31636 2015-12-17 08:00:21 +0300 Нарушает ALT Secure Packaging Policy 2020-02-26 16:42:25 +0300 1 1 4 Development Sisyphus syslog-common unstable all Linux CLOSED FIXED https://www.altlinux.org/Secure_Packaging_Policy P3 blocker --- 34231 30940 1 evg placeholder aen asy boyarsh glebfm gremlin lav ldv mike placeholder sbolshakov taf viy vseleznv vt qa-sisyphus oldest_to_newest 154324 0 evg 2015-12-17 08:00:21 +0300 Пакет нарушает ALT Secure Packaging Policy, на что ежедневно в почту жалуется logrotate (3.9.1-alt2 и выше): =8<======================================================================= error: skipping "/var/log/uucp/Debug" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. error: skipping "/var/log/uucp/Log" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. error: skipping "/var/log/uucp/Stats" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. error: skipping "/var/log/uucp/errors" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. error: skipping "/var/log/uucp/info" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. error: skipping "/var/log/uucp/warnings" because parent directory has insecure permissions (it's not owned by "root"); consider using "su" directive in config file to tell logrotate which user/group should be used for rotation. =8<======================================================================= Полиси гласит: =8<======================================================================= Пакеты не должны содержать каталоги, принадлежащие псевдо-пользователям. Вместо этого следует использовать каталоги, принадлежащие root, с установленным sticky bit и доступом группы по записи. =8<======================================================================= Таким образом, пользователи пакетов postfix, openvpn, nut-server и, видимо, всех реализации syslog, установившие новый logrotate, сейчас каждый день получают такие вот письма. P.S.: предыстория здесь: https://bugzilla.altlinux.org/show_bug.cgi?id=31623 P.P.S.: согласно определению ldv в багтрекере, пакеты нарушающие SPP это блокер для выпуска продуктов, основанных на сизифе (цитата не дословная). 154326 1 ldv 2015-12-17 13:10:03 +0300 (In reply to comment #0) > Пакет нарушает ALT Secure Packaging Policy, на что ежедневно в почту жалуется > logrotate (3.9.1-alt2 и выше): > > =8<======================================================================= > error: skipping "/var/log/uucp/Debug" because parent directory has insecure > permissions (it's not owned by "root"); consider using "su" directive in config > file to tell logrotate which user/group should be used for rotation. > error: skipping "/var/log/uucp/Log" because parent directory has insecure > permissions (it's not owned by "root"); consider using "su" directive in config > file to tell logrotate which user/group should be used for rotation. > error: skipping "/var/log/uucp/Stats" because parent directory has insecure > permissions (it's not owned by "root"); consider using "su" directive in config > file to tell logrotate which user/group should be used for rotation. Какой софт создает эти три файла? Если изменим владельца каталога, кто-нибудь потеряет туда доступ? 154327 2 evg 2015-12-17 13:27:25 +0300 Создаёт пакет uucp: =8<===================================================== evg@thinkpad ~ $egrep '/var/log/uucp/[A-Z]' RPM/contents_index.* RPM/contents_index.x86_64:/var/log/uucp/Debug uucp RPM/contents_index.x86_64:/var/log/uucp/Log uucp RPM/contents_index.x86_64:/var/log/uucp/Stats uucp =8<===================================================== Видимо, потеряет. Возможно, его потребуется обновить. 