[linux-l] Re: Debian testing

[Christoph Biedl]

Ivan F. Villanueva B. wrote...

> Am Fr, Jan 12, 2007 01:40:31 +0100, Christoph Biedl schrieb:
> > Package: xine-lib
> > CVE-2006-6172 assigned: 2006-11-30
> > Bereinigt in unstable:  2006-12-06 (1.1.2+dfsg-2)
> > Bereinigt in testing:   2006-12-14
> > Bereinigt in stable:    2006-12-28
> > http://www.debian.org/security/2006/dsa-1244
> > http://packages.qa.debian.org/x/xine-lib.html
> 
> Welche Distros sind schneller?

Schneller als was? Der Kritikpunkt ist, daß es innerhalb von Debian 22
Tage gebraucht hat, bis es für stable einen Fix gegeben hat. Die
Aussage war, daß ein Update in stable schneller ist als in testing,
und das wird regelmäßig nicht eingehalten.

Aber bitte, vergleichen wir auch mal mit anderen. Vom DSA aus ist CVE
verlinkt, und von da aus findet man die Announcements von denen.
Umsortiert nach Zeit ergibt sich dann:

2006-12-26 Bug report
https://sourceforge.net/tracker/index.php?func=detail&aid=1603458&group_id=9655&atid=109655

2006-11-30 CVE assignment. Das heißt nicht, daß damit schon etwas
publik wird, da können einige Tage vergehen.

2006-12-03 upload von xine-lib-1.1.3; und damit wohl auch das
undatierte Announcement des upstreams.
http://sourceforge.net/project/shownotes.php?release_id=468432

2006-12-04 Veröffentlichung durch SecurityFocus
http://www.securityfocus.com/bid/21435

2006-12-04 Ubuntu
http://www.ubuntu.com/usn/usn-392-1

2006-12-05 Mandriva
http://www.mandriva.com/security/advisories?name=MDKSA-2006:224

2005-12-05 Meldung bei Heise
http://www.heise.de/newsticker/meldung/82048

2006-12-06 Debian unstable (ohne Ankündigung)

2006-12-08 Novell/Suse
http://www.novell.com/linux/security/advisories/2006_28_sr.html

2006-12-09 Gentoo
http://www.gentoo.org/security/en/glsa/glsa-200612-02.xml

2006-12-14 Debian testing (ohne Ankündigung)

2006-12-23 Slackware
http://slackware.com/security/viewer.php?l=slackware-security&y=2006&m=slackware-security.433842

2006-12-28 Debian (stable)
http://www.debian.org/security/2006/dsa-1244


Für andere Sicherheitslücken kannst Du das ja mal selber
recherchieren. Aber ich wäre überrascht, sollte etwas wesentlich
anderes herauskommen.

    Christoph