Bug 35606

Summary:	сломана искалка CVE
Product:	Infrastructure	Reporter:	Anton Farygin <rider>
Component:	girar	Assignee:	Dmitry V. Levin <ldv>
Status:	CLOSED FIXED	QA Contact:	Andrey Cherepanov <cas>
Severity:	major
Priority:	P3	CC:	aen, glebfm, ldv, lineprinter, rider, sotor
Version:	unspecified
Hardware:	all
OS:	Linux

Description Anton Farygin 2018-11-14 15:01:41 MSK

http://git.altlinux.org/tasks/216462/logs/events.1.1.log

Искалка CVE выгребла из пакета curl для p8 все CVE за всю историю, хотя реально изменение в последней версии тривиальные и CVE не затрагивают.

Довольно неприятно, если учесть что есть скрипты, полагающиеся на достоверность информации о CVE в логе сборки.

Comment 1 Gleb F-Malinovskiy 2018-11-14 15:21:14 MSK

Не за всю историю, а только с конца 2016-го года.
Всё дело в %ubt из-за его убирания поменялись все %changelog-entry в которых он упоминался.

Comment 2 Anton Farygin 2018-11-14 15:33:21 MSK

Проблема скорее не в убирании %ubt, а в том, что система отслеживания CVE основывается на %EVR, а должна учитывать что-то другое (например, сами CVE, которые раньше не упоминались или текст из changelog).

Comment 3 Dmitry V. Levin 2018-11-14 17:59:17 MSK

Глеб прав.
Там есть некоторая эвристика, написанная в попытке исключить влияние %ubt:

# ignore %ubt branch suffix in changelogs
sed -r -i 's/\.(S1|M[5-8]0[CPT]\.1)((\.[0-9]+)*)$/\2/' -- \
    ${tmpdir}/changelog_new ${tmpdir}/changelog_old

Видимо, в каких-то случаях её недостаточно, предлагайте улучшения.

Comment 4 Anton Farygin 2018-11-14 18:04:13 MSK

Проблема не в том, как очищать от хлама changelog, в в чём-то другом
У вас отличная эвристика, очищает changelog от всех вкраплений старой схемы бэкпорта пакетов.


$ rpm -qp --changelog /mnt/ftp/pub/distributions/ALTLinux/p8/branch/files/SRPMS/curl-7.61.1-alt1.M80P.1.src.rpm |sed -r 's/\.(S1|M[5-8]0[CPT]\.1)((\.[0-9]+)*)$/\2/' |head -12

* Вс сен 09 2018 Anton Farygin <rider@altlinux.ru> 7.61.1-alt1
- 7.61.1 (fixes: CVE-2018-14618)

* Чт авг 16 2018 Gleb F-Malinovskiy <glebfm@altlinux.org> 7.61.0-alt2
- Rebuilt with openssl 1.1.
- Added BR: libkrb5-devel.

* Вт июл 17 2018 Anton Farygin <rider@altlinux.ru> 7.61.0-alt1
- 7.61.0
- fixes:
  * CVE-2018-0500 SMTP send heap buffer overflow

Comment 5 Dmitry V. Levin 2018-11-29 21:37:43 MSK

Fixed in 03b7fb3202c48f3b1939e1e9c88ee52f8b4d3bc8.