22:33AM +0400, Igor Dobryninsky wrote:
> "Dmitry V. Levin" <ldv@altlinux.org> wrote:
> 
> DVL> Вы судите о безопасности программного обеспечения по активности на
> DVL> SecurityFocus?
> 
>   Я подписан на несколько рассылок по безопасности и в последнее время
> не припомню упоминаний о уязвимостях в inn. Если у Вас есть сведения о
> них, не могли бы Вы их привести? Например, в security-announce...

У меня есть ощущение, что на inn просто все махнули рукой.
Спрос на news падает с каждым годом.

>   Дело в том, что я работаю в ISP и мы, естественно, используем inn

Ибо ему нет альтернативы?

> (пока ещё на Master 2.0) в качестве news-сервера. Поэтому, если inn
> действительно completely insecure, хотелось бы иметь об этом полную
> информацию.

Факты таковы:
1. Известно, что сам по себе код inn очень небезопасный.
2. Все процессы выполняются с правами пользователя inn, что защищает от
   instant death при обнаружении уязвимости.
3. Все версии пакета inn < 2.3.4-alt2 запакованы настолько безобразно, что
   реализовать inn->root escalation не составляет труда.
4. Пакет inn >= 2.3.4-alt2 запакован лучше, но все равно start/stop скрипт
   вселяет ужас.
5. В текущих версиях RH и MDK inn запакован так же ужасно, как и
   inn < 2.3.4-alt2 (причём в MDK немного лучше, чем в RH).


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] inn security

[Konstantin Timoshenko]

On Mon, 28 Jul 2003 01:15:15 +0400
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

> On Mon, Jul 28, 2003 at 12:22:33AM +0400, Igor Dobryninsky wrote:
> > "Dmitry V. Levin" <ldv@altlinux.org> wrote:
> > 
> > DVL> Вы судите о безопасности программного обеспечения по активности
> > DVL> на SecurityFocus?
> > 
> >   Я подписан на несколько рассылок по безопасности и в последнее
> >   время
> > не припомню упоминаний о уязвимостях в inn. Если у Вас есть сведения
> > о них, не могли бы Вы их привести? Например, в security-announce...
> 
> У меня есть ощущение, что на inn просто все махнули рукой.
> Спрос на news падает с каждым годом.
> 
> >   Дело в том, что я работаю в ISP и мы, естественно, используем inn
> 
> Ибо ему нет альтернативы?
> 
> > (пока ещё на Master 2.0) в качестве news-сервера. Поэтому, если inn
> > действительно completely insecure, хотелось бы иметь об этом полную
> > информацию.
> 
> Факты таковы:
> 1. Известно, что сам по себе код inn очень небезопасный.
> 2. Все процессы выполняются с правами пользователя inn, что защищает
> от
>    instant death при обнаружении уязвимости.
> 3. Все версии пакета inn < 2.3.4-alt2 запакованы настолько безобразно,
> что
>    реализовать inn->root escalation не составляет труда.
> 4. Пакет inn >= 2.3.4-alt2 запакован лучше, но все равно start/stop
> скрипт
>    вселяет ужас.
что там такого ужасного Дмитрий?

-- 
Kostya.
mailto:kt@tyumen.ru

Re: [sisyphus] Куда подевался ftp.pl?

[Konstantin Timoshenko]

[-- Attachment #1: Type: text/plain, Size: 760 bytes --]

On Sat, 26 Jul 2003 11:31:50 +0400
Igor Dobryninsky <egor@shadow.sts.ru> wrote:

>   Hello, Sergey.
> 
> On Sat, 26 Jul 2003 00:07:52 +0400
> "Sergey S. Skulachenko" <sssku@online.ru> wrote:
> 
> SSS> Память не подвела. Он есть в когда-то любимом пакете
> SSS> mirror-2.9-ipl3mdk.noarch.rpm. Это Вам поможет?
> 
>   :) Нет. Я вчера, видимо, переутомился, поэтому вопрос поставил
> неверно.
> 
>   Вероятно, пакет inn намеренно не пересобирается, ввиду того, что он
> "COMPLETELY INSECURE", как написано у него в Description? Нельзя ли
> узнать, в чём именно он INSECURE и каковы планы maintainer'а
> относительно этого пакета?
планы выпустить 2.4.0 и он скоро будет выложен, если хотите пересобрать
ветку 2.3 то в аттаче патч.

