http://git.altlinux.org/tasks/216462/logs/events.1.1.log Искалка CVE выгребла из пакета curl для p8 все CVE за всю историю, хотя реально изменение в последней версии тривиальные и CVE не затрагивают. Довольно неприятно, если учесть что есть скрипты, полагающиеся на достоверность информации о CVE в логе сборки.
Не за всю историю, а только с конца 2016-го года. Всё дело в %ubt из-за его убирания поменялись все %changelog-entry в которых он упоминался.
Проблема скорее не в убирании %ubt, а в том, что система отслеживания CVE основывается на %EVR, а должна учитывать что-то другое (например, сами CVE, которые раньше не упоминались или текст из changelog).
Глеб прав. Там есть некоторая эвристика, написанная в попытке исключить влияние %ubt: # ignore %ubt branch suffix in changelogs sed -r -i 's/\.(S1|M[5-8]0[CPT]\.1)((\.[0-9]+)*)$/\2/' -- \ ${tmpdir}/changelog_new ${tmpdir}/changelog_old Видимо, в каких-то случаях её недостаточно, предлагайте улучшения.
Проблема не в том, как очищать от хлама changelog, в в чём-то другом У вас отличная эвристика, очищает changelog от всех вкраплений старой схемы бэкпорта пакетов. $ rpm -qp --changelog /mnt/ftp/pub/distributions/ALTLinux/p8/branch/files/SRPMS/curl-7.61.1-alt1.M80P.1.src.rpm |sed -r 's/\.(S1|M[5-8]0[CPT]\.1)((\.[0-9]+)*)$/\2/' |head -12 * Вс сен 09 2018 Anton Farygin <rider@altlinux.ru> 7.61.1-alt1 - 7.61.1 (fixes: CVE-2018-14618) * Чт авг 16 2018 Gleb F-Malinovskiy <glebfm@altlinux.org> 7.61.0-alt2 - Rebuilt with openssl 1.1. - Added BR: libkrb5-devel. * Вт июл 17 2018 Anton Farygin <rider@altlinux.ru> 7.61.0-alt1 - 7.61.0 - fixes: * CVE-2018-0500 SMTP send heap buffer overflow
Fixed in 03b7fb3202c48f3b1939e1e9c88ee52f8b4d3bc8.
