Главная » Форум » Gentoo Linux » Общие вопросы

Что-то подобное portaudit

alexanderyt 7 июля, 2010 - 10:42

Заметил, в stable есть стабильные ebuilds, которые ставят дырявый софт. Сие сбивает с толку. GLSA тут мало чем помогает, сравнивал список GLSA с этим списком. Результаты не в пользу GLSA. Собcно, кто-нибудь встречал аналоги portaudit или что-то похожее?

‹ Работа с видео в Gentoo Linux mplayer flac alsa ›
»

emerge -C world

Автор slepnoga, дата создания 7 июля, 2010 - 14:28.

emerge -C world system
sysinstall ....
????
cd /usr/.../portaudit
make install
??????
PROFFIT ???

Примеры дырявого софта из обновленной системы ?

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

»

Да хотя бы net-fs/samba

Автор alexanderyt, дата создания 7 июля, 2010 - 14:44.

Да хотя бы net-fs/samba 3.0.37. Security update для него сами найдете или показать пальцем? Или скажете, обновляйся до 3.4.6? Зачем? Если glsa молчит, а samba 3.0.37 доступна в stable.

»

Да хотя бы net-fs/samba

Автор slepnoga, дата создания 7 июля, 2010 - 15:32.
Да хотя бы net-fs/samba 3.0.37.

Ржунимагу. Или ты это специально выискал ? На репортера то посмотри в багзилле :)
Теперь вопрос - ты юзаешь acl на самбе ?

обновляйся до 3.4.6

как бы стабильная версия 3.4.6 - в чем проблема ?

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

»

> Ржунимагу. Или ты это

Автор alexanderyt, дата создания 7 июля, 2010 - 15:42.

> Ржунимагу. Или ты это специально выискал ? На репортера то посмотри в багзилле :)
Ты что сказать -то мне этим хочешь?
ACL в перспективе, пока есть другие грабли.

> как бы стабильная версия 3.4.6 - в чем проблема
Мне терь всегда обновляться до самых последних версий? А как же хваленый подход "поставил то что нужно нужной версии, а потом сиди, запускай glsa и чекай дырки" ?

»

ты про это

Автор slepnoga, дата создания 7 июля, 2010 - 16:28.

ты про это http://bugs.gentoo.org/show_bug.cgi?id=310105 ?
Внимательно смотрим репортера бага, потом мой профиль :) - так что я в курсе.
С тебя пример настройки самбы для возможной уязвимости :)

терь всегда обновляться до самых последних версий?

До самых последних стабильных версий - да, обновлятся. Оно в генте всегда так было и будет. Несогласные стройными рядами марширують на OpenBSD - оплачивать
желтую больничку для Тео.

 как же хваленый подход "поставил то что нужно нужной версии, а потом сиди, запускай glsa и чекай дырки" ?

И когда это в Гентоо при наличии более свежей стабильной версии писали патчи на старые версии - glsа всегда говорила просто - обновись на последнюю стабле.

П.С если вы еще не въехали - то Гента это не дистр класса "поставил и забыл".
Это комьюнити дистр класса "Боевая еденица сама в себе, предназначенная для решение любых мыслимых и не мыслимых задачь".
Хотите секьюрити фиксы гарнтированно в течении 3 часов - идете и покупаете комм. поддержку =)

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

»

> ты про это Нет, про это

Автор alexanderyt, дата создания 7 июля, 2010 - 16:47.

> ты про это
Нет, про это http://bugs.gentoo.org/show_bug.cgi?id=323785

>С тебя пример настройки самбы для возможной уязвимости :)
Зачем?

> И когда это в Гентоо при наличии более свежей стабильной версии писали патчи на старые версии - glsа всегда говорила просто - обновись на последнюю стабле.
Когда-когда, а тут чем занимаются? http://bugs.gentoo.org/show_bug.cgi?id=323785
Спрашиватеся, нафига?

> Это комьюнити дистр класса "Боевая еденица сама в себе, предназначенная для решение любых мыслимых и не мыслимых задачь".
Хотите секьюрити фиксы гарнтированно в течении 3 часов - идете и покупаете комм. поддержку =)

Зачем ты отвечаешь мне так, как будто я предъявляю претензии? Я не поддаюсь на провокации:)
Повторюсь, меня интересует, как оградиться от таких вещей, как установка дырявой samba 3.0.17, которая помечена как стабильная и безпроблемная, не используя тот подход, что надо всегда ставить самую последнюю стабильную версию из портажа.

Твою мысль я понял:)

»

Нет, про это

Автор slepnoga, дата создания 7 июля, 2010 - 18:40.
Нет, про это http://bugs.gentoo.org/show_bug.cgi?id=323785

щто одно и тоже.Просто до появления в паблике сей баг был скрыт.

