Bug 3304 - insecure tempfile handling in munchlist and findaffix
Summary: insecure tempfile handling in munchlist and findaffix
Status: CLOSED FIXED
Alias: None
Product: Sisyphus
Classification: Development
Component: ispell (show other bugs)
Version: unstable
Hardware: all Linux
: P5 blocker
Assignee: Vital Khilko
QA Contact: qa-sisyphus
URL:
Keywords:
Depends on:
Blocks:
 
Reported: 2003-11-22 17:47 MSK by Sergey Vlasov
Modified: 2005-07-13 15:45 MSD (History)
3 users (show)

See Also:


Attachments

Note You need to log in before you can comment on or make changes to this bug.
Description Sergey Vlasov 2003-11-22 17:47:45 MSK
В скриптах munchlist и findaffix используются небезопасные методы работы с
временными файлами.

См. также http://membled.com/work/patches/ispell/ - но использованный там метод,
вероятно, тоже надо исправлять в сторону применения mktemp.
Comment 1 inger@altlinux.org 2004-06-03 17:12:54 MSD
Это серьёзная ошибка. 
Предлагаю исправить это Лёше Турбину ибо мантейнер кажется не может. 
 
  
Comment 2 Vital Khilko 2004-06-03 17:22:57 MSD
в понедельник будет исправлена
Comment 3 at@altlinux.org 2004-06-04 11:49:58 MSD
Попробую исправить я уже сегодня, исправления вышлю личной почтой.
Comment 4 at@altlinux.org 2004-06-07 08:21:00 MSD
Собрал, как и предлагается, 3.2.06.epa7, потому что там есть много других мелких
исправлений.
В процессе тестирования вылезла одна неувязочка: русский словарь отвалился.
Illegal format hash table /usr/lib/ispell/russianw.hash - expected magic2 0x9602,
got 0xdf^M^@
С чем это связано, пока не понимаю.  Разбираюсь дальше.
Comment 5 Sergey Vlasov 2004-06-07 12:33:16 MSD
Насколько я помню, этот патч меняет форматы словарей, поэтому требуется их
пересборка.
Comment 6 at@altlinux.org 2004-06-07 21:50:48 MSD
Плохо.  Стоит ли перейти на эту ветку/новый формат прямо сейчас, или достаточно
ограничиться alt-tmp.patch?  Будут ли новые официальные версии ispell?
Comment 7 Vital Khilko 2004-06-09 11:23:46 MSD
Я думаю alt-tmp.patch будет вполне достаточно.
Мы ещё с осени думали что делать с устаревшим ispell. И единственным поводом
оставить его была невозможность сборки словарей Лебедева для aspell при
отсутствии ispell.
Comment 8 Dmitry V. Levin 2004-06-09 13:40:35 MSD
Думаю, что у ispell всё ещё есть преимущества перед aspell.
Comment 9 at@altlinux.org 2004-06-15 14:46:01 MSD
Короче, ispell-ru-lebedev-0.99f6-alt1 пересобирается у меня с epa7 уже часа три:
+ munchlist -l ./russian-lebedev.aff -v combined.list

Если после пересборки этот словарь с ходу заработает, тогда предлагаю перейти на
epa7.  (Боюсь, что автоматической переборка словарей не получится, т.к. придется
поправить зависимости из-за изменения формата словарей.)

Проблема с ispell в том, что официальная ветка не развивается, уже года два как. 
Но есть неофициальная ветка, которая говорит о том, что ispell всё ещё
востребован.
Comment 10 Vital Khilko 2004-07-21 11:45:58 MSD
Алексей ваша сборка лежащая в инкоминге не собралась, удалите её плз, я попробую
ещё раз залить.
Comment 11 Vital Khilko 2004-07-23 11:15:54 MSD
ispell-3.2.06-alt5,  патчи epa7 оставляем на post-Master.
Отдельное огромное спасибо Алексею Турбину.