Dotaz: Debian - security updates

[ivan mincik]

Dobry den.

Od 7 Apr 2004 je v kdebase nahlaseny Bug#242641. Jedna sa o fakt, ze kdm nerespektuje nastavenia /etc/security/limits.conf ohladne max. poctu moznych prihlaseni na 1 usera. Cize security bug.

Tento bug bol opraveny 16 Jan 2007 vo verzii 3.5.6. (celkom to trvalo) Etch vysiel 08 Apr 2007.

Ako je mozne ze sa tato oprava a jej podobne nedostali do stable verzie? Etch teraz obsahuje verziu 3.5.5a.

Ako je to s tymi security updatami? Do ostable verzie sa dodavaju iba niektore podla zavaznosti, alebo ako?

Odpovědi

[Tomáš Honzák]

Jenom technická: máte ověřeno, že to ve verzi, která je aktuálně v Etchi, skutečně nebylo opraveno? Debian security team totiž velmi často místo toho, aby aktualizoval stable archív novými verzemi, opravy propaguje do těch verzí, které byly v distribuci v okamžiku vydání. Takže je dost dobře možné, že ta verze 3.5.5a tu opravu ve skutečnosti obsahuje.

Viz /usr/share/doc/$package/changelog.Debian.gz.

Nemám tu nikde po ruce kdm, ale např kdelibs "3.5.5a" v Etchi obsahují patch určený původně pro 3.5.6:

kdelibs (4:3.5.5a.dfsg.1-7) unstable; urgency=high

  * Add patch 46_CVE-2007-1564-kdelibs-3.5.6.diff: untrusted sites that allow 
    Javascript injection could cause Konqueror or other web browsers based on 
    KHTML to perform port scanning.  CVE-2007-1564.

[ivan mincik]

Nie, bohuzial nie je to opravene. Pozeral som aj changelogy. A prave tak ze sa mi dany bug prejavoval som na neho prisiel .

[Tomáš Honzák]

http://www.debian.org/Bugs/Reporting