Повторюсь, меня интересует, как оградиться от таких вещей, как установка дырявой samba 3.0.17, которая помечена как стабильная и безпроблемная, не используя тот подход, что надо всегда ставить самую последнюю стабильную версию из портажа.

Я ответил - купить комм. поддержку.

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

»

alexanderyt

Автор evadim, дата создания 8 июля, 2010 - 13:48.
alexanderyt написал(а):
Повторюсь, меня интересует, как оградиться от таких вещей, как установка дырявой samba 3.0.17, которая помечена как стабильная и безпроблемная, не используя тот подход, что надо всегда ставить самую последнюю стабильную версию из портажа.

Мыль простая до безобразия - разработчики Gentoo пинают upstream на предмет выпуска патчей/новых версий с решением проблемы. Решением проблемы со стороны пользователя является обновление на эти самые версии где проблема решена, и для стабилизации пакета у которого есть проблемы с безопасностью делается всё возможное, включаяя ускоренную стабилизацию.
Поидее разработчики debian занимаются тем что бэкпортят всякие фиксы с новых версий на старые, но это выглядит странноватым.

»

alexanderyt

Автор pva, дата создания 8 июля, 2010 - 20:02.
alexanderyt написал(а):
Повторюсь, меня интересует, как оградиться от таких вещей, как установка дырявой samba 3.0.17, которая помечена как стабильная и безпроблемная, не используя тот подход, что надо всегда ставить самую последнюю стабильную версию из портажа.

В кратце, работа над багами безопасности в Gentoo происходит так: если найдена уязвимость в программе, то открывается security bug. После этого исправленная версия добавляется в ~arch и команды поддержки архитектур цепляются в CC дабы стабилизировать исправленный пакет. Уже после этого делается GLSA, поэтому GLSA отражает стабильное дерево. Насколько я понял, portaudit это что-то тоже отражает пакеты уже исправленные в freebsd, поэтому в этом отношении отличий от glsa нет. В идеале вся эта процедура происходит быстро. Иногда, она задерживатеся, по разным причинам: 1. сопровождающий пакета спит, 2. пакет был очень сильно изменён и сопровождающий считает, что его рано стабилизировать, 3. команды поддержки арихтектур спят и так далее. Это бывает, но обычно при действительно серьёзных уязвимостях всё происходит быстро (по некоторым отценкам быстрее чем в других дистрибутивах, где процесс идёт ещё больше). Поэтому не думаю, что вас стоит беспокоиться, хотя, если вы знаете, что эта уязвимость вас затрагивается, добавьте пакет в package.keywords.

»

pva, portaudit это такая

Автор slepnoga, дата создания 8 июля, 2010 - 21:27.

pva, portaudit это такая прога в ФрееБСД на ,емнип, rubu которая чекает лист аналогичный GLSA.Проблема автора в том, что в тот лист равен CVE без проверки :)
Также, топикстратер немного лукавить насчет тех же версий - никто там фиксы не бекпортит, это удел всего 1 некоммерческого дистра, т.е Дебиана.

Ну и пример:

Checking for a current audit database:

Downloading fresh database.
auditfile.tbz                                           61 kB   48 kBps
New database installed.
Database created: Wed Jun 16 04:15:02 EEST 2010

Checking for packages with security vulnerabilities:

Affected package: curl-7.19.6_1
Type of problem: curl -- libcurl buffer overflow vulnerability.
Reference: <http://portaudit.FreeBSD.org/c8c31c41-49ed-11df-83fb-0015587e2cc1.html>

Affected package: php5-5.2.10
Type of problem: php -- multiple vulnerabilities.
Reference: <http://portaudit.FreeBSD.org/39a25a63-eb5c-11de-b650-00215c6a37bb.html>

Affected package: php5-gd-5.2.10
Type of problem: gd -- '_gdGetColors' remote buffer overflow vulnerability.
Reference: <http://portaudit.FreeBSD.org/4e8344a3-ca52-11de-8ee8-00215c6a37bb.html>

Affected package: php5-5.2.10
Type of problem: php5 -- Multiple security issues.
Reference: <http://portaudit.FreeBSD.org/437a68cf-b752-11de-b6eb-00e0815b8da8.html>

4 problem(s) in your installed packages found.

You are advised to update or deinstall the affected package(s) immediately.

-- End of security output --

П.С Патчей на <5.2.11 не наблюдается само собой :)

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

»

Настройки просмотра комментариев

Выберите нужный метод показа комментариев и нажмите "Сохранить установки".