ALT Linux Bugzilla – Full Text Bug Listing
| Summary: | secure packaging policy violation | ||
|---|---|---|---|
| Product: | Sisyphus | Reporter: | Sergey Bolshakov <sbolshakov> |
| Component: | nginx | Assignee: | Anton Farygin <rider> |
| Status: | CLOSED FIXED | QA Contact: | qa-sisyphus |
| Severity: | blocker | ||
| Priority: | P2 | CC: | icesik, php-coder, rider, vvk |
| Version: | unstable | ||
| Hardware: | all | ||
| OS: | Linux | ||
|
Description
Sergey Bolshakov
2007-08-28 19:28:06 MSD
Если речь про mkdir/chown/chmod в start(), то это действительно разумно вытащить в %install/%files. 2 mithraen: патчик сообразить? Я так понимаю, что это было сделано *действительно* на скорую руку... Я всегда скажу только спасибо за повешеный на меня блокер, и огромное спасибо за патчики на такой блокер. Разве это блокер? Гм... Если программа, работает, то IMHO это уже не блокер. blocker -- это ситуация, когда из-за ошибки в пакете откладывается выпуск продуктов, в которые входит этот пакет. В тех продуктах, которые мы выпускаем, spp violation -- это blocker. (In reply to comment #4) > В тех продуктах, которые мы выпускаем, spp violation -- это blocker. Можно ссылку на SPP? И ещё хорошо бы узнать чем mkdir/chown/chmod в init-скрипте могут угрожать безопасности системы? Спасибо. (In reply to comment #5) Посмотрел на init скрипт. Интересно каким должен быть фикс? (Правильно ли понимаю, что все вызовы mkdir/chown/chmod нужно просто перенести в секцию %files с соответсвующими %attr()?) Sisyphus/doc/alt-packaging/spp.tex "Владельцы каталогов" Вроде как исправлено у меня в git. Я вспомнил зачем мне нужны были mkdir. /var/run и /var/lock у меня на отдельных машинках это tmpfs. /var/spool/nginx тоже. Я считаю blocker'ами тот факт что большинство пакетов у нас не могут работать без модификации в таких условиях :( Как бы сделать так чтобы и волки целы, и овцы сыты? Боюсь, до надёжного tmpfs я себе такое не пожелаю всё-таки... А что в нем такого что /var/run и /var/lock держать нельзя? ...а если пожелаю -- то пойду вешать FR на service добавить check_paths() в /etc/init.d/functions :) Если ты забыл, то на tmpfs при существенной нагрузке на VM (когда он попадает в своп) теряются файлы. Для сборки это совсем плохо, но если пропадёт пидфайл и monit (или apt-get dist-upgrade) накосячит навроде запуска второй пачки процессов -- боюсь, тоже не фонтан. Всё-таки это лучше решать на уровне дистрибутива; локально я бы влепил второй инитскрипт а-ля nginx-dirs, который стартует чуть раньше и озадачивается такими хаками. Не в пакет, конечно, а вместе с tmpfs. Знаешь, а твоя мысль мне нравится... Особенно с учетом того, что у нас теперь работают LSB initscripts. Можно и в дистрибутив набор таких хаков отправить. Ушло в incoming/ Спасибо! PS: 2 sbolshakov: у тебя и поближе есть чего проверить ;-P $ ls -ld /var/run/avahi-daemon drwxrwx--- 2 _avahi _avahi 48 Jun 29 15:38 /var/run/avahi-daemon $ rpm -qf --lastchange /var/run/avahi-daemon * Fri Jun 29 2007 Sergey V Turchin <zerg at altlinux dot org> 0.6.20-alt2 - reload dbus config instead of restart avahi-daemon это другой пакет, поэтому, пожалуйста, напишите новую багу, если только в avahi-daemon-0.6.21-alt1 уже не исправлено. |
