[sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S, просьба его переложить в branch & server

[sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S, просьба его переложить в branch & server

[seriv]

Привет всем!
В incoming/Sisyphus сейчас ушёл dovecot-1.0.9-hg20071225-alt2.src.rpm
В нём исправлены баги #13807 и #12532.
Просьба его переложить в случае успешной сборки в 4.0/branch и в 4.0/server
Так как в нём устранена проблема с безопасностью.
См. http://dovecot.org/list/dovecot-news/2007-December/000057.html
В версиях dovecot начиная с 1.0.rc11 и вплоть до Фльтлинуксовской сборки 
1.0.6.hg20071030-alt1, при использовании LDAP аутентификации, при установках:
---
passdb ldap{
 auth_bind = yes
 auth_bind_userdn = no
}
userdb prefetch
auth_cache_size  не нулевая (0 - дефолтная установка)
---
И если два разных пользвателя имеют совпадающие пароли, и аутентифицировались 
с разницей во времени меньше auth_cache_ttl (дефолтное значение - 1 час) - 
тот пользователь который аутентифицировался позже может унаследовать 
pass_attrs от первого. Например, если в pass_attrs задана почтовая 
директория, то он вместо своей почти получит доступ к почте первого.

Хотя и маловероятно чтобы какой-нибудь из установленных серверов dovecot имел 
эту уязвимость, однако это - "security hole".

Предыдущяя сборка dovecot, уже попавшая в Sisyphus, 
dovecot-1.0.9-hg20071225-alt2, - содержит уже патч устраняющий эту 
уязвимость.
Однако она содержит баг #13807, проявляющийся в том что dovecot во время 
первого старта исправляет права доступа директории /var/run/dovecot на "world 
readable" и об этом сообщает (warning).

-- 
  С уважением,
    Сергей Иванов

Re: [sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 655 bytes --]

Hi,

On Wed, Dec 26, 2007 at 05:52:31PM -0500, seriv@parkheights.dyndns.org wrote:
> Привет всем!
> В incoming/Sisyphus сейчас ушёл dovecot-1.0.9-hg20071225-alt2.src.rpm
> В нём исправлены баги #13807 и #12532.
> Просьба его переложить в случае успешной сборки в 4.0/branch и в 4.0/server

Смущает изменение пути к файлу dovecot/deliver:
Тот, кто, согласно рецепту в http://wiki.dovecot.org/procmail,
указал полный путь DELIVER="/usr/lib/dovecot/deliver" (или lib64),
в результате обновления получит не совсем то, на что рассчитывал.

Боюсь что для бранча придётся делать ссылки для обеспечения лучшей
обратной совместимости.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S

[Sergey Ivanov]

On Thursday 27 December 2007 05:58:26 am Dmitry V. Levin wrote:
> Hi,
[skip]
> Смущает изменение пути к файлу dovecot/deliver:
> Тот, кто, согласно рецепту в http://wiki.dovecot.org/procmail,
> указал полный путь DELIVER="/usr/lib/dovecot/deliver" (или lib64),
> в результате обновления получит не совсем то, на что рассчитывал.
>
> Боюсь что для бранча придётся делать ссылки для обеспечения лучшей
> обратной совместимости.
Исправил в *-alt3, сейчас ушло в incoming/Sisyphus
-- 
	Сергей Иванов

Re: [sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S, просьба его переложить в branch & server

[sergey ivanov]

seriv@parkheights.dyndns.org wrote:
> Привет всем!
> В incoming/Sisyphus сейчас ушёл dovecot-1.0.9-hg20071225-alt2.src.rpm
> В нём исправлены баги #13807 и #12532.
> Просьба его переложить в случае успешной сборки в 4.0/branch и в 4.0/server
>   
Просьба пока придержать перекладывание в branch и server эти сборки, так
как проблема "got too little data" (см. обсуждения
http://dovecot.org/list/dovecot/2007-December/027499.html и
http://dovecot.org/list/dovecot/2007-December/027398.html) у меня
проявляется несмотря на упомянутые как fixes патчи.

-- 
    Сергей Иванов.

Re: [sisyphus] I: dovecot-1.0.9-hg20071225-alt2 направлен в i/S, просьба его переложить в branch & server

[Sergey Ivanov]

sergey ivanov wrote:
> seriv@parkheights.dyndns.org wrote:
>   
>> Привет всем!
>> В incoming/Sisyphus сейчас ушёл dovecot-1.0.9-hg20071225-alt2.src.rpm
>> В нём исправлены баги #13807 и #12532.
>> Просьба его переложить в случае успешной сборки в 4.0/branch и в 4.0/server
>>   
>>     
> Просьба пока придержать перекладывание в branch и server эти сборки, так
> как проблема "got too little data" (см. обсуждения
> http://dovecot.org/list/dovecot/2007-December/027499.html и
> http://dovecot.org/list/dovecot/2007-December/027398.html) у меня
> проявляется несмотря на упомянутые как fixes патчи.
>
>   
Fixed in dovecot-1.0.9.hg20071228-alt1,  сборка ушла в Сизиф. Просьба 
перекладывать в бранч возобновляется.

-- 
    Сергей Иванов.