Amikor egy biztonsági javítás nagyobb gondot okoz, mint amit javít ...

Nem értem mi mondanivalója lenne. Nem nyitottam sehol issue-t. Ez nem bug, nem feature request, nem régi issue újraküldése, amit ki kéne farmolni, hanem létező sechole, amit a szokásukkal ellentétben már 12 napja nem foltoznak. Ettől függetlenül is az Arch automata rendszere a glibc 2.33-5 csomagot már 23 napja out of date figyelmeztetéssel látta el, sérülékenységtől eltekintve már akkor is egy új verzió volt betervezve, normál ügymenetben. Itt valami nagyon nem kerek. Eddig lustaságból nem jeleztem az Arch fórumon, most már fogom, akkor is, ha most nemsokára jön az új verzió, mert ez a rendszeres késedelem kezd általános jellegű lenni, ami zavar. Ide sem azért írtam több ízben, mert ugyanazt az issue-t küldeném be, hanem ti vitatkoztok, hogy így vagyok eltájolva, úgy fotelszakértő, és csak próbálok blogolás jelleggel rávilágítani, hogy nem.

Tippem szerint azért nem frissíti a csomagfenntartó, mert az CVE-k szerint a glibc 2.34-ben is van már sérülékenység, igaz egyel alacsonyabb besorolású, talán azért vár vele. Közben AUR-ból próbáltam forgatni a glibc-git csomagot, de beleállt fordítási hibával a földbe. Most egy másik AUR csomaggal próbálom, glibc-dso, de 8 magos gépen 30 perce fordult, végtelen loopban, ezért lelőttem. Ez valami spéci verzió lehet, mert valami testscript dolgozott egy szálon, majd újra és újralinkelte az egész cumót, látszólag végtelen ciklusban, amit nem értek. Tényleg csak azért lőttem le, mert ennek 10 percnél nem lenne szabad tovább tartania, meg a kimenetből egyértelműen látszott, hogy valami testscript vizsgálta a binárist, és annak alapján mindig végig ld-zte ugyanazt a kört, ennek nem sok értelme van.

Meg itt szerintem még mindig elbeszélünk egymás mellett. Ez a frissülés nem az én elvárásom, hanem a bleeding edge rolling ökoszisztéma működik így. Aki ebben benne van, akár felhasználóként, akár csomagfenntartóként, az tudja mibe száll bele, már mikor belekezd! Lehet ez nektek Ubuntu LTS, meg Debian usereknek morbid, de ne felejtsük el, hogy mindig mindenki morbid valakinek a szemszögéből, pl. egy Windows user titeket sem ért, hogy hogyan lehet Linuxot használni, mikor tiszta önszivatás, és a desktop éve nem jött el, meg az Adobe Fotóbolt, Májkrémszaft Iroda és a Apex Legends se megyen rajta, meg hogy lehet ingyenes programot fejleszteni, miből élnek akkor a fejlesztők, meg mi tartja fent a kódminőséget, ha egyszer az ingyenmunka nem motivál. Azt hiszem te is nehezen magyaráznád el nekik, hogy ez nem a te elvárásod, meg nem neked dolgoznak, nem értenék. Ezért is van ennyi disztró, meg ennyi különböző unixlike rendszer, mert mindegyik mögött más filozófia, és mindset van. Most vegyük ki az Ubuntu forkokat, amik sokszor csak re-skin-ek, azoknak tényleg nincs sok értelme.

Sokáig nem volt bajom a glibc-vel, csak egy normál n+1. csomagnak tűnt, de már kezdem látni, hogy az alpine-osok, meg kiss-esek miért próbálkoznak musl-lel. A glibc valóban bloat, már Gentoo-n is észleltem, hogy nem épp röpke fordítási idejű (bár ott csak valami 10 perc körül volt a fordítása egy 2 magos 4 szálas ősrégi laptopon), most elnézve ezt a folyamatos CVE tengert, ami körbeveszi, már érthető mi a baj vele. Meg ilyenkor bizonyosodik be, amiről a suckless gárda mindig papol, hogy az átteketinthetetlen, feature bloat kódméret hova vezet. Fenntarthatatlansághoz, kód átláthatatlanságához, sechole-ek tengeréhez, amit egyre nehezebb úgy javítani, hogy ne hozzon be újabbakat.