[sisyphus] Re: [security-announce] IA: new nasm packages available

[Michael Shigorin <mike@osdn.org.ua>]

[-- Attachment #1: Type: text/plain, Size: 1803 bytes --]

On Wed, Jan 26, 2005 at 11:18:09AM +0300, Stanislav Ievlev wrote:
> > > > > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> > > > ^^^^^^^^^^^^
> > > > > Исправление этой уязвимости для ALT Linux Sisyphus
> > > > > доступно в пакете nasm-0.98.35-alt2.
> > > > ^^^^^^ а почему версия для обновления старше?
> > > А что, вас она чем-то не устраивает?
> > Да с ней всё в порядке. Просто чисто формально: вроде, при появлении 
> > уязвимостей в Сизиф старались выкладывать программы версией более новой,
> Ничего подобного. Никогда это не было правилом. Это всегда
> целиком зависело от желания мантейнеров. Мало ли какие есть
> причины не обновлять версию пакета в Сизифе.

_Вообще говоря_, вопрос-то хороший.  Если всё-таки высказать
подуманное сразу (перед этим вспомнив не сильно давние обсуждения
в community@ и рядом) -- получим, что при обнаружении дырки:

- идеально -- это когда:

  * в updates для поддерживаемого(-ых) stable максимально быстро
    появляется сборка, основанная на той же версии с той же
    (если это не противоречит исправлению) функциональностью;
  * после этого проблема исправляется в unstable последней (при
    отсутствии противопоказаний) версией, возможно, с
    дополнительными правками.

- хорошо -- это когда в updates достаточно быстро появляется как
  минимум обновлённая до исправленной версия;

- плохо -- это когда через какое-то (малоопределённое) время в
  unstable молча появляется новая версия (порой без пометки о
  security fixes в changelog), а уже её по ходу дела собирают 
  в updates;

- из рук вон плохо -- это когда вообще ничего нигде не появляется.
  
Это про сами обновления, не про анонсы.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]