Upstream update available: Linux-PAM 1.7.0 → 1.7.2 #6

New issue

Open

opened 2026-04-28 00:43:53 +03:00 by sbelikov · 0 comments

sbelikov commented

2026-04-28 00:43:53 +03:00

Owner

Upstream update available: `Linux-PAM` `1.7.0` → `1.7.2`

Package

Package: Linux-PAM
RPM name: Linux-PAM
Branch: niceos-5.2
Current EVR: 1.7.0-2
Update class: patch
Compare method: python_rpm
Update policy: security-critical
Risk tags: github-upstream, security-critical

Upstream

Upstream type: github
Upstream project: linux-pam/linux-pam
Upstream URL: https://github.com/linux-pam/linux-pam
Detected version: 1.7.2
Tag/release: v1.7.2
Source: github_release_latest
Published: 2026-01-22T12:12:18Z
Release URL: https://github.com/linux-pam/linux-pam/releases/tag/v1.7.2
Source URL: https://api.github.com/repos/linux-pam/linux-pam/tarball/v1.7.2
Pre-release: False

Signals

Security-relevant keywords detected: False
Policy blocked: False
Policy reason: -
Labels: ai-summary, bot, needs-build, needs-triage, priority/high, update/patch, upstream-update, upstream/github

NiceSOFT AI preliminary analysis

1. Краткий вывод

Обновление Linux-PAM с версии 1.7.0 до 1.7.2 классифицируется как патч-уровня, но помечено как критически важное для безопасности (security-critical). Основные изменения включают исправление переполнения стека в модуле pam_access при работе с большими конфигурационными файлами и усиление обработки временных файлов в pam_unix. Также добавлена поддержка новых системных вызовов и улучшена диагностика ошибок.

2. Риск для НАЙС.ОС

Оценка: medium.
Обоснование: Хотя обновление помечено как security-critical, в предоставленных релиз-нотах отсутствует явное упоминание конкретных уязвимостей (CVE) или эксплойтов. Однако наличие исправления переполнения стека (stack overflow) в pam_access представляет собой потенциальный вектор атаки через DoS или выполнение кода, если конфигурационные файлы могут контролироваться злоумышленником. Это требует обязательной ручной проверки перед применением на продакшене.

3. Security/CVE

Во входных данных нет прямых указаний на наличие конкретных CVE или подтвержденных security-уязвимостей. Поле security_keywords_detected_by_script равно False, а в тексте релиз-нот используется формулировка "fixed stack overflow", которая описывает класс ошибки, но не ссылается на идентификатор уязвимости. Факт наличия security-critical политики не гарантирует наличие открытой CVE, а лишь указывает на важность исправления.

4. ABI/API риск

В релиз-нотах указаны функциональные расширения: добавлена поддержка vendordir в pam_mkhomedir, поддержка pwaccessd и PAM_CHANGE_EXPIRED_AUTHTOK в pam_unix, а также изменение поведения по умолчанию (включение vendordir).
Вердикт: Необходим ручной ABI/API анализ. Изменение поведения по умолчанию (enabled vendordir by default) может повлиять на структуру директорий скелета пользователей и пути к конфигурационным файлам, что потенциально нарушает совместимость с существующими скриптами инициализации окружения или пользовательскими модулями PAM, ожидающими стандартную структуру.

5. Риск для RPM-сборки

Поскольку включен vendordir по умолчанию, сборка RPM может потребовать изменений в specfile:

Возможно потребуется обновление BuildRequires для соответствующих заголовков или инструментов, связанных с обработкой vendor-директорий.
%check секция может провалиться, если тесты ожидают отсутствие определенных директорий или файлов, которые теперь создаются по умолчанию.
Патчи, применяемые поверх исходного кода, могут конфликтовать с логикой инициализации vendordir, если они не учитывают это изменение.

6. Проверки мейнтейнера

Проверить наличие и актуальность CVE в базах данных (NVD, GitHub Advisories) для версии 1.7.2 относительно 1.7.0.
Провести сравнение файловых деревьев (diff -r) между версиями 1.7.0 и 1.7.2, сфокусировавшись на изменении структуры директорий и файлов конфигурации.
Проверить работу модуля pam_access с искусственно созданным огромным конфигурационным файлом в тестовой среде.
Валидировать поведение модуля pam_mkhomedir при наличии и отсутствии директории vendordir.
Запустить полный набор unit-тестов и интеграционных тестов дистрибутива после сборки обновленного RPM.
Проверить логи аутентификации на предмет изменений в сообщениях об ошибках (особенно в pam_env и pam_unix).

7. Рекомендация

blocked manual review

8. Основание рекомендации

Несмотря на то, что это patch-обновление, комбинация факторов (security-critical статус + исправление переполнения стека + изменение поведения по умолчанию с включением vendordir) делает автоматическое применение рискованным. Необходимо исключить возможность нарушения ABI/структуры директорий пользователей и подтвердить, что исправление переполнения стека не влечет за собой скрытых зависимостей от внешних ресурсов. Требуется ручная верификация совместимости с текущей конфигурацией НАЙС.ОС.

Upstream release notes / description

Noteworthy changes in Linux-PAM 1.7.2

build: enabled vendordir by default.
pam_access: fixed stack overflow with huge configuration files.
pam_env: enhanced error diagnostics when ignoring backslash at end of string.
pam_faillock: skip clearing user's failed attempt when auth stack is not run.
pam_mkhomedir: added support for vendordir skeleton directory.
pam_unix: added support for pwaccessd.
pam_unix: added support for PAM_CHANGE_EXPIRED_AUTHTOK.
pam_unix: fixed password expiration warnings for large day values.
pam_unix: hardened temporary file handling.
Multiple minor bug fixes, build fixes, portability fixes,
documentation improvements, and translation updates.

NiceOS maintainer checklist

Confirm that the detected version is a stable upstream release.
Check upstream changelog for security fixes, ABI/API changes and build-system changes.
Check ABI/API compatibility and reverse dependencies.
Download source into NiceOS lookaside storage.
Update Version and related fields in SPECS/*.spec only if policy allows it.
Regenerate SOURCES/sources.lock.json, manifests, metadata and SBOM.
Build SRPM/RPM in a clean NiceOS buildroot.
Run package smoke tests.
Link PR/build logs and close this issue after update or triage.

Bot metadata

Tool: niceos_upstream_monitor.py 1.4
Generated at: 2026-04-27T21:55:22Z

# Upstream update available: `Linux-PAM` `1.7.0` → `1.7.2` ## Package - Package: `Linux-PAM` - RPM name: `Linux-PAM` - Branch: `niceos-5.2` - Current EVR: `1.7.0-2` - Update class: `patch` - Compare method: `python_rpm` - Update policy: `security-critical` - Risk tags: `github-upstream, security-critical` ## Upstream - Upstream type: `github` - Upstream project: `linux-pam/linux-pam` - Upstream URL: https://github.com/linux-pam/linux-pam - Detected version: `1.7.2` - Tag/release: `v1.7.2` - Source: `github_release_latest` - Published: `2026-01-22T12:12:18Z` - Release URL: https://github.com/linux-pam/linux-pam/releases/tag/v1.7.2 - Source URL: https://api.github.com/repos/linux-pam/linux-pam/tarball/v1.7.2 - Pre-release: `False` ## Signals - Security-relevant keywords detected: `False` - Policy blocked: `False` - Policy reason: `-` - Labels: `ai-summary, bot, needs-build, needs-triage, priority/high, update/patch, upstream-update, upstream/github` ## NiceSOFT AI preliminary analysis ### 1. Краткий вывод Обновление Linux-PAM с версии 1.7.0 до 1.7.2 классифицируется как патч-уровня, но помечено как критически важное для безопасности (security-critical). Основные изменения включают исправление переполнения стека в модуле `pam_access` при работе с большими конфигурационными файлами и усиление обработки временных файлов в `pam_unix`. Также добавлена поддержка новых системных вызовов и улучшена диагностика ошибок. ### 2. Риск для НАЙС.ОС **Оценка:** medium. **Обоснование:** Хотя обновление помечено как security-critical, в предоставленных релиз-нотах отсутствует явное упоминание конкретных уязвимостей (CVE) или эксплойтов. Однако наличие исправления переполнения стека (`stack overflow`) в `pam_access` представляет собой потенциальный вектор атаки через DoS или выполнение кода, если конфигурационные файлы могут контролироваться злоумышленником. Это требует обязательной ручной проверки перед применением на продакшене. ### 3. Security/CVE Во входных данных **нет** прямых указаний на наличие конкретных CVE или подтвержденных security-уязвимостей. Поле `security_keywords_detected_by_script` равно `False`, а в тексте релиз-нот используется формулировка "fixed stack overflow", которая описывает класс ошибки, но не ссылается на идентификатор уязвимости. Факт наличия security-critical политики не гарантирует наличие открытой CVE, а лишь указывает на важность исправления. ### 4. ABI/API риск В релиз-нотах указаны функциональные расширения: добавлена поддержка `vendordir` в `pam_mkhomedir`, поддержка `pwaccessd` и `PAM_CHANGE_EXPIRED_AUTHTOK` в `pam_unix`, а также изменение поведения по умолчанию (включение `vendordir`). **Вердикт:** Необходим ручной ABI/API анализ. Изменение поведения по умолчанию (`enabled vendordir by default`) может повлиять на структуру директорий скелета пользователей и пути к конфигурационным файлам, что потенциально нарушает совместимость с существующими скриптами инициализации окружения или пользовательскими модулями PAM, ожидающими стандартную структуру. ### 5. Риск для RPM-сборки Поскольку включен `vendordir` по умолчанию, сборка RPM может потребовать изменений в `specfile`: - Возможно потребуется обновление `BuildRequires` для соответствующих заголовков или инструментов, связанных с обработкой vendor-директорий. - `%check` секция может провалиться, если тесты ожидают отсутствие определенных директорий или файлов, которые теперь создаются по умолчанию. - Патчи, применяемые поверх исходного кода, могут конфликтовать с логикой инициализации `vendordir`, если они не учитывают это изменение. ### 6. Проверки мейнтейнера - [ ] Проверить наличие и актуальность CVE в базах данных (NVD, GitHub Advisories) для версии 1.7.2 относительно 1.7.0. - [ ] Провести сравнение файловых деревьев (`diff -r`) между версиями 1.7.0 и 1.7.2, сфокусировавшись на изменении структуры директорий и файлов конфигурации. - [ ] Проверить работу модуля `pam_access` с искусственно созданным огромным конфигурационным файлом в тестовой среде. - [ ] Валидировать поведение модуля `pam_mkhomedir` при наличии и отсутствии директории `vendordir`. - [ ] Запустить полный набор unit-тестов и интеграционных тестов дистрибутива после сборки обновленного RPM. - [ ] Проверить логи аутентификации на предмет изменений в сообщениях об ошибках (особенно в `pam_env` и `pam_unix`). ### 7. Рекомендация **blocked manual review** ### 8. Основание рекомендации Несмотря на то, что это patch-обновление, комбинация факторов (security-critical статус + исправление переполнения стека + изменение поведения по умолчанию с включением `vendordir`) делает автоматическое применение рискованным. Необходимо исключить возможность нарушения ABI/структуры директорий пользователей и подтвердить, что исправление переполнения стека не влечет за собой скрытых зависимостей от внешних ресурсов. Требуется ручная верификация совместимости с текущей конфигурацией НАЙС.ОС. ## Upstream release notes / description Noteworthy changes in Linux-PAM 1.7.2 ===================================== * build: enabled vendordir by default. * pam_access: fixed stack overflow with huge configuration files. * pam_env: enhanced error diagnostics when ignoring backslash at end of string. * pam_faillock: skip clearing user's failed attempt when auth stack is not run. * pam_mkhomedir: added support for vendordir skeleton directory. * pam_unix: added support for pwaccessd. * pam_unix: added support for PAM_CHANGE_EXPIRED_AUTHTOK. * pam_unix: fixed password expiration warnings for large day values. * pam_unix: hardened temporary file handling. * Multiple minor bug fixes, build fixes, portability fixes, documentation improvements, and translation updates. ## NiceOS maintainer checklist - [ ] Confirm that the detected version is a stable upstream release. - [ ] Check upstream changelog for security fixes, ABI/API changes and build-system changes. - [ ] Check ABI/API compatibility and reverse dependencies. - [ ] Download source into NiceOS lookaside storage. - [ ] Update `Version` and related fields in `SPECS/*.spec` only if policy allows it. - [ ] Regenerate `SOURCES/sources.lock.json`, manifests, metadata and SBOM. - [ ] Build SRPM/RPM in a clean NiceOS buildroot. - [ ] Run package smoke tests. - [ ] Link PR/build logs and close this issue after update or triage. ## Bot metadata - Tool: `niceos_upstream_monitor.py 1.4` - Generated at: `2026-04-27T21:55:22Z`

sbelikov added the

labels

2026-04-28 00:43:53 +03:00