Übrigens gibt es eine spannende Lektüre zu der (zum Glück in letzter Minute aufgedeckten) Kompromittierung von ssh via xz:
Hab ich in der CT schon gelesen, das war aber ein ganz anderer Angriffsvektor.......
Übrigens:
Wer sagt dir, das die Pakete in den von dir eingebundenen /home Repos nicht kompromittiert sind??????????
Denn die werden auch teilweise lokal gebaut und dann erst hochgeladen......
Wo ich etwas sehen will, sehe ich etwas.....
Ich bin da altmodisch: zypper dup läuft mit root-Rechten und soll dann auch nur RPMs anfassen bzw. einspielen, die root gehören - und nicht Files aus irgendwelchen User-Verzeichnissen ...
Da kannst du die Rechte ja einschränken, siehe z.B. das .ssh Verzeichnis in deinem /home.......
Noch mal:
Ist Murks.
Wenn ich ein lokales Verzeichnis als Repo definiere und mir ein böser Mensch dort ein manipuliertes rpm hereinschiebt - was mag dann wohl passieren, wenn root das nächste Mal "zypper (d)up" ausführt ?
Dann hast du ganz andere Probleme..........
Ich weiß auch nicht, wie slowroll jetzt mit den Dateirechten im /home eines Users umgeht, bei einer Neuinstallation von Leap 16.0 wird Username/Username benutzt.
Wenn ich aber das neue openvpn-RPM aus meinem lokalen repo-Verzeichnis herausnehme, meckert zypper wieder:
Du meinst also, du löscht (verschiebst) das Paket aus dem Verzeichnis?
Dann wird eine Abhängigkeit nicht funktionieren........
Poste einmal die ganze Ausgabe von:
zypper dupzypper veDas gleiche habe ich übrigens auch auf meinem Dualseat System gemacht, das noch unter Leap 15.6 läuft. Und da will zypper mein neues Package nicht wieder gegen die alten Packages von SuSE austauschen (ja, ich weiß, dass "zypper dup" und "zypper up" zwei verschiedene Dinge sind). Daher irritiert mich die geänderte Logik bei SlowRoll aber immer wieder ...
zypper dup macht schon seit Jahren keinen automatischen Repowechsel mehr, das wurde wegen Tumbleweed damals so geändert.
Ich baue nicht in dem repo-Verzeichnis - da verlinke ich nur die benötigten Endprodukte, um zypper glücklich zu machen.
Mein lokales Repo-Verzeichnis soll aber nur für root zugänglich sein, damit nicht jeder RPMs einschmuggeln kann.
Murks.
Gebaut wird als User im Users /home, nur installiert wird als root.
Daher ist es egal, wo die rpms liegen, nur root kann installieren.
Wenn du aber jetzt eine rpmbuild Umgebung aufsetzt und das RPM Verzeichnis als Repo einfügst, brauchst du nichts mehr verschieben.
dir:/root/install/repo_rk
Warum unter root????
zypper lr -d | grep stephan
10 | Programme | Programme-rpm | Ja | ( p) Ja | Ja | - | 99 | plaindir | dir:/home/stephan/Programme86x64/Programme |
12 | RPMS | Rpmbuild | Ja | ( p) Ja | Ja | - | 70 | plaindir | dir:/home/stephan/rpmbuild/RPMS Für Leap 16.0
rpm -ql rpm | grep -i "/usr/lib64"
/usr/lib64/librpm.so.10
/usr/lib64/librpm.so.10.2.1
/usr/lib64/librpmio.so.10
/usr/lib64/librpmio.so.10.2.1
/usr/lib64/librpmsign.so.10
/usr/lib64/librpmsign.so.10.2.1
/usr/lib64/rpm-plugins
/usr/lib64/rpm-plugins/fapolicyd.so
/usr/lib64/rpm-plugins/prioreset.so
/usr/lib64/rpm-plugins/selinux.so
/usr/lib64/rpm-plugins/syslog.so
/usr/lib64/rpm-plugins/unshare.solinux64:/home/stephan # rpm -q --scripts rpm
postinstall scriptlet (using /bin/sh):
PNAME=services
SUBPNAME=-rpm
SYSC_TEMPLATE=/usr/share/fillup-templates/sysconfig.$PNAME$SUBPNAME
# If template not in new /usr/share/fillup-templates, fallback to old TEMPLATE_DIR
if [ ! -f $SYSC_TEMPLATE ] ; then
TEMPLATE_DIR=/var/adm/fillup-templates
SYSC_TEMPLATE=$TEMPLATE_DIR/sysconfig.$PNAME$SUBPNAME
fi
SD_NAME=""
if [ -x /bin/fillup ] ; then
if [ -f $SYSC_TEMPLATE ] ; then
echo "Updating /etc/sysconfig/$SD_NAME$PNAME ..."
mkdir -p /etc/sysconfig/$SD_NAME
touch /etc/sysconfig/$SD_NAME$PNAME
/bin/fillup -q /etc/sysconfig/$SD_NAME$PNAME $SYSC_TEMPLATE
fi
else
echo "ERROR: fillup not found. This should not happen. Please compare"
echo "/etc/sysconfig/$PNAME and $TEMPLATE_DIR/sysconfig.$PNAME and"
echo "update by hand."
