Druckreife Version Sicherheitspolitik - 4. Sicherheitsaktualisierungen
4.1 Sicherheitsrelevante Aktualisierungen durchführen
Sicherheitsrelevante Aktualisierungen sollen nur angewandt werden, wenn sie vom ursprünglichen Autor, der die Software erstellt hat, bestätigt werden. Vor einer Aktualisierung müssen folgende Bedingungen erfüllt sein:
- Der ursprüngliche Autor der Software kontaktierte den Paket-Betreuer oder das Fink Core Team direkt und teilt einen Patch oder anderen Workaround für die Sicherheitslücke mit.
- Eine der obigen Quellen hat ein Sicherheits-Bulletin mit aktualisierten Quellen für die Software eines Fink-Pakets heraus gegeben.
- Ein Patch wurde von einer der folgenden Quellen heraus gegeben: BUGTRAQ, FULLDISC, SF-INCIDENTS, VULN-DEV.
- Ein offizielles Sicherheits-Bulletin wurde veröffentlicht und erhielt CVE Candidate status, das die CVE Sicherheitslücke beschreibt und einen Workaround, Patch oder Link zu aktualisierten Quellen enthält.
- Der Paket-Betreuer oder das Fink Core Team wurde im voraus benachrichtigt und erhielt direkt einen Patch oder Workaround für die Sicherheitslücke mit der Bitte, aktiv zu werden.
4.2 Verschieben von unstable nach stable
Sicherheitsrelevante Aktualisierungen für ein bestimmtes Paket werden zuerst im unstable Baum durchgeführt. Nach einer Wartezeit von weniger als 12 Stunden werden die .info und .patch Dateien des Pakets auch in den stable Baum kopiert. Die Wartezeit soll für eine Überprüfung genutzt werden, ob das aktualisierte Paket funktioniert und die Sicherheitsaktualisierung keine neuen Probleme mit sich bringt.