1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
|
<?xml version='1.0' encoding="UTF-8"?>
<!-- $Header: -->
<!DOCTYPE guide SYSTEM "/dtd/guide.dtd">
<guide link="/security/es/bug-searching.xml" lang="es">
<title>Consejos para buscar y filtrar agujeros de seguridad</title>
<author title="Autor">
<mail link="klieber@gentoo.org">Kurt Lieber</mail>
</author>
<author title="Traductor">
<mail link="krego.gentoo@gmail.com">Carlos Jiménez Pacho</mail>
</author>
<abstract>
Este documento da una serie de consejos y pistas para ayudar a filtrar
agujeros de seguridad.
</abstract>
<license/>
<version>1.2</version>
<date>2009-04-14</date>
<chapter>
<title>Buscando fallos (Bugs)</title>
<section>
<title>Todos los fallos de seguridad</title>
<body>
<p>
Para identificar todos los fallos relacionados con la seguridad, utilice
la página de <uri link="http://bugs.gentoo.org/query.cgi">consulta</uri>
de Bugzilla y rellene los siguientes campos:
</p>
<ul>
<li><b>Product:</b> seleccione "Gentoo Security"</li>
<li><b>Status:</b> rellene con el tipo de fallo que quiera buscar (por
ejemplo, fallos cerrados, fallos abiertos, etc.)</li>
</ul>
<p>
Ésto le dará una lista de todos los fallos en nuestro sistema
(o al menos, los que estén correctamente asignados). Puede solicitar la
consulta para que sólo muestre Vulnerabilidades, cuestiones del Núcleo u otros
subconjuntos de fallos de Seguridad, ajustando el <b>Componente</b>
</p>
</body>
</section>
<section>
<title>"Marca estable" los Agujeros de Seguridad de Arquitectura</title>
<body>
<p>
Cuando a un paquete se le ha aplicado un parche de seguridad, éste,
normalmente debe ser probado antes de ser marcado como estable
en las arquitecturas afectadas. Para identificar todos los fallos
de seguridad en los que arquitectura en particular necesita marcar un paquete
como estable, use la página de <uri link="http://bugs.gentoo.org/query.cgi">
consultas</uri> y rellene los siguientes campos:
</p>
<ul>
<li><b>Produt:</b> seleccione "Gentoo Security"</li>
<li><b>Status:</b> ajústelo a"New", "Assigned" y "Reopened" (es decir, no
busque fallos que han sido cerrados)</li>
<li><b>Email and Numbering:</b> Cualquiera de: "CC list member" debería
marcarse a "contains <arch>@gentoo.org"</li>
</ul>
<p>
Cuando un paquete es parcheado y requiere pruebas, el equipo de seguridad
hará un CC a todas las arquitecturas relevantes de este fallo en concreto, y
se pedirá que el paquete se pruebe y se marcará como estable en su
arquitectura. Así, usando los criterios de búsqueda descritos arriba, será
capaz de encontrar fácilmente qué fallos de seguridad requieren atención para
una arquitectura en particular.
</p>
<impo>
Para hacer este aviso efectivo, es muy importante que los equipos de las
arquitecturas recuerden borrarse de la lista CC una estabilizado el paquete.
</impo>
<note>
Para las arquitecturas que no estén mantenidas, los fallos pueden ser cerrados
sin que el paquete sea marcado como estable en esa arquitectura en particular.
. De esta forma los desarrolladores para estas arquitecturas puede querer
incluir fallos cerrados en sus consultas. (Para una explicación de las
arquitecturas "soportadas" frente a las "no soportadas", por favor, lea la
<uri link="/security/en/vulnerability-policy.xml">Política de Tratamiento de
Vulnerabilidades</uri> (en inglés).)
</note>
<p>
Los Architecture Security Liaisons (Enlaces de Seguridad de las
Arquitecturas) necesitarán consultas adicionales para mostrar fallos que
requieren su participación. Esos fallos podrían se por ejemplo, fallo
calificados como <c>SEMI-PUBLIC</c> que necesitan marcarse como estables en
el árbol, o fallos <c>CONFIDENTIAL</c> que tienen un testing pre-estable en
Bugzilla únicamente. Para ver una lista de estos fallos, use la página de
<uri link="https://bugs.gentoo.org/query.cgi">consultas</uri> y rellene los
siguientes campos:
</p>
<ul>
<li><b>Product:</b> seleccione "Gentoo Security"</li>
<li><b>Status:</b> ajústelo a "New", "Assigned" y "Reopened" (es decir, no
busque fallos que han sido cerrados)</li>
<li><b>Email and Numbering:</b> Cualquiera de: "CC list member" debería
marcarse a "contains <login>@gentoo.org" donde <login> es el
usuario de Gentoo username del Liaison</li>
<li><b>Advanced Searching Using Boolean Charts:</b> "Group" debe marcarse a
"is equal to" y en el campo de entrada debería mostrarse "Security".</li>
</ul>
</body>
</section>
<section>
<title>Consultas a Bugzilla que podrían ser de ayuda</title>
<body>
<p>
Los miembros del Equipo de Seguridad de Gentoo y Padawans se pueden ayudar
con éstas consultas. Aparte de los falsos positivos, los fallos listados en
estas consultas necesitan la atención del Equipo de Seguridad.
