Linux: Mehr Tester für Fedora!

Das Wort zum Sonntag

„Moin, Moin liebes Fedoravolk,

Schämt Euch! Ja…schämt Euch in Grund und Boden!
Ihr wollt alles immer für lau, aber so läuft das nicht!
Eure Taten sollen für Euch die Rechnung bezahlen,
deswegen TESTET! TESTET! TESTET! “
(Zitat: von Manager Bodhi, 20-20 )

So, oder so ähnlich, hätte das wohl geklungen, wenn Linux eine Religion wäre und der örtliche Glaubensvertreter Euch in den Allerwertesten treten wollte. Glück für Euch, Linux ist keine Religion. Nichts desto trotz, könntet Ihr ruhig mehr für Euch selbst tun und öfters mal zumindest bei sicherheitskritischen Sachen neue Updates testen!

Das Firefox 73.0-2 Update für Fedora 30 hing bis heute morgen 9.35 Uhr immer noch im Testbereich rum, wohingegen das gleiche Paket für F31 schon nach Minuten genug Testergebnisse zusammen hatte und bereits ins Stable gerutscht ist.

Koji and Bodhi in a Nutshell

Damit sich mehr Benutzer finden, die Tests mit Auswirkungen machen, sei am Beispiel von Firefox erklärt, wie man da als normaler Benutzer helfen kann:

Das ist der Testfall für Firefox 73.0-2 für Fedora 30 im BODHI System:

https://bodhi.fedoraproject.org/updates/FEDORA-2020-4e1ba1a692

Wenn man die Seite aufruft, sieht man als erstes die Installationsanleitung:

Man sieht eine Testfallliste im Bodhi interfaceDie spannende Frage ist jetzt natürlich, wie kommt man überhaupt an den Links zu den Updates ran?

Dazu ruft man die Webseite ohne irgendetwas auf, z.b. so:

https://bodhi.fedoraproject.org/updates/

Ihr findet eine Suchmaske rechts oben:

Man sieht eine Liste mit Updates, welche genau, ist für das Thema komplett egal.Einfach „Firefox“ eingeben oder durch die Liste scrollen(aber das dauert etwas).

Updates sind intern eingeteilt in normale Programme und welche, die zum CritPath, also den kritischen Programmen, zählen. Firefox als „der“ Browser ist ein CritPath Programm, das Genologie Programm dagegen, ist nicht kritisch für den täglichen Betrieb beim Enduser, also ein normales Programm.

Testfälle

Entsprechend gibt es diverse Testfälle, die für solche Updates neben dem obligatorischen „Es startet überhaupt“ gibt. Für Firefox wären das diese drei:

Amn sieht einen ordentlich gemachten Test eines Testers von FirefoxEs gibt bei anderen Programmen auch welche mit deutlich mehr Testfällen. Der Maintainer kann auch spezielle Testfälle hinzufügen, wenn bestimmte Neuerungen das erfordern sollten um die Kompatibilität mit dem bisherigen Datenbestand zu sichern.

Die drei Fälle hier sind also „Addons: funktioniert die Addonseite, sind alle Addons da, kann man welche installieren“, „Browser: Kann man damit Webseiten aufrufen, gibts Probleme bei der Darstellung usw.“ und „Media: kann man Filme, Musik, Bilder ansehen und anhören.“

Wie man oben sehen kann, hat der Tester für alle drei grünes Licht gegeben, aber einiges anzumerken gehabt. Offensichtlich hat er den Test ernster genommen als Andere, die diese Testfälle nicht geprüft haben. Wenn man hier Tests macht, sollte man auf keinen Fall Testergebnisse fälschen, das bringt rein gar nichts, für niemanden.

Insgesamt sind min. 3 positive „Karma+1“ Wertungen nötig um ein Update als lauffähig zu markieren. Schauen wir uns mal an, wie die anderen Tester gewertet haben:

Das "Testergebnis" anderen Menschen, leider nicht ganz so penibel wie im vorherigen Fall. Nur einer der zwei Anderen hat den Browsertest gemacht und gewertet, daß er funktioniert ( der Firefox ). Die anderen Tests haben sich die zwei einfach erspart. Rechts oben auf dem Bild seht Ihr noch die automatisch durchgeführten Funktionstests und da hat das Update 3 nicht bestanden. Jetzt darf der Maintainer entscheiden, ob das missionskritische Fehler sind oder nur formale Fehler, und diese dann überstimmen.