154431 3 evg 2015-12-28 08:27:22 +0300 Впрочем, судя по правам на исполнимые файлы пакета uucp мне кажется что смена прав на root:uucp ничего не сломает: =8<=========================================================================== root@thinkpad ~ #rpm -qvl uucp |egrep -v "^d"|awk '{print $9}'|xargs egrep -c "\b(Stats|Debug)\b"|egrep -iv :0$ |grep -v /usr/share/doc/uucp|aw k -F: '{print $1}'|xargs ls -l |sort -r-s--s--x 1 uucp uucp 47648 Apr 19 2013 /usr/bin/uuname -r-s--s--x 1 uucp uucp 113504 Apr 19 2013 /usr/bin/uucp -r-s--s--x 1 uucp uucp 117592 Apr 19 2013 /usr/bin/uux -r-s--s--x 1 uucp uucp 125880 Apr 19 2013 /usr/bin/uustat -r-s--s--x 1 uucp uucp 129944 Apr 19 2013 /usr/sbin/uuxqt -r-s--s--x 1 uucp uucp 162968 Apr 19 2013 /usr/bin/cu -r-s--s--x 1 uucp uucp 283576 Apr 19 2013 /usr/sbin/uucico -rwxr-xr-x 1 root root 80448 Apr 19 2013 /usr/bin/uulog -rwxr-xr-x 1 root root 88744 Apr 19 2013 /usr/bin/uupick -rwxr-xr-x 1 root root 92512 Apr 19 2013 /usr/sbin/uuchk -rwxr-xr-x 1 root root 92536 Apr 19 2013 /usr/sbin/uuconv =8<=========================================================================== В любом случае, насколько я понимаю, у пакета uucp на порядки меньше пользователей чем у syslog-common, так что было бы оправдано привести syslog-common к SPP даже ценой поломки uucp (который можно починить без спешки после). Я попробовал собрать syslog-common согласно SPP, код у меня в git, бранч bug-31636 (http://git.altlinux.org/people/evg/packages/?p=sysklogd.git;a=commitdiff;h=10e85d118934593ec886df799c1aa735bcc435bf). На моих машинах это вроде бы починило данный баг. Но надо учитывать, что uucp полноценно протестировать мне просто не на чем (он у меня стоит исторически ради программы cu). Прошу проверить/поругать/собрать/дать ACL/... 154445 4 ldv 2015-12-29 03:29:52 +0300 (In reply to comment #3) > Впрочем, судя по правам на исполнимые файлы пакета uucp мне кажется что смена > прав на root:uucp ничего не сломает: > > =8<=========================================================================== > root@thinkpad ~ #rpm -qvl uucp |egrep -v "^d"|awk '{print $9}'|xargs egrep -c > "\b(Stats|Debug)\b"|egrep -iv :0$ |grep -v /usr/share/doc/uucp|aw > k -F: '{print $1}'|xargs ls -l |sort > -r-s--s--x 1 uucp uucp 47648 Apr 19 2013 /usr/bin/uuname > -r-s--s--x 1 uucp uucp 113504 Apr 19 2013 /usr/bin/uucp > -r-s--s--x 1 uucp uucp 117592 Apr 19 2013 /usr/bin/uux > -r-s--s--x 1 uucp uucp 125880 Apr 19 2013 /usr/bin/uustat > -r-s--s--x 1 uucp uucp 129944 Apr 19 2013 /usr/sbin/uuxqt > -r-s--s--x 1 uucp uucp 162968 Apr 19 2013 /usr/bin/cu > -r-s--s--x 1 uucp uucp 283576 Apr 19 2013 /usr/sbin/uucico > -rwxr-xr-x 1 root root 80448 Apr 19 2013 /usr/bin/uulog > -rwxr-xr-x 1 root root 88744 Apr 19 2013 /usr/bin/uupick > -rwxr-xr-x 1 root root 92512 Apr 19 2013 /usr/sbin/uuchk > -rwxr-xr-x 1 root root 92536 Apr 19 2013 /usr/sbin/uuconv > =8<=========================================================================== > > В любом случае, насколько я понимаю, у пакета uucp на порядки меньше > пользователей чем у syslog-common, так что было бы оправдано привести > syslog-common к SPP даже ценой поломки uucp (который можно починить без спешки > после). > > Я попробовал собрать syslog-common согласно SPP, код у меня в git, бранч > bug-31636 > (http://git.altlinux.org/people/evg/packages/?p=sysklogd.git;a=commitdiff;h=10e85d118934593ec886df799c1aa735bcc435bf). > На моих машинах это вроде бы починило данный баг. Но надо учитывать, что uucp > полноценно протестировать мне просто не на чем (он у меня стоит исторически > ради программы cu). Прошу проверить/поругать/собрать/дать ACL/... У меня это изменение, пожалуй, ничего не сломает, но ведь у меня и пакет uucp не установлен. Давайте лучше спросим мантейнера пакета uucp. 154446 5 evg 2015-12-29 04:02:38 +0300 Я думал, у пакета uucp есть/остались только пользователи :-) 154447 6 ldv 2015-12-29 04:11:38 +0300 (In reply to comment #5) > Я думал, у пакета uucp есть/остались только пользователи :-) Остались пользователи? Да вы, оказывается, оптимист! 