fi
# var/lib/rpm migration: set forwards compatible symlink for /usr/lib/sysimage/rpm so scriptlets in same transaction will still work
if test ! -L var/lib/rpm -a ! -f usr/lib/sysimage/rpm/Packages -a ! -f usr/lib/sysimage/rpm/Packages.db ; then
if test -f var/lib/rpm/Packages -o -f var/lib/rpm/Packages.db ; then
rmdir usr/lib/sysimage/rpm
ln -s ../../../var/lib/rpm usr/lib/sysimage/rpm
fi
fi
test -f usr/lib/sysimage/rpm/Packages -o -f usr/lib/sysimage/rpm/Packages.db || rpmdb --initdb
test -e var/lib/rpm || ln -s ../../usr/lib/sysimage/rpm var/lib/rpm
posttrans scriptlet (using /bin/sh):
# var/lib/rpm migration
if test ! -L var/lib/rpm ; then
# delete no longer maintained databases
rm -f var/lib/rpm/Filemd5s var/lib/rpm/Filedigests var/lib/rpm/Requireversion var/lib/rpm/Provideversion
if test -f var/lib/rpm/Packages -o -f var/lib/rpm/Packages.db ; then
echo "migrating rpmdb from /var/lib/rpm to /usr/lib/sysimage/rpm..."
# remove forwards compatible symlink
if test -L usr/lib/sysimage/rpm ; then
rm -f usr/lib/sysimage/rpm
mkdir -p usr/lib/sysimage/rpm
fi
mv -f var/lib/rpm/.[!.]* usr/lib/sysimage/rpm/
mv -f var/lib/rpm/* usr/lib/sysimage/rpm/
fi
test -d var/lib/rpm && rmdir var/lib/rpm
test -e var/lib/rpm || ln -s ../../usr/lib/sysimage/rpm var/lib/rpm
fi
linux64:/home/stephan # Für Leap 15.6:
rpm -ql rpm | grep -i "/usr/lib64"
/usr/lib64/librpm.so.8
/usr/lib64/librpm.so.8.2.0
/usr/lib64/librpmbuild.so.8
/usr/lib64/librpmbuild.so.8.2.0
/usr/lib64/librpmio.so.8
/usr/lib64/librpmio.so.8.2.0
/usr/lib64/librpmsign.so.8
/usr/lib64/librpmsign.so.8.2.0
/usr/lib64/rpm-plugins
/usr/lib64/rpm-plugins/ima.so
/usr/lib64/rpm-plugins/prioreset.so
/usr/lib64/rpm-plugins/selinux.so
/usr/lib64/rpm-plugins/syslog.so
stephan@opensuse156:~> Die Verzeichnisse und Dateien brauchst du.
Dieses postinstall Script wird ausgeführt.Aber bevor du das ausfühhrst, nachdem du die Dateien wiederhergestellt hast würd ich rpm noch einmal installieren mit:
rpm -i /Pfad/zum/rpm-Paket/rpm-xxx.rpm Ansonsten:
stephan@opensuse156:~> rpm -q --scripts rpm
postinstall scriptlet (using /bin/sh):
PNAME=services
SUBPNAME=-rpm
SYSC_TEMPLATE=/usr/share/fillup-templates/sysconfig.$PNAME$SUBPNAME
# If template not in new /usr/share/fillup-templates, fallback to old TEMPLATE_DIR
if [ ! -f $SYSC_TEMPLATE ] ; then
TEMPLATE_DIR=/var/adm/fillup-templates
SYSC_TEMPLATE=$TEMPLATE_DIR/sysconfig.$PNAME$SUBPNAME
fi
SD_NAME=""
if [ -x /bin/fillup ] ; then
if [ -f $SYSC_TEMPLATE ] ; then
echo "Updating /etc/sysconfig/$SD_NAME$PNAME ..."
mkdir -p /etc/sysconfig/$SD_NAME
touch /etc/sysconfig/$SD_NAME$PNAME
/bin/fillup -q /etc/sysconfig/$SD_NAME$PNAME $SYSC_TEMPLATE
fi
else
echo "ERROR: fillup not found. This should not happen. Please compare"
echo "/etc/sysconfig/$PNAME and $TEMPLATE_DIR/sysconfig.$PNAME and"
echo "update by hand."
fi
# var/lib/rpm migration: set forwards compatible symlink for /usr/lib/sysimage/rpm so scriptlets in same transaction will still work
if test ! -L var/lib/rpm -a ! -f usr/lib/sysimage/rpm/Packages -a ! -f usr/lib/sysimage/rpm/Packages.db ; then
if test -f var/lib/rpm/Packages -o -f var/lib/rpm/Packages.db ; then
rmdir usr/lib/sysimage/rpm
ln -s ../../../var/lib/rpm usr/lib/sysimage/rpm
fi
fi
test -f usr/lib/sysimage/rpm/Packages -o -f usr/lib/sysimage/rpm/Packages.db || rpmdb --initdb
posttrans scriptlet (using /bin/sh):
# var/lib/rpm migration
if test ! -L var/lib/rpm ; then
# delete no longer maintained databases
rm -f var/lib/rpm/Filemd5s var/lib/rpm/Filedigests var/lib/rpm/Requireversion var/lib/rpm/Provideversion
if test -f var/lib/rpm/Packages -o -f var/lib/rpm/Packages.db ; then
echo "migrating rpmdb from /var/lib/rpm to /usr/lib/sysimage/rpm..."
# remove forwards compatible symlink
if test -L usr/lib/sysimage/rpm ; then
rm -f usr/lib/sysimage/rpm
mkdir -p usr/lib/sysimage/rpm
fi
mv -f var/lib/rpm/.[!.]* usr/lib/sysimage/rpm/
mv -f var/lib/rpm/* usr/lib/sysimage/rpm/
fi
rmdir var/lib/rpm && ln -s ../../usr/lib/sysimage/rpm var/lib/rpm
fi
stephan@opensuse156:~>