Исходное сообщение
"В пакетном менеджере RPM устранена опасная уязвимость" Отправлено Stax, 12-Дек-14 14:54
> Ну конечно. А скольким ауторити по дефолту доверяет эта либа? В смысле, сколько народа может сертификат на "а я типа тоже сервер рхел" выписать? Fedora uses a whole-file hash chain rooted in a hash downloaded over TLS/SSL from a Fedora-run central server. Вообще, в силу особенностей уязвимости файлы с официальных реп, когда их скачивают yum'ом ей не подвержены. А вот если кто-то вначале скачает по http, а потом поставит - даже через yum localinstall - теоретически можно нарваться Вообще баги интересные. И даже понятно, почему rpm так делает - вначале распаковывает файлы как временные, потом считает контрольные суммы. Когда-то (давно) двухпроходная распаковка - один раз для контрольных сумм, второй раз уже чтобы реально ставить - была непозволительной роскошью (во времена, когда с CD ставили); а с тех пор механизм подсчета контрольных сумм стал более гибким, например временно "откатывающий" изменения из-за prelink перед подсчетом, и иметь два совершенно разных способа подсчета, один для установленных файлов, а другой "виртуально" по файлам в памяти тоже было бы черевато ошибкой. Идеальным бы решением было бы, наверное, распаковка в какой-нибудь /tmp с проверкой там и последующим копированием в фс - но файлы нынче в пакетах большие, а tmp все чаще в оперативке.. В общем, тоже не слишком удобно. Но, кстати, (вроде) виндовый инсталлятор так делает. И ничего, пользователи как-то переживают.