Re: [gentoo-user-de] QA Notice???

[Tobias Scherbaum <dertobi123@gentoo.org>]

[-- Attachment #1: Type: text/plain, Size: 3150 bytes --]

Am Sonntag, den 07.06.2009, 22:59 +0200 schrieb newsgroup@donbruno.de:
> ich habe die u.g. Messages, was sollen die mir genau sagen?

Versuchen wir es mal :) (btw. du darfst gerne unter deinem Realnamen
posten.)

> * QA Notice: Files built without respecting LDFLAGS have been detected
>  *  Please include the following list of files in your report:
>  * /usr/lib32/libportaudio.so.18

Lies: Optional angegebene LDFLAGS wurden nicht berücksichtigt. Bugreport
dazu gibts so ich das gesehen habe noch nicht, bitte erstelle einen.

>  * QA Notice: Pre-stripped files found:
>  * /usr/lib64/qt4/plugins/designer/libpythonplugin.so
>  * /usr/lib64/python2.5/site-packages/dbus/mainloop/qt.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtSql.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtSvg.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtDesigner.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtXml.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/Qt.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtOpenGL.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtNetwork.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtCore.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtGui.so
>  * /usr/lib64/python2.5/site-packages/PyQt4/QtScript.so
> strip: x86_64-pc-linux-gnu-strip --strip-unneeded -R .comment
>    usr/bin/pylupdate4
>    usr/bin/pyrcc4

Im Normalfall übernimmt Portage das "strippen" von Binaries/Libraries
(lies: optionale Informationen/Kommentare werden daraus gelöscht, so
dass diese kleiner werden), hier sind die bemängelten Files schon
innerhalb des Buildsystems gestrippt worden, so dass - so man auf das
strippen verzichten mag - dies in Portage zwar konfigurieren könnte,
dies aber für diese Dateien ohne Auswirkung bliebe.

Auch hier -> Bugreport.

>  * QA Notice: The following files contain insecure RUNPATH's
>  *  Please file a bug about this at http://bugs.gentoo.org/
>  *  with the maintaining herd of the package.
>  
> * /var/tmp/portage/dev-python/PyQt4-4.4.4-r2/work/PyQt-x11-gpl-4.4.4/qpy/QtDesigner:/usr/lib64/qt4 
> usr/lib64/python2.5/site-packages/PyQt4/QtDesigner.so
> 
> Auto fixing rpaths 
> for /var/tmp/portage/dev-python/PyQt4-4.4.4-r2/work/PyQt-x11-gpl-4.4.4/qpy/QtDesigner:/usr/lib64/qt4 
> usr/lib64/python2.5/site-packages/PyQt4/QtDesigner.so

Bei den hier bemängelten Files ist der hinterlegte Pfad, der bei
Ausführung nach shared-libs durchsucht wird "unsicher" -> Bugreport.

Als Beispiel: Du startest ein Programm welches gegen o.g. QtDesigner.so
gelinkt ist. QtDesigner.so ist wiederum gegen andere Libs gelinkt, bei
einem insecure RUNPATH wird nun zunächst dieser nach der benötigten Lib
durchsucht, dann erst der LD_LIBRARY_PATH. d.h. wenn man hardcoded
bspw. /tmp als RUNPATH wo unterbringt, *könnte* es zur Kompromittierung
eines Systems ausreichen, eine modifzierte Library dort abzulegen und
diese so durch den Anwender ausführen lassen.

Gruß,
Tobias


-- 
Gentoo Linux - Die Metadistribution
http://www.mitp.de/5941
http://www.metadistribution.eu

https://www.xing.com/profile/Tobias_Scherbaum

[-- Attachment #2: Dies ist ein digital signierter Nachrichtenteil --]
[-- Type: application/pgp-signature, Size: 198 bytes --]