-- 
Kostya.
mailto:kt@tyumen.ru

[-- Attachment #2: inn.patch --]
[-- Type: application/octet-stream, Size: 353 bytes --]

Re: [sisyphus] inn security

[Mike Lykov]

В сообщении от Понедельник 28 Июль 2003 02:15 Dmitry V. Levin написал:

> У меня есть ощущение, что на inn просто все махнули рукой.
> Спрос на news падает с каждым годом.

Странно, откуда у вас такая глобальная статистика.
У нас, например, news живут и процветают.
Крупные провайдеры держат inn годами, и все работает.

> >   Дело в том, что я работаю в ISP и мы, естественно, используем inn
> Ибо ему нет альтернативы?

А есть?

> 4. Пакет inn >= 2.3.4-alt2 запакован лучше, но все равно start/stop скрипт
>    вселяет ужас.

А мог бы его кто-нибудь перепаковать получше, даже если лично он к news 
испытывает отвращение? 
Или пакеты в ALT linux теперь пакуются исключительно из личной приязни? ;)

-- 
Mike
registered linux user #315334

Re: [sisyphus] inn security

[Igor Dobryninsky]

  Hello, Dmitry V. Levin.

On Mon, 28 Jul 2003 01:15:15 +0400
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

DVL> У меня есть ощущение, что на inn просто все махнули рукой.
DVL> Спрос на news падает с каждым годом.

  Я так не думаю. У нас в городе нет ни одного провайдера, у которого бы
не было news-сервера, в городской болталке трафик несколько сотен
сообщений в сутки. Наши пользователи тоже вовсю пользуются news'ами.

  Да и что взамен? Кривые форумы? Частные списки рассылки?

  У нас, например, к inn'у приделан форум - кто не может/хочет настроить
nntp-клиента, тот может читать-писать через web со всякими аватарами и
прочей фигнёй. :)

DVL> >   Дело в том, что я работаю в ISP и мы, естественно, используем inn

DVL> Ибо ему нет альтернативы?

  На мой взгляд - нет.

-- 
  Best Regards, Igor Dobryninsky (egor@atvc.ru)
  ATK-Internet ISP, Arkhangelsk, Russia

Re: [sisyphus] Куда подевался ftp.pl?

[Igor Dobryninsky]

  Hello, Konstantin Timoshenko.

On Mon, 28 Jul 2003 10:00:14 +0600
Konstantin Timoshenko <kt@altlinux.ru> wrote:

KT> планы выпустить 2.4.0 и он скоро будет выложен, если хотите пересобрать
KT> ветку 2.3 то в аттаче патч.

  Спасибо, попробую пересобрать. Это, конечно, не для боевых серверов
сборка, это у меня дома через inn фидо бегает. :)

-- 
  Best Regards, Igor Dobryninsky (egor@atvc.ru)
  ATK-Internet ISP, Arkhangelsk, Russia

Re: [sisyphus] Куда подевался ftp.pl?

[Konstantin Timoshenko]

On Mon, 28 Jul 2003 14:28:04 +0400
Igor Dobryninsky <egor@atvc.ru> wrote:

>   Hello, Konstantin Timoshenko.
> 
> On Mon, 28 Jul 2003 10:00:14 +0600
> Konstantin Timoshenko <kt@altlinux.ru> wrote:
> 
> KT> планы выпустить 2.4.0 и он скоро будет выложен, если хотите
> KT> пересобрать ветку 2.3 то в аттаче патч.
> 
>   Спасибо, попробую пересобрать. Это, конечно, не для боевых серверов
> сборка, это у меня дома через inn фидо бегает. :)
у меня на боевом сервере пока живет без проблем, с фидо тоже никаких
проблем.

-- 
Kostya.
mailto:kt@tyumen.ru

Re: [sisyphus] inn security

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 259 bytes --]

> > 4. Пакет inn >= 2.3.4-alt2 запакован лучше, но все равно start/stop
> > скрипт
> >    вселяет ужас.
> что там такого ужасного Дмитрий?

А вы посмотрите файл /etc/rc.d/init.d/innd и попробуйте проанализировать
его поведение в различных ситуациях.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]