LINUX.ORG.RU
ФорумTalks

Дебиан не умеет в актуальные браузеры, все крайне печально

 , ,


4

1

Когда речь заходит о состоянии упакованных веб-браузеров для Debian GNU/Linux, к сожалению, оно оставляет желать лучшего, и для тех, кто хочет быть в безопасности и быть в курсе последних событий, это может означать обращение к проприетарным или неупакованным сборкам браузеров.

Читатель Phoronix, пожелавший остаться неизвестным, написал о плачевном состоянии поддержки упакованных веб-браузеров в Debian. Ниже приводится его резюме о состоянии веб-браузеров, упакованных в Debian, а также предостережение для пользователей в отношении невышедших обновлений безопасности.

Все браузеры, поставляемые в Debian (Chromium, Firefox ESR, Falkon, …), имеют серьёзные открытые проблемы безопасности, которые сопровождающие пакета, очевидно, не могут легко исправить:

  • Chromium всё ещё находится на версии 90.0.4430.212-1, что означает, что он содержит массу проблем безопасности. Debian Wiki рекомендует перейти на другой браузер. Те, кто установил браузер ранее и полагается на автоматические обновления, остаются с непропатченным браузером, даже не замечая этого.

  • Официальным веб-браузером Debian является Mozilla Firefox (версия ESR). Последним обновлением Firefox ESR в стабильном Debian была версия 78.15.0. Эта версия также имеет довольно много непроработанных проблем безопасности, а ветка 78.x ESR больше не поддерживается Mozilla. Им приходится обновляться до ветки 91.x ESR, которая, очевидно, вызывает большие проблемы в текущей стабильной платформе Debian. В одном из выпусков люди жалуются на замораживание сессий браузера с выпуском 91.x, что блокирует новый выпуск Firefox ESR от перемещения в «stable-security». Кто-то в выпуске утверждает причину: «Firefox-ESR 91.3 больше не использует OpenGL GLX. Вместо этого он использует EGL по умолчанию. EGL требует как минимум mesa версии 21.x. Debian stable (bullseye) поставляется с mesa версии 20.3.5».

Так что сейчас ситуация выглядит не лучшим образом. Кстати, Mozilla Thunderbird также затронут этим.

  • Другие браузеры, входящие в дистрибутив Debian, такие как Falkon, также давно не получали исправлений безопасности (для Falkon необходимо обновить пакет QtWebEngine).

Похоже, таково текущее положение дел с веб-браузерами в Debian… В общем, если вы хотите оставаться в курсе последних событий, то лучшим вариантом будет использование