Die Auswertung

Wenn keine automatischen Fehlerergebnisse vorliegen und das Karma +3 erreicht hat, wird dem Maintainer geraten und erlaubt, das Update ins Stable zu schieben. Das kann in Notfällen auch überstimmt werden durch den Maintainer, wenn z.b. die Hütte schon brennt, sollte man das Feuerwehrauto vielleicht nicht erst noch testen, sondern nur zusehen, daß Wasser im Tank ist. Das Äquivalent bei Software ist ein Remote-Exploit, der in der Wildnis (Internet) bereits zu der Lücke kursiert und PCs infiziert. Da ist es natürlich besser, wenn das aktualisierte Programm gar nicht mehr geht, statt die Leute weiter der Gefahr auszusetzen gehackt zu werden.

Ihr könnt mir glauben, wenn ich Euch sage, daß sich da keiner eine leichte Entscheidung macht. Desöfteren brauchte es massives Schubsen, daß Updates ins Stable gepusht wurden, um schlimmeres zu verhindern.

Karma +3

Ihr habt jetzt gelernt, daß es nur 3 positiver Tests bedarf um ein Update an die User raus zuschicken ( Umschreibung für „ins Stable schieben“ ).

Es hat bei FF73 für F30 satte 2 Tage gebraucht, bis 3 Leute einen Test gemacht hatten. Wenn man bedenkt, daß es sich um ein kritisches Sicherheitsproblem in Firefox gehandelt hat, ist das eher armseelig(für die Menschheit). 3 Menschen von 8.000.000.000 oder auch 0,000000037% der Menschheit.

Dafür das Fedora in den Jahren 2016-2018 4 Millionen Abrufe von Updates pro Monat hatte, Spiegelserver bei Unis nicht miteinbezogen, sollte man doch annehmen, daß es ein paar mehr Benutzer gibt, die da mal 3 Minuten für einen Test übrig haben, besonders, wenn es um Ihre persönliche Sicherheit geht, oder?

Wie wird man jetzt überhaupt Tester?

Jetzt der Teil, der für Mensch Nr. 4 aufwärts gedacht ist, die Antwort auf die Frage, wie man denn Tester werden kann. Ihr braucht: das passende OS für Euren Test ( Fedora 30/31 ) und ein Emailprogramm.

Die Emailaddresse braucht es zum Anmelden bei Fedora, denn Tester bekommen auch Emails mit Updates zu dem, was sie da testen ins Haus. Das ist schon daher wichtig, weil man so sieht, ob man etwas vergessen hat zu testen. Sollte einem da ein Fehler unterlaufen sein, kann man sein Testergebnis auch nachbessern, selbst wenn das Update dann zurückgezogen wird:  Karma < -2 .

Wenn man sich hier angemeldet hat:

Die Loginmaske vom FAS System zu Anmelden, nichts spannendes, wenn man es nicht sehen kann.kann man schon loslegen. „Sign up now“ ist der Knopf für Euch, wenn Ihr noch keinen Login zum Fedora Authentication System „FAS“ habt. Mit so einem FAS Login kann man auch bei ASKFEDORA mitmachen, also der Plattform, die Fragen von Benutzern an Benutzer unterstützt. Und das wars schon. Mehr Aufwand ist nicht nötig um zu helfen.

Und was ist jetzt Koji?

Das ist i.d.R. meine Quelle, wenn ich wissen will, ob da schon eine Testversion unterwegs ist, oder nicht. Selbst wenn die Testversion den Test nicht bestanden hat oder aus anderen Gründen zurückgestellt wurde, kann man dort alle bekannten Versionen finden und downloaden.

Koji findet Ihr unter dieser Adresse: https://koji.fedoraproject.org/

Für Firefox sieht das derzeit so aus:

Eine Liste mit Updates von Fedora zu Firefox in verschiedenen Stadien und Versionen. Wer die Seite mit einem Screenreader aufsucht, kann am Namen der Updates genau erkennen um welche Version es sich handelt.Wie man leicht erkennen kann, kommt das selbst bei renommierten Programmen vor, das man die nicht gebaut bekommt ( rot ). Jeden der Builds oben könnt Ihr dort passend für Euren PC ( OS+Architektur) runterladen.

Da kann man z.b. auch so Sachen machen, wie „mit FF 69 liefs noch, aber ich habe meine Daten nicht exportiert vor dem Update“ schon zieht man sich die alte Version, installiert diese, macht noch alle nötigen Anpassungen an seinen Daten zum Export und updated dann wieder auf die aktuelle Version hoch.

Auf welchem anderen OS kann man das schon machen? 😉

„Liebes Aldi, Deine Kunden können Dich kaum noch erreichen“

Folgenden Kundenbrief habe ich an Aldi geschickt, weil die Trampelpfade vom Ringgleis aus von einem Gartenbauunternehmen abgesperrt wurden, da nun dort bepflanzt wir. Verständlich, daß da keiner durchlaufen soll, aber wie hatte sich Aldi  bitte vorgestellt, daß man dann noch hinkommt?

