LINUX.ORG.RU

gentoo: где патч на perl?

 ,


0

2

В перле обнаружили стремную ошибку связанную с переполнением буфера (https://www.opennet.ru/opennews/art.shtml?num=63068).

Прошло несколько дней и почти во всех дистрибах дыру залатали, а в генте до сих пор тишина. Почему? Я уже сам вчера написал патч и применил, у меня это заняло 10 минут.

Не знаете с чем связано такое долгое затишье? Там реально одну строчку добавить надо. Вот кстати патч:

diff --git a/op.c b/op.c
index 69ff030e88eb..298b2926338a 100644
--- a/op.c
+++ b/op.c
@@ -6881,6 +6881,7 @@ S_pmtrans(pTHX_ OP *o, OP *expr, OP *repl)
                  * same time.  But otherwise one crosses before the other */
                 if (t_cp < 256 && r_cp_end > 255 && r_cp != t_cp) {
                     can_force_utf8 = TRUE;
+                    max_expansion = MAX(2, max_expansion);
                 }
             }
 
Ответ на: комментарий от sehellion

Для этого я должен специально руками поставить эту версию и поломать тем самым кучу зависимостей. Ну и самое главное - я должен быть в курсе уязвимости. Так дела не делаются

gentoorulz
() автор топика
Ответ на: комментарий от gentoorulz

Я и без этих действий вижу, что пакет в тестовой ветке.

Ну и самое главное - я должен быть в курсе уязвимости. Так дела не делаются

Ну я до этого треда был не в курсе, а теперь в курсе, но мне все равно, обновлять или патчить в ручную не буду.

Нужно правильно выбирать инструмент под задачи.

sehellion ★★★★★
()
Ответ на: комментарий от gentoorulz

вопрос чем ментейнеры занимаются так долго

Работают, отдыхают, живут, в общем. А в свободное время, когда есть настроение, обновляют пакеты. Ты же им не платишь за работу.

anonymous
()

Проблема проявляется в стабильных релизах Perl начиная с 2021 года и затрагивает ветки Perl 5.34, 5.36, 5.38 и 5.40.

Как хорошо что меня не затронуло. Везде либо нет перла вообще, либо 5.32, либо 5.16 даже. Ну и даже там где он есть, он скорее всего не используется.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)
Ответ на: комментарий от gentoorulz

Ну, к идеалу надо стремиться, а прям сразу его реализовать затруднительно, да. Линукс-дистры обычно так или иначе прибиты гвоздями к перлу, и нужно работать для того чтоб от этого избавиться. Вот в фрибсд дефолтно ни перла ни питона нет, красота.

5.32 то дебиан 11, 5.16 это шапка 7.

firkax ★★★★★
()
Ответ на: комментарий от gentoorulz

только не /etc/portage/patches/dev-lang/perl, а /etc/portage/patches/dev-lang/perl-5.40.0-r1

По-всякому можно. У меня сейчас, например, все патчи без привязки к версиям, а когда что-то перестаёт ложиться, то это, как правило, значит, что патч попал в апстрим и его пора сносить

annulen ★★★★★
()

Вот кстати патч:

А вот альтернативный патч:

diff -ru perl-5.38.2/doop.c perl-5.38.2_fix/doop.c
--- perl-5.38.2/doop.c	2023-11-28 16:55:12.000000000 +0300
+++ perl-5.38.2_fix/doop.c	2025-04-14 16:14:46.161888188 +0300
@@ -442,6 +442,9 @@
      * assume cannot */
     if (! out_is_utf8 && (PL_op->op_private & OPpTRANS_CAN_FORCE_UTF8)) {
         inplace = FALSE;
+		if (max_expansion < 2) {
+            	max_expansion = 2;
+        }
     }
 
     s = (U8*)SvPV_nomg(sv, len);

saahriktu ★★★★★
()
Ответ на: комментарий от gentoorulz

В общем, судя по реакции ментейнеров, gentoo - дистриб не для безопасности

Она мертвая просто. Мертвее слаки даже, как мне кажется. Но может это и хорошо, меньше всякой дичи пролезет. На локалхосте вся эта безопасность идет лесом, а в продакшне ты же не будешь генту ставить, не так ли?

bread
()
Ответ на: комментарий от gentoorulz

Может потому что мейторов по пальцам пересчитать, а хотелкиных так много, плюс это гентуха с одним юзем собирается а с другим нет, я уже не говорю о других нюансах, это не оправдание мейтеров, но если мотонуть лет так 5 гентуха можно сказать быстро реагируют на добавление софта в мейнстрим я порой не успевают перекатываться оверлея

SPRATAY ★★
()
Ответ на: комментарий от LongLiveUbuntu

А у тебя такой опыт есть? Поделись, если есть что сказать

Вообще мне стабильность какая-никакая нужна и каждый день что-то обновлять и конпилять не то чтобы очень хочется :(

gentoorulz
() автор топика