Re: [sisyphus] bind9.8-utils-9.8.1-alt0.1

[Victor Forsiuk <force@altlinux.org>]

Hi,

2011/11/20 Terechkov Evgenii <evg-krsk@yandex.ru>:
> Привет.
>
> * Птн Ноя 18 2011 Victor Forsiuk <force@altlinux.org> 9.8.1-alt0.1
>  - 9.8.1-P1 (security fix for CVE-2011-4313).
>  - Utils subpackage now obsoletes bind-utils.
>
> Виктор, расскажите пожалуйста, для чего это нужно (Utils subpackage now obsoletes bind-utils).

bind9.8-utils конфликтует по файлам с bind-utils. Эти пакеты
невозможно установить одновременно, без Obsoletes rpm сообщит о
конфликте и не даст этого сделать. Всё, что делает Obsoletes - это
вместо неудачного завершения установки ""выталкивает" пакет указанный
в Obsoletes.

> Мне сегодня апт предложил поставить libbind9.8 и заменить bind-utils на
> bind9.8-utils

По своей инициативе apt ничего не предлагает. Он может предложить
замену одного пакета на другой (скажем, bind9.8-utils на bind-utils),
только если вычислит, что это разрешит цепочку зависимостей. Например,
при смене сонейма у какой-то из обновляющихся библиотек.

Однако libbind9.8 никак по файлам с libbind не пересекаются (там
другие сонеймы), и эти два библиотечных пакета могут спокойно быть
установлены вместе. Поэтому просто установка libbind9.8 ни к каким
вынужденным изменениям и заменам пакетов привести не может.

Так что я уверен, что всё было вовсе не так, как описано выше. :)

> с удалением всего зависимого софта (в данном случае это
> только x11vnc).

А вот удаление зависимого софта - это результат того, что у такого
софта есть зависимость на пакет с именем bind-utils. Очевидно, из-за
того, что автопоиск зависимостей находит в упакованных там скриптах
вызовы утилит host, dig итп. Я сейчас сделаю новую сборку с
добавлением недостающего Provides, который полечит эту проблему.

> С т.з. безопасности эти пакеты мне вроде бы не нужны
> (уязвим как я понял только сервер).

Естественно, уязвим только сервер. Утилиты типа host и dig уязвимостей
не содержат.

Но я рекомендую ввести "dig президент.рф" (да, этот домен существует)
и самому решить, есть ли смысл держаться за давно забытый
разработчиками 9.3.6.