„Liebes Aldi, Deine Kunden können Dich kaum noch erreichen“

Die Masse der Einkäufer kommt aus dem Wohngebiet, daß jetzt von der Baustelle abgeschnitten ist. Ohne einen riesigen Umweg, kommt man da nicht mehr hin. Das Aldi nicht viel von den örtlichen Gegebenheiten weiß, wurde jüngst deutlich, als eine Werbeagantur Hinweisschildern mit wegtechnisch unmöglichen Strecken durch bordsteinhohe Straßenbahnbegrenzungen (und querenden Straßenbahnen 😉 ) vom alten zum neuen Standort aufgehängt hat. Wozu gibts eigentlich Google Maps? 😀

Hier mein Brief, natürlich extra wehleidig, für die ältere Bevölkerung.

„Filiale: Hamburgerstraße ehemals Mittelweg, in Braunschweig

Seite 2 Tagen kann man aus dem Wohngebiet Mittwelweg nicht mehr zu Aldi gelangen, ohne eine Outdoorkletterausrüstung zu benutzen. Der Aldimarkt befindet sich vom Wohngebiet aus hinter einer Baustelle. Bis vor zwei Tagen war ein Zugang über den Ringgleisradweg und ein bisschen Trampfelpfad möglich. Dies wurde nun durch Baumaßnahmen unterbunden.

Auch die zweite Möglichkeit, durch eine Baustraße zu Aldi zugelangen, schlägt jetzt mit unter fehl, weil der Weg nur noch einem See gleicht bzw. das Tor zu der Straße geschlossen wurde.

Einen direkten Weg zu dem Markt gibt es für die Anwohner, die den Mark bislang genutzt haben, nicht mehr, ohne um das gesamte Baugelände zu fahren und dort mit dem Auto einzukaufen.

Fangfrage: Hätte man das nicht VOR dem Umzug mal klären müssen, wie denn die Kunden in den Markt kommen sollen, OHNE zur Umweltsau zu werden? Man wird jetzt also bestraft, weil man zu Fuß einkaufen geht. Wie Sie auf einer Karte der Gegend leicht erkennen können, verdoppelt/dreifacht sich der Fußweg, wenn man vom Mittelweg kommt,. was die Masse der bisherigen Kunden ausmachen dürfte.

Daher bemühen Sie Sich doch mal bitte um eine sinnvolle Lösung z.b. teeren der Baustraße (nebst Nivellierung wegen des Sees).“

Das hier ist das Bild, daß ich von dem See aufnehmen konnte. Es ist der derzeit einzige Weg und da muß man dann schon Stiefel mitbringen:

Wem die Begrünungsmaßnahmen egal sind, der trampelt halt die Böschungen hoch. Sowas wäre mit etwas Nachdenken aller Beteiligten dann leicht vermeidbar gewesen.

 

 

Kleines „Ups“ beim Fedorateam

Aus der Schmunzelecke: „Ups, Fedora 32 ist ja schon da“

„Federa 32 ist da“

Einigen Usern von Fedora wurden heute morgen Upgradehinweise auf Fedora 32 eingeblendet. Wer sich jetzt wundert, daß der Releasezeitpunkt noch gar nicht erreicht ist, der liegt richtig 🙂 Das Team um A. Williamson hatte die Ursache zwar schon nach 45min behoben, aber aufgrund diversen Cachings auf dem Weg zum Endnutzer, wurde der Hinweis auf die erst im Sommer erscheinende Fedora Version 32 stundenlang angezeigt.

Da ich auch einige weniger eingeweihte Menschen mit Linux betreue, bin ich froh, daß es für uns in der Nacht ablief und die Meldung folglich keiner bemerkt hat. Wenn das Upgrade auf 32 in dem Zustand erstmal gestartet worden wäre, wäre dem PC-System vermutlich nicht mehr zu helfen gewesen. Schwein gehabt 😀

 

 

Firefox 73.0 für FC30 und FC31 verfügbar

Es ist mal wieder soweit, eine Sicherheitslücke in Firefox und Thunderbird ( da nicht dramatisch mangels Scripting ) zwingt Euch zu einem Update. Ja, „Euch“, weil ich habe schon 😉

Firefox <73.0 mit Sicherheitslücken

Memory Corruption, Sicherheitslücke, wenn Firefox PDF Reader spielt(ARGS!) und eine RCE Schwachstelle, bei der ein Angreifer Code in Firefox ausführen kann ( und nicht nur in der Webseite im Firefox 😉 ) sind nur einige der Löcher die damit gestopft werden. Kleine Liste:

Mozilla Foundation Security Advisory 2020-05
Security Vulnerabilities fixed in Firefox 73

Announced February 11, 2020
Impact high
Products Firefox
Fixed in Firefox 73

#CVE-2020-6796: Missing bounds check on shared memory read in the parent process

A content process could have modified shared memory relating to crash reporting information, crash itself, and cause an out-of-bound write. This could have caused memory corruption and a potentially exploitable crash.
References

#CVE-2020-6797: Extensions granted downloads.open permission could open arbitrary applications on Mac OSX

By downloading a file with the .fileloc extension, a semi-privileged extension could launch an arbitrary application on the user’s computer. The attacker is restricted as they are unable to download non-quarantined files or supply command line arguments to the application, limiting the impact.
Note: this issue only occurs on Mac OSX. Other operating systems are unaffected.
References

#CVE-2020-6798: Incorrect parsing of template tag could result in JavaScript injection

If a <template> tag was used in a <select%gt; tag, the parser could be confused and allow JavaScript parsing and execution when it should not be allowed. A site that relied on the browser behaving correctly could suffer a cross-site scripting vulnerability as a result.
References

#CVE-2020-6799: Arbitrary code execution when opening pdf links from other applications, when Firefox is configured as default pdf reader

Command line arguments could have been injected during Firefox invocation as a shell handler for certain unsupported file types. This required Firefox to be configured as the default handler for a given file type and for a file downloaded to be opened in a third party application that insufficiently sanitized URL data. In that situation, clicking a link in the third party application could have been used to retrieve and execute files whose location was supplied through command line arguments.
Note: This issue only affects Windows operating systems and when Firefox is configured as the default handler for non-default filetypes. Other operating systems are unaffected.
References

#CVE-2020-6800: Memory safety bugs fixed in Firefox 73 and Firefox ESR 68.5

Mozilla developers and community members Raul Gurzau, Tyson Smith, Bob Clary, Liz Henry, and Christian Holler reported memory safety bugs present in Firefox 72 and Firefox ESR 68.4. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code.
References

# Memory safety bugs fixed in Firefox 73 and Firefox ESR 68.5

Wenn Ihr Euch die Update holen wollt, bevor die automatisch kommen, hier kann man Sie passend runterladen:

FC30: https://koji.fedoraproject.org/koji/buildinfo?buildID=1459513

FC31: https://koji.fedoraproject.org/koji/buildinfo?buildID=1459512

 

Schlechte Nachrichten für Pioneer Fans

Mein Morgen war jetzt nicht ganz so super, wie er hätte sein können. Im Updatebericht von Fedora habe ich gesehen, das die neue Version von Pioneer verfügbar gemacht wurde und wollte das natürlich sofort austesten.

Alte Spielstände führen zum Absturz

Weil die Spielstandsdatei angeblich eine falsche Versionsnummer hat, konnte die nicht geladen werden. Der Bugreport bei Pioneer wird uns hoffentlich offenbaren, wieso es eine „falsche“ Versionsnummer geben kann.

Wenn Ihr wissen wollt, ob Eurer Fehler beim Start auch daran liegt, müßt Ihr Pioneer in einem Terminal starten:

Game::LoadGame(‚_exit‘)
Loading saved game ‚_exit‘ failed: wrong save file version.
error: [string „[T] @pigui/views/mainmenu.lua“]:138: This saved game cannot be loaded because it contains errors.
stack traceback:
[C]: in function ‚LoadGame‘
[string „[T] @pigui/views/mainmenu.lua“]:138: in function ‚callback‘
[string „[T] @pigui/views/mainmenu.lua“]:92: in function ‚mainTextButton‘
[string „[T] @pigui/views/mainmenu.lua“]:215: in function ‚fun‘
[string „[T] @pigui/pigui.lua“]:97: in function ‚window‘
[string „[T] @pigui/views/mainmenu.lua“]:214: in function ‚fun‘
[string „[T] @pigui/pigui.lua“]:146: in function ‚withStyleColors‘
[string „[T] @pigui/views/mainmenu.lua“]:213: in function ’showMainMenu‘
[string „[T] @pigui/views/mainmenu.lua“]:260: in function ‚mainMenu‘
[string „[T] @pigui/pigui.lua“]:187: in function <[string „[T] @pigui/pigui.lua“]:185>

Denn leider wird das nicht in dem GUI Hinweis zum Absturz angegeben, was die Bugreports bei Pioneer in Github regelmäßig zum „Starts mal in der Konsole“ zwingt.  Macht das am besten immer, wenn Ihr bei Pioneer auf ein Problem stoßt, da spart eine Menge Zeit für alle ein 😉