[sisyphus] [JT] PA vs security (was: ALSA OSS)

[sisyphus] [JT] PA vs security (was: ALSA OSS)

[Michael Shigorin]

On Sat, Aug 15, 2009 at 10:31:46PM +0400, Mike Lykov wrote:
> > Знаешь, у меня последнее время и так мало симпатии к автору
> > PA, а после wunderbar_emporium так ещё меньше.
> тут небольшое отклонение от темы, но мне все же интересно
> получить один ответ: что не так с wunderbar_emporium?

На самом деле и предыдущий local root с использованием неадекватно
написанного и притом до недавних пор обычно SUID'ного pulseaudio
вместе с чтением отзывов Леннарта на багрепорты привёл к такому
состоянию.  Так что здесь было просто ещё одно тухлое яйцо
(и между прочим, на 5.0/branch оно работает).

> к тому же это локальное.

Это _local root_.  Неинтересно разве что в случае ноутбука
или строго однопользовательского ПК без открытых портов :(

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] [JT] PA vs security (was: ALSA OSS)

[Sergey Bolshakov]

>>>>> "Michael" == Michael Shigorin <mike-nVB1ZwtFQf3sG83rWm+8vg@public.gmane.org> writes:

 > On Sat, Aug 15, 2009 at 10:31:46PM +0400, Mike Lykov wrote:
 >> > Знаешь, у меня последнее время и так мало симпатии к автору
 >> > PA, а после wunderbar_emporium так ещё меньше.
 >> тут небольшое отклонение от темы, но мне все же интересно
 >> получить один ответ: что не так с wunderbar_emporium?

 > На самом деле и предыдущий local root с использованием неадекватно
 > написанного и притом до недавних пор обычно SUID'ного pulseaudio
 > вместе с чтением отзывов Леннарта на багрепорты привёл к такому
 > состоянию.  Так что здесь было просто ещё одно тухлое яйцо
 > (и между прочим, на 5.0/branch оно работает).

 >> к тому же это локальное.

 > Это _local root_.  Неинтересно разве что в случае ноутбука
 > или строго однопользовательского ПК без открытых портов :(
Миша, дорогой.
Покажи мне на ftp.a.o суидный бинарь pa или ... или.
Вообще, автора PA должны взасос целовать за то, что не без его
помощи вылез на свет божий такой роскошный косяк в наших изумрудах.

-- 

Re: [sisyphus] [JT] PA vs security (was: ALSA OSS)

[Michael Shigorin]

On Sun, Aug 16, 2009 at 02:45:55PM +0400, Sergey Bolshakov wrote:
>  > (и между прочим, на 5.0/branch оно работает).
>  >> к тому же это локальное.
>  > Это _local root_.  Неинтересно разве что в случае ноутбука
>  > или строго однопользовательского ПК без открытых портов :(
> Миша, дорогой.
> Покажи мне на ftp.a.o суидный бинарь pa или ... или.

eval или, только я не в пакет тухлые яйца кидал, а в апстрим.

> Вообще, автора PA должны взасос целовать за то, что не без его
> помощи вылез на свет божий такой роскошный косяк в наших
> изумрудах.

Вообще-то остальных таких в багтраке зацеловали взасос
ещё в девяностых :-/

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] [JT] PA vs security (was: ALSA OSS)

[Aleksey Novodvorsky]

16 августа 2009 г. 16:38 пользователь Michael Shigorin
(mike@osdn.org.ua) написал:
> On Sun, Aug 16, 2009 at 02:45:55PM +0400, Sergey Bolshakov wrote:
>>  > (и между прочим, на 5.0/branch оно работает).
>>  >> к тому же это локальное.
>>  > Это _local root_.  Неинтересно разве что в случае ноутбука
>>  > или строго однопользовательского ПК без открытых портов :(
>> Миша, дорогой.
>> Покажи мне на ftp.a.o суидный бинарь pa или ... или.
>
> eval или, только я не в пакет тухлые яйца кидал, а в апстрим.

https://bugzilla.altlinux.org/show_bug.cgi?id=21085
как пример нормальной командной  работы. Не знаю, закрыто на этом
обсуждение или нет, но оно в рабочем русле.
Надо стараться отделять мух от котлет, -- это и ко мне относится в
большой степени.
В том числе и во взимоотношениях с апстримом.
Rgrds, Алексей

Re: [sisyphus] [JT] PA vs security (was: ALSA OSS)

[Michael Shigorin]

On Sun, Aug 16, 2009 at 04:51:10PM +0400, Aleksey Novodvorsky wrote:
> https://bugzilla.altlinux.org/show_bug.cgi?id=21085
> как пример нормальной командной  работы. Не знаю, закрыто на
> этом обсуждение или нет, но оно в рабочем русле.

Исправил resolution.

> Надо стараться отделять мух от котлет, -- это и ко мне
> относится в большой степени.  В том числе и во взимоотношениях
> с апстримом.

Разумеется.

PS: если есть свободное время, можно поворошить свои пакеты
по части патчей или коммитов, которые хорошо бы подсунуть
апстримам.  Если проблемы с английским, в некоторой мере
берусь помочь, поскольку считаю это стОящей задачей.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] [JT] PA vs security (was: ALSA OSS)

[Mike Lykov]

16.08.09, 11:01, "Michael Shigorin" <mike@osdn.org.ua>:

> On Sat, Aug 15, 2009 at 10:31:46PM +0400, Mike Lykov wrote:
> > > Знаешь, у меня последнее время и так мало симпатии к автору
> > > PA, а после wunderbar_emporium так ещё меньше.
> > тут небольшое отклонение от темы, но мне все же интересно
> > получить один ответ: что не так с wunderbar_emporium?
> На самом деле и предыдущий local root с использованием неадекватно
> написанного и притом до недавних пор обычно SUID'ного pulseaudio
> вместе с чтением отзывов Леннарта на багрепорты привёл к такому
> состоянию.

да, вот как это описывается:
"Yea, they [red hat] used a bunch of weasel words like "dumb idea"/"stupid behavior" etc instead of calling it what it was: a vulnerability. I hear finally they are going to call it as such and issue a CVE (and then hopefully actually resolve the problem, which is currently unfixed). And it only took them an entire month, having my CVE request ignored, releasing two exploits, one of which works against all Red Hat/Fedora/RHEL versions since 2001, having them lie about putting in their own CVE request (they asked me to cancel my CVE request so they could put their own in) to have it pushed aside as an "errata" and then ultimately left unfixed."

Мне очевидно, что никаких "тухлых яиц" в этом случае кидать не нужно, а нужно сказать "молодец, ты такой терпеливый. спасибо, что опубликовал наконец".

>  Так что здесь было просто ещё одно тухлое яйцо

А вот от ваших тухлых яиц _тут_ мне становится противно. От них воняет. Я не хочу, чтобы тут воняло.

Не нужно уподобляться и прятать голову, или говорить "ах, какая неприятная неожиданность, так хочется чтобы никто не знал об этом". Независимо от ваших яиц или желания это все равно существует, и чем быстрее оно будет запатчено, тем лучше.

-- 
Mike