24976 2011-01-25 19:48:46 +0300 update to 3.51+ 2012-10-06 11:08:33 +0400 1 1 4 Development Sisyphus perl-CGI unstable all Linux CLOSED FIXED http://www.bugzilla.org/releases/3.6.4/release-notes.html security P3 normal --- 1 mike viy at cas crux ender lav ldv mike qa_viy shaba viy qa-sisyphus oldest_to_newest 117659 0 mike 2011-01-25 19:48:46 +0300 Необходимо обновить (также доступен 3.52): + # 3.51 fixes a security problem that affects Bugzilla. + # (bug 591165) + version => '3.51', http://search.cpan.org/~markstos/CGI.pm-3.51/ 117661 1 mike 2011-01-25 20:10:53 +0300 Пушнул perl-CGI.git с подготовленными 3.50 и 3.51 в бранче cpan, при мерже в master вылезли конфликты: Auto-merging MANIFEST Removing cgi-lib_porting.html Auto-merging lib/CGI.pm CONFLICT (content): Merge conflict in lib/CGI.pm Auto-merging lib/CGI/Carp.pm Auto-merging lib/CGI/Cookie.pm CONFLICT (content): Merge conflict in lib/CGI/Cookie.pm Auto-merging lib/CGI/Pretty.pm Automatic merge failed; fix conflicts and then commit the result. Одно про временные файлы (разъехались реализации), второе -- про require Apache2::RequestUtil; (аналогично). Сам решать в пользу cpan не решился. http://git.altlinux.org/people/mike/packages/?p=perl-CGI.git;a=shortlog;h=refs/heads/cpan 117662 2 at 2011-01-25 20:18:14 +0300 У нас perl-CGI уже исправлен. 117663 3 mike 2011-01-25 20:33:31 +0300 Спасибо; своей багзиле-то объясню, но и 3.52 на дворе всё же, и форк выходит. 117664 4 at 2011-01-25 20:40:59 +0300 В перле 5.12.3 такой же исправленный CGI как у нас собранный отдельно. Потому что типа CGI считатается частью perl core или perl standard library. Хотя по отдельности обновлять вроде бы тоже можно. Мо-моему, если кто-то требует версию CGI больше 3.49, то он не учитывает, что в perl 5.12.3 исправленный CGI имеет версию 3.49. Вообще это порочная практика - указывать минимальную требуемую версию зависимосити, исходя из CVE. Помнится у нас одно время был старый ssh, но хорошо пропатченный. И вот много жалоб былао, что весрия не канает... 117667 5 mike 2011-01-25 21:09:27 +0300 Лёш, я-то потому и привёл кусок bugzilla-3.6.4/Bugzilla/Install/Requirements.pm -- сперва сходил в CPAN и посмотрел на отдельные CGI.pm-3.49 и CGI.pm-3.50. 133758 6 crux 2012-10-06 11:08:16 +0400 Закрываю