</p>
<ul>
<li><uri link="https://bugs.gentoo.org/buglist.cgi?query_format=advanced&short_desc_type=allwordssubstr&short_desc=&product=Gentoo+Security&component=Auditing&component=Default+Configs&component=GLSA+Errors&component=Kernel&component=Runpath+Issues&component=Vulnerabilities&long_desc_type=substring&long_desc=&bug_file_loc_type=allwordssubstr&bug_file_loc=&status_whiteboard_type=allwordssubstr&status_whiteboard=stable&keywords_type=allwords&keywords=&bug_status=NEW&bug_status=ASSIGNED&bug_status=REOPENED&emailtype1=regexp&email1=&emailassigned_to2=1&emailreporter2=1&emailcc2=1&emailtype2=substring&email2=&bugidtype=include&bug_id=&votes=&chfieldfrom=&chfieldto=Now&chfieldvalue=&cmdtype=doit&order=Reuse+same+sort+as+last+time&query_based_on=stale+stable&negate0=1&field0-0-0=cc&type0-0-0=substring&value0-0-0=amd64%40gentoo.org&negate1=1&field1-0-0=cc&type1-0-0=substring&value1-0-0=x86%40gentoo.org&negate2=1&field2-0-0=cc&type2-0-0=substring&value2-0-0=ppc%40gentoo.org&negate3=1&field3-0-0=cc&type3-0-0=substring&value3-0-0=sparc%40gentoo.org&negate4=1&field4-0-0=cc&type4-0-0=substring&value4-0-0=alpha%40gentoo.org&negate5=1&field5-0-0=cc&type5-0-0=substring&value5-0-0=hppa%40gentoo.org&negate6=1&field6-0-0=cc&type6-0-0=substring&value6-0-0=ppc64%40gentoo.org">Estable pasado</uri>, muestra todos los fallos abiertos que tienen "[stable]" en el campo Whiteboard, pero no tiene arquitecturas en CC.</li>
<li><uri link="https://bugs.gentoo.org/buglist.cgi?query_format=advanced&short_desc_type=allwordssubstr&short_desc=&product=Gentoo+Security&long_desc_type=substring&long_desc=&bug_file_loc_type=allwordssubstr&bug_file_loc=&status_whiteboard_type=allwordssubstr&status_whiteboard=glsa%3F&keywords_type=allwords&keywords=&bug_status=NEW&bug_status=ASSIGNED&bug_status=REOPENED&emailassigned_to1=1&emailtype1=substring&email1=&emailassigned_to2=1&emailreporter2=1&emailcc2=1&emailtype2=substring&email2=&bugidtype=include&bug_id=&votes=&chfieldfrom=&chfieldto=Now&chfieldvalue=&cmdtype=doit&order=Reuse+same+sort+as+last+time&query_based_on=glsa%3F&field0-0-0=noop&type0-0-0=noop&value0-0-0=">Voto GLSA</uri>, lista todos los fallos que an sido corregidos en el árbol, pero no tiene una decisión del GLSA aún.</li>
<li><uri link="https://bugs.gentoo.org/buglist.cgi?query_format=advanced&short_desc_type=allwordssubstr&short_desc=&product=Gentoo+Security&component=Auditing&component=Vulnerabilities&long_desc_type=substring&long_desc=&bug_file_loc_type=allwordssubstr&bug_file_loc=&status_whiteboard_type=notregexp&status_whiteboard=ebuild|upstream|glsa|masked|stable&keywords_type=nowords&keywords=tracker&bug_status=NEW&bug_status=ASSIGNED&bug_status=REOPENED&emailassigned_to1=1&emailtype1=substring&email1=&emailassigned_to2=1&emailreporter2=1&emailcc2=1&emailtype2=substring&email2=&bugidtype=include&bug_id=&votes=&chfieldfrom=&chfieldto=Now&chfieldvalue=&cmdtype=doit&order=Reuse+same+sort+as+last+time&query_based_on=unhandled&field0-0-0=noop&type0-0-0=noop&value0-0-0=">Fallos no gestionados</uri>, fallos que no tienen un estado conocido en el Whiteboard.</li>
<li><uri link="https://bugs.gentoo.org/buglist.cgi?query_format=advanced&short_desc_type=notregexp&short_desc=CVE&product=Gentoo+Security&component=Auditing&component=Default+Configs&component=GLSA+Errors&component=Kernel&component=Runpath+Issues&component=Vulnerabilities&long_desc_type=substring&long_desc=&bug_file_loc_type=allwordssubstr&bug_file_loc=&status_whiteboard_type=allwordssubstr&status_whiteboard=&keywords_type=nowords&keywords=Tracker&bug_status=NEW&bug_status=ASSIGNED&bug_status=REOPENED&emailassigned_to1=1&emailtype1=substring&email1=&emailassigned_to2=1&emailreporter2=1&emailcc2=1&emailtype2=substring&email2=&bugidtype=include&bug_id=&votes=&chfieldfrom=&chfieldto=Now&chfieldvalue=&cmdtype=doit&order=Reuse+same+sort+as+last+time&query_based_on=no-cve&field0-0-0=noop&type0-0-0=noop&value0-0-0=">Sin CVE</uri>, fallos que no tienen identificador CVE en su título.</li>
</ul>
</body>
</section>
</chapter>
</guide>
|
GitWeb