| Summary: | dbus: Fix CVE-2019-12749 | ||
|---|---|---|---|
| Product: | [ROSA-based products] ROSA Fresh | Reporter: | Mikhail Novosyolov <m.novosyolov> |
| Component: | Packages from Main | Assignee: | ROSA Linux Bugs <bugs> |
| Status: | VERIFIED FIXED | QA Contact: | ROSA Linux Bugs <bugs> |
| Severity: | normal | ||
| Priority: | Normal | CC: | alzim, pastordidi, v.potapov, victorr2007, zombie.ryushu |
| Version: | All | Flags: | v.potapov:
qa_verified+
alzim: published+ |
| Target Milestone: | --- | ||
| Hardware: | All | ||
| OS: | Linux | ||
| Whiteboard: | |||
| Platform: | --- | ROSA Vulnerability identifier: | |
| RPM Package: | ISO-related: | ||
| Bad POT generating: | Upstream: | ||
|
Description
Mikhail Novosyolov
2019-07-31 02:37:08 MSK
The update is sent to expanded testing *************************************** Надо как-то обработать это обновление по-другому. Сейчас после обновления слетают значки, отключаются пункты меню (например, перезагрузка). Хотя бы описать пользователю, что делать, что это не зависание а просто особенность обновления компонента. В идеале чтоб таких эффектов не было, но хотя бы описать - описанный баг это не баг, это фича. (In reply to Vladimir Potapov from comment #2) > Надо как-то обработать это обновление по-другому. Сейчас после обновления > слетают значки, отключаются пункты меню (например, перезагрузка). Хотя бы > описать пользователю, что делать, что это не зависание а просто особенность > обновления компонента. > В идеале чтоб таких эффектов не было, но хотя бы описать - описанный баг это > не баг, это фича. Сейчас ещё раз проверил обновление в консоли. В конце установки пакетов выдало сообщение, что нужно перезагрузить систему. да, в графике тоже сообщение это есть. Но в том же KDE пытаешься нажать на кнопку перезагрузки, она не работает. Ну и сообщени идет от ядра и udev, dbus обновляется позже, к нему бы тоже это сообщение пристегнуть. Я думаю, решением было бы сообщение типа: "Необходима перезагрузка системы. Если графические средства для перезагрузки отключены, нажмите alt+f2 и введите команду перезагрузки reboot или произведите перезагрузку из консоли". reboot из консоли вызовет systemctl reboot, который по идее тоже требует dbus. Ситуация странная. такого вообще не должно происходить, сейчас подумаю. ******* QA ADVISORY ******** dbus 1.10.14-4 Depends from systemd in bug#10018 + https://abf.io/build_lists/3084375 + https://abf.io/build_lists/3084376 ************************************ commit 4164028b5930ba873993b0e78b2242b102655a41 Author: Mikhail Novosyolov <m.novosyolov@rosalinux.ru> Date: Tue Aug 6 22:15:44 2019 +0300 /var/run -> /run /var/run is a symlink to /run nowadays -- use /run directly Also, /run/dbus is a tmpfs created by systemd-tmpfiles -- no need to mark it as %%ghost in RPM files list commit bfb7c4d440930dfa603eecac6ebb8569e79c9bf9 Author: Mikhail Novosyolov <m.novosyolov@rosalinux.ru> Date: Tue Aug 6 21:57:20 2019 +0300 Migrate to systemd-sysusers Note: '%%_pre_groupadd daemon messagebus' did not really add user messagebus to group daemon (because the group daemon already existed, this is how that rpm-helper script works), so dropping 'daemon' in the new systemd-sysusers config commit baa107a73733860143b173187a727bf00691f81e Author: Mikhail Novosyolov <m.novosyolov@rosalinux.ru> Date: Tue Aug 6 20:45:26 2019 +0300 Use macro %%_userunitdir instead of hardcoding that path commit e6d5d490d01c4856bb9762d6f75a32a28a7db4fa Author: Mikhail Novosyolov <m.novosyolov@rosalinux.ru> Date: Tue Aug 6 20:32:42 2019 +0300 Don't restart dbus.service Restarting dbus.service when the system is working is a bad idea: as reported in https://bugzilla.rosalinux.ru/show_bug.cgi?id=10040#c2, KDE4 looses connection to dbus after it is restarted. systemd in general is deeply integrated with dbus, so let's just continue using the current version untill system is fully restarted, as it is done in case of the vast majority of systemd services. под плазмой теперь очень интересное поведение. Просит перезгрузиться (ура!) но кнопка перезагрузки исчезла из меню - только заблокировать и завершить сеанс. The update is sent to expanded testing *************************************** (In reply to Vladimir Potapov from comment #8) > под плазмой теперь очень интересное поведение. > Просит перезгрузиться (ура!) но кнопка перезагрузки исчезла из меню - только > заблокировать и завершить сеанс. Это вообще похоже на баг "плазмы", я сталкивался с тем, что после того, как system-autoupdate блокирует выключение системы, если в момент блокировки открыть в KDE 5 меню с кнопками перезагрузки/выключения, то они исчезнут, что правильно на момент блокировки, но после снятия блокировки они больше не появляются, похоже на какой-то кеш. Но здесь непонятно, почему при обновлении dbus и без его перезапуска они исчезают. dbus-1.10.14-4 https://abf.io/build_lists/3084375 https://abf.io/build_lists/3084376 ******************************* Advisory ***************************** Joe Vennix discovered that DBus incorrectly handled DBUS_COOKIE_SHA1 authentication. A local attacker could possibly use this issue to bypass authentication and connect to DBus servers with elevated privileges. ********************************************************************** QA Verified |