154449 7 evg 2015-12-29 04:38:39 +0300 Я, например (за счёт программы cu). 154459 8 sbolshakov 2015-12-29 13:43:07 +0300 ого, я оказывается майнтайнер программы cu. а давайте я её отдельно запакую 155761 9 evg 2016-03-18 06:08:15 +0300 ping? 156058 10 evg 2016-04-13 18:42:11 +0300 cu теперь в отдельном подпакете. Дмитрий, как насчёт предложенного изменения в sysklogd? 156235 11 evg 2016-04-22 08:08:19 +0300 *** Bug 32011 has been marked as a duplicate of this bug. *** 156236 12 asy 2016-04-22 09:49:35 +0300 (In reply to comment #11) > *** Bug 32011 has been marked as a duplicate of this bug. *** Может, добавить su в секцию ротации для uucp, а дальше решать, что и как делать по-правильному ? Что-то делать уже надо, p8 выпускать в таком виде странно. 156240 13 asy 2016-04-22 13:38:55 +0300 (In reply to comment #6) > > Я думал, у пакета uucp есть/остались только пользователи :-) > > Остались пользователи? Да вы, оказывается, оптимист! Кстати, можно просто убрать упоминание uucp из syslog-common, а на uucp повесить баг о необходимости решить вопрос с логами со ссылкой на этот баг. Пусть с ним мантейнер uucp разбирается, если объявится. 158643 14 evg 2016-09-17 20:46:32 +0300 Открыл для себя ckermit. Но всё же: ldv@, ping? 159840 15 asy 2016-11-11 11:47:49 +0300 (In reply to comment #13) > (In reply to comment #6) > > > > Я думал, у пакета uucp есть/остались только пользователи :-) > > > > Остались пользователи? Да вы, оказывается, оптимист! > > Кстати, можно просто убрать упоминание uucp из syslog-common, а на uucp > повесить баг о необходимости решить вопрос с логами со ссылкой на этот баг. > Пусть с ним мантейнер uucp разбирается, если объявится. Или сделать комплексно: uucp из syslog-common убрать, одновременно в uucp упаковать /var/log/uucp в том виде, как оно сейчас в syslog-common и добавить правило для logrotate c su: /var/log/uucp/* { su uucp adm rotate 5 weekly postrotate /sbin/reload-syslog >/dev/null endscript } И можно отметить багом на пакет uucp, что надо понять, что с этим делать. 159992 16 viy 2016-11-18 15:01:13 +0300 у меня на всех repo нодах этот баг:( забивает почту мусором, что неприятно, так как почта - один из индикаторов проблем с нодой. Проблема, как я понимаю в жестком acl=ldv. Дмитрий, вы будете чинить или поручите кому? 159993 17 ldv 2016-11-18 15:10:25 +0300 (In reply to comment #16) > у меня на всех repo нодах этот баг:( > забивает почту мусором, что неприятно, так как почта - один из индикаторов > проблем с нодой. > > Проблема, как я понимаю в жестком acl=ldv. > > Дмитрий, вы будете чинить или поручите кому? Пакет syslog-common происходит из исходного пакета sysklogd, в котором есть более важные проблемы, требующие решения. Одна из них - починить собираемость пакета. В принципе понятно, как эти проблемы решать, но не вполне понятно, кто и когда это будет делать. 159994 18 viy 2016-11-18 15:16:57 +0300 (In reply to comment #17) > (In reply to comment #16) > > Проблема, как я понимаю в жестком acl=ldv. > > Дмитрий, вы будете чинить или поручите кому? > Пакет syslog-common происходит из исходного пакета sysklogd, в котором есть > более важные проблемы, требующие решения. Одна из них - починить собираемость > пакета. В принципе понятно, как эти проблемы решать, но не вполне понятно, кто > и когда это будет делать. возможно, стоит тогда acl открыть? чтобы если кому припечет, не жаловались, а могли исправить. 161329 19 asy 2017-01-15 12:42:31 +0300 *** Bug 32822 has been marked as a duplicate of this bug. *** 164005 20 asy 2017-06-08 11:43:09 +0300 (In reply to comment #17) > В принципе понятно, как эти проблемы решать, но не вполне понятно, кто > и когда это будет делать. Похоже, кто-то нашёлся: git://git.altlinux.org/people/boyarsh/packages/sysklogd.git Я себе собрал. Делает вид, что работает. 164792 21 lav 2017-07-20 16:33:10 +0300 Очень похоже, что пользователей пакета logrotate нет, или им cron не передаёт каждый час привет от logrotate. 165321 22 asy 2017-08-18 08:35:21 +0300 Антон, а какие препятствия мешают sysklogd 1.4.1-alt31 в Сизиф отправить? 165351 23 mike 2017-08-22 09:13:34 +0300 А он не пересобирался после обновления glibc. По этой части уже предприняты необходимые действия, но до сизифа результат ещё не добрался. 166538 24 lav 2017-10-25 01:33:08 +0300 (В ответ на комментарий №23) > А он не пересобирался после обновления glibc. По этой части уже предприняты > необходимые действия, но до сизифа результат ещё не добрался. Посмотрел, что версия 1.4.1 прожила лет 17. С такими масштабами в ближайшие лет 5 ждать обновления даже в Сизифе не стоит. 166610 25 mike 2017-10-26 19:57:19 +0300 (В ответ на комментарий №24) > С такими масштабами в ближайшие лет 5 ждать обновления даже в Сизифе не стоит. Думаю, к p9 всё-таки неизбежно придётся починить. 167003 26 asy 2017-11-07 10:45:15 +0300 (In reply to comment #23) > А он не пересобирался после обновления glibc. По этой части уже предприняты > необходимые действия, но до сизифа результат ещё не добрался. Может в p8 хотябы ? 167004 27 asy 2017-11-07 10:46:58 +0300 (In reply to comment #26) > > А он не пересобирался после обновления glibc. По этой части уже предприняты > > необходимые действия, но до сизифа результат ещё не добрался. > > Может в p8 хотябы ? А, так надо как-то версию в Сизифе вырастить... 167175 28 lav 2017-11-12 19:16:55 +0300 В случае отсутствия реакции мейнтейнера на ошибки с серьёзностью Blocker в bugzilla.altlinux.org в течение 12 часов следует добавить комментарий к ошибке с запросом на NMU и подготовить обновление. Одновременно с заливкой NMU рекомендуется указать мейнтейнеру на git с исправлением (если мейнтейнер использует gear) либо приложить к ошибке в bugzilla.altlinux.org патч. https://www.altlinux.org/NMU Если исправление пакета готово, подготовьте task и напишите запрос на NMU. 167483 29 asy 2017-11-27 11:24:20 +0300 (In reply to comment #28) > Если исправление пакета готово, подготовьте task и напишите запрос на NMU. Проблема в том, что во всех репозиториях (как минимум от p5/5.1 и новее) версия sysklogd 1.4.1-alt30. В p8 он бы собрался, но невозможно сделать версию для p8 больше p7 и меньше Sisyphus. А в Sisyphus краткий момент возможности пересобрать упущен: Comment #23 173659 30 repository-robot 2018-08-29 01:40:48 +0300 syslog-common-2-alt1 -> sisyphus: * Tue Aug 28 2018 Dmitry V. Levin <ldv@altlinux> 2-alt1 - Split syslog-common out of sysklogd package. - Moved /etc/syslog.d to filesystem package. - Fixed /var/log/uucp permissions (closes: #31636). 173662 31 evg 2018-08-29 06:04:58 +0300 Ура, три года почти. 188200 32 asy 2020-02-26 16:42:25 +0300 (In reply to Michael Shigorin from comment #23) > А он не пересобирался после обновления glibc. По этой части уже предприняты > необходимые действия, но до сизифа результат ещё не добрался. Немного может быть поздно, но может имеет смысл отправить sysklogd 1.4.1-alt31 в p8, раз пакет теперь уже отсутствует в более свежих репозиториях?