[sisyphus] Re: [security-announce] IA: new nasm packages available

[sisyphus] Re: [security-announce] IA: new nasm packages available

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 511 bytes --]

On Tue, Jan 25, 2005 at 06:25:03PM +0300, Epiphanov Sergei wrote:
> > CAN-2004-1287:
> > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> ^^^^^^^^^^^^
> > Исправление этой уязвимости для ALT Linux Sisyphus доступно в
> > пакете nasm-0.98.35-alt2.
> ^^^^^^ а почему версия для обновления старше?

Потому что в ALM2.4 -- 0.98.35, а возможность сделать минимальные
изменения -- была.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: [security-announce] IA: new nasm packages available

[Epiphanov Sergei]

В сообщении от 25 Январь 2005 17:51 ALT Security Team написал:
> Пакет       : nasm
> Уязвимость  : локальная/удалённая
> Тип ошибки  : переполнение буфера
> ALT-specific: нет
> CVE ID      : CAN-2004-1287
>
> CAN-2004-1287:
> Переполнение буфера в утилите nasm версии 0.98.38 и более ранних

^^^^^^^^^^^^

> Исправление этой уязвимости для ALT Linux Sisyphus доступно в пакете
> nasm-0.98.35-alt2.
^^^^^^ а почему версия для обновления старше?

-- 
С уважением, Епифанов Сергей

[sisyphus] Re: [security-announce] IA: new nasm packages available

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 789 bytes --]

On Tue, Jan 25, 2005 at 07:00:12PM +0300, Epiphanov Sergei wrote:
> > > > Исправление этой уязвимости для ALT Linux Sisyphus доступно в
>  ^^^^^^^^^^^^^^^^ - Сизиф
> > > > пакете nasm-0.98.35-alt2.
> > > ^^^^^^ а почему версия для обновления старше?
> > Потому что в ALM2.4 -- 0.98.35, а возможность сделать
> > минимальные изменения -- была.
> Ну если бы это было для Master2.4, то понятно и так, но для
> Сизифа? Чтобы было как можно меньше правок в пакете?

Очевидно, пакет пересобрали с минимальными изменениями
относительно последнего состояния и в Sisyphus. :)

Да не переживайте так, эта дырка относится к разряду
формально-показательных.  Студенты djb, однако. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: [security-announce] IA: new nasm packages available

[Epiphanov Sergei]

В сообщении от 25 Январь 2005 18:24 Michael Shigorin написал:
> > > CAN-2004-1287:
> > > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> >
> > ^^^^^^^^^^^^
> >
> > > Исправление этой уязвимости для ALT Linux Sisyphus доступно в
 ^^^^^^^^^^^^^^^^ - Сизиф
> > > пакете nasm-0.98.35-alt2.
> >
> > ^^^^^^ а почему версия для обновления старше?
>
> Потому что в ALM2.4 -- 0.98.35, а возможность сделать минимальные
> изменения -- была.

Ну если бы это было для Master2.4, то понятно и так, но для Сизифа? Чтобы 
было как можно меньше правок в пакете?

-- 
С уважением, Епифанов Сергей

Re: [sisyphus] Re: [security-announce] IA: new nasm packages available

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 611 bytes --]

On Tue, Jan 25, 2005 at 06:25:03PM +0300, Epiphanov Sergei wrote:
> В сообщении от 25 Январь 2005 17:51 ALT Security Team написал:
> > Пакет       : nasm
> > Уязвимость  : локальная/удалённая
> > Тип ошибки  : переполнение буфера
> > ALT-specific: нет
> > CVE ID      : CAN-2004-1287
> >
> > CAN-2004-1287:
> > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> 
> ^^^^^^^^^^^^
> 
> > Исправление этой уязвимости для ALT Linux Sisyphus доступно в пакете
> > nasm-0.98.35-alt2.
> ^^^^^^ а почему версия для обновления старше?

А что, вас она чем-то не устраивает?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: [security-announce] IA: new nasm packages available

[Epiphanov Sergei]

В сообщении от 25 Январь 2005 19:01 Dmitry V. Levin написал:
> > > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> >
> > ^^^^^^^^^^^^
> >
> > > Исправление этой уязвимости для ALT Linux Sisyphus доступно в пакете
> > > nasm-0.98.35-alt2.
> >
> > ^^^^^^ а почему версия для обновления старше?
>
> А что, вас она чем-то не устраивает?

Да с ней всё в порядке. Просто чисто формально: вроде, при появлении 
уязвимостей в Сизиф старались выкладывать программы версией более новой, 
чем заявленные в уязвимости (за исключением системно-важных пакетов вроде 
ldap, openssh и т.д.) и тут читаю, что есть уязвимость в версиях, более 
новых, чем исправленная в Сизифе, что, на мой взгляд, эта программа не 
системно-важная, и решил выяснить с чем это связано.

-- 
С уважением, Епифанов Сергей

Re: [sisyphus] Re: [security-announce] IA: new nasm packages available

[Stanislav Ievlev]

On Wed, Jan 26, 2005 at 10:39:55AM +0300, Epiphanov Sergei wrote:
> В сообщении от 25 Январь 2005 19:01 Dmitry V. Levin написал:
> > > > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> > >
> > > ^^^^^^^^^^^^
> > >
> > > > Исправление этой уязвимости для ALT Linux Sisyphus доступно в пакете
> > > > nasm-0.98.35-alt2.
> > >
> > > ^^^^^^ а почему версия для обновления старше?
> >
> > А что, вас она чем-то не устраивает?
> 
> Да с ней всё в порядке. Просто чисто формально: вроде, при появлении 
> уязвимостей в Сизиф старались выкладывать программы версией более новой,
Ничего подобного. Никогда это не было правилом. Это всегда целиком зависело от желания мантейнеров. Мало ли какие есть причины не обновлять версию пакета в Сизифе.

[sisyphus] Re: [security-announce] IA: new nasm packages available

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 1803 bytes --]

On Wed, Jan 26, 2005 at 11:18:09AM +0300, Stanislav Ievlev wrote:
> > > > > Переполнение буфера в утилите nasm версии 0.98.38 и более ранних
> > > > ^^^^^^^^^^^^
> > > > > Исправление этой уязвимости для ALT Linux Sisyphus
> > > > > доступно в пакете nasm-0.98.35-alt2.
> > > > ^^^^^^ а почему версия для обновления старше?
> > > А что, вас она чем-то не устраивает?
> > Да с ней всё в порядке. Просто чисто формально: вроде, при появлении 
> > уязвимостей в Сизиф старались выкладывать программы версией более новой,
> Ничего подобного. Никогда это не было правилом. Это всегда
> целиком зависело от желания мантейнеров. Мало ли какие есть
> причины не обновлять версию пакета в Сизифе.

_Вообще говоря_, вопрос-то хороший.  Если всё-таки высказать
подуманное сразу (перед этим вспомнив не сильно давние обсуждения
в community@ и рядом) -- получим, что при обнаружении дырки:

- идеально -- это когда:

  * в updates для поддерживаемого(-ых) stable максимально быстро
    появляется сборка, основанная на той же версии с той же
    (если это не противоречит исправлению) функциональностью;
  * после этого проблема исправляется в unstable последней (при
    отсутствии противопоказаний) версией, возможно, с
    дополнительными правками.

- хорошо -- это когда в updates достаточно быстро появляется как
  минимум обновлённая до исправленной версия;

- плохо -- это когда через какое-то (малоопределённое) время в
  unstable молча появляется новая версия (порой без пометки о
  security fixes в changelog), а уже её по ходу дела собирают 
  в updates;

- из рук вон плохо -- это когда вообще ничего нигде не появляется.
  
Это про сами обновления, не про анонсы.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]