OpenSSH 5.0リリース

iida 曰く、

つい先月末に4.7から4.8を飛ばして、いきなり4.9に上がったばかりのOpenSSHだが、4月3日、こんどは5.0がリリースされた。4.7から比べると、脆弱性CVE-2008-1483への対応(5.0)や、~/.ssh/rcの実行の既定値の振舞の改善(4.9)など、セキュリティー面での向上がある。5.0のリリース・メモによると、バグ報告がうまく上がらず、短期で相次ぐリリースとなったらしい。

[2008-04-07 21:30 JST 追記] コメントでも指摘されているが、"Note that OpenSSH 4.8 was an OpenBSD-only release shipped with the OpenBSD 4.3 CD."とのこと(4.9リリースノートより)。

4.8は飛ばしてないです

[ilonasive (6257)]

つい先月末に4.7から4.8を飛ばして、いきなり4.9に上がったばかりのOpenSSHだが、

4.8は飛ばしてないですよ。うちのマシンではこんな感じです。

$ uname -a
OpenBSD hogehoge.localnet 4.3 GENERIC.MP#587 i386

$ ssh -V
OpenSSH_4.8, OpenSSL 0.9.7j 04 May 2006

4.8のポータブルバージョン(OpenBSD以外への移植バージョン)は出ませんでしたが。 OpenBSDネイティブではちゃんとリリースされてます。

Re:4.8は飛ばしてないです

[znc (2768)]

4.8のリリースの記事の時にも今回でも、『4.8はOpenBSDのみリリース』みたいな記述はありますよ。
ちょっと分かりにくいので『OpenBSD版も飛ばした』みたいになっていますが。

--
『今日の屈辱に耐え明日の為に生きるのが男だ』
宇宙戦艦 ヤマト 艦長 沖田十三氏談
2006/06/23 JPN 1 - 4 BRA

うぇ、それでメジャーバージョンアップ？

[Anonymous Coward]

タレコミからだと、単なるセキュリティフィックスにしか見えないのだけど、
それで4.Xから5.0にメジャーバージョンアップするの？

4.9.1とかは出さないポリシー？

Re:うぇ、それでメジャーバージョンアップ？

[127.0.0.1 (33105)]

>4.9.1とかは出さないポリシー？

4.7、4.8(欠番)、4.9ときたなら、普通に考えたら次は4.10、4.11と続くと思う。

Re:うぇ、それでメジャーバージョンアップ？

[Anonymous Coward]

突然バージョン番号がx.9とかx.9yになった場合それは次のバージョン(x+1).0のベータ版という意味である場合が多いようです。
その場合実際には(x+1).0の前に(x+1).0の機能が追加されているので(x+1).0自体の変更点はバグフィックスが主になります。
...が、今回は4.9になったときに大きな変更は無く [openbsd.org]、そういうわけではないようですが。

Re:うぇ、それでメジャーバージョンアップ？

[obache (2441)]

OpenBSD が 3.9 の次が 4.0 なんだから、そういうものでしょ。

Re:うぇ、それでメジャーバージョンアップ？

[superfox (31908)]

> 4.7、4.8(欠番)、4.9ときたなら、普通に考えたら次は

4.A, 4.B, …。

# 新人時代固定小数点数電卓作らされたのは
# 良い勉強になったよ。

Re:

[Anonymous Coward]

普通がなんなのかは分からないが普通は5.0にしないよな。
バグ報告が上手く伝わらなかったとかいうのもこういとこに現れてる気がするよ。

Re:

[Anonymous Coward]

本当に普通の人の感覚だと4.7,4.8,4.9ときたら次は5.0ですよ。

Re:うぇ、それでメジャーバージョンアップ？

[z11i (34612)]

> 本当に普通の人の感覚だと4.7,4.8,4.9ときたら次は5.0ですよ。

これは同感。
4.1, 4.10, 4.11 が混在していると
疲れているときに順番を間違えやすい。
（ファイル名のソート順とバージョンが一致しない）
ヒューマンエラーを避ける意味でも
4.1, 4.10, 4.11.. の混用は避けるべきだと思う。
小刻みになるが、最初から 4.01, 4.02... としてもいい。

Re:

[Anonymous Coward]

そしたら4.99の次はどうするかで悩むよ。4.ZZまで行くかい？

一つめで互換性断絶、二つめでセキュリティ修正、三つ目でバグ修正とか
決まっていないのかなぁ…？

Re:

[Anonymous Coward]

>そしたら4.99の次はどうするかで悩むよ。4.ZZまで行くかい？

その場合、メジャーバージョンアップまでに
99回もバグフィックス版をリリースする事態の方に頭を悩ますべきでは
よほど巨大なアプリケーションならどうか知らないけど

Re:

[Anonymous Coward]

> その場合、○○の方に頭を悩ますべきでは

その理屈Y2K以前のころによく出ましたね。「これを2000年まで使うことがあれば、それのほうに頭を悩ますべき」とかね。

Re:

[Anonymous Coward]

（略）飾（略）

Re:

[Anonymous Coward]

？ なんでDebianが関係あるんです?

Re:

[Anonymous Coward]

リリースノートを読むと、DebianのOpenSSHメンテナが報告をしなかった(failed to report)となってるね。

詳細は知らないんだけど、Debianには社会契約があるから意図的に報告しなかったというのは考えづらいので、ミスだとは思うんだけど。

詳細な経緯

[Henrich (121)]

1. 普通に Debian Bugtracking System にユーザからバグレポートが上がった
2. Red Hat の人が「それは我々が2000年数年前に通った道だ！（Red Hat/Fedora ならもう直してるぜ）」とパッチを示した [debian.org]
3. Debian openssh パッケージメンテナは Upstream への連絡として Theo にダイレクトに連絡 [lwn.net]した （ここが非難の元で、「専用アドレスに連絡しろよ」らしい）
4. Debian/Ubuntu のメンテナである cjwatson 曰く「ごめん、休暇に出かける前日にバグのラッシュで頑張って色々処理してたんだ。その時は Theo に連絡したから OK だと思ってた。RH の security responce team もこの問題見てたんだけどなぁ…」 [debian.org]

Re:

[Anonymous Coward]

詳細ありがとうございます。なるほど。 でも「氏ね」はちょっとなぁ。 バグレポ、寄付etc何も貢献してない身としては 今回の経緯はどうであれ　ありがたく使わせてもらってます。

Re:

[Anonymous Coward]

オープンソースの物にたいして「氏ね」であれば
購入した物のバグには何て言うつもりなんでしょうね？
３代まで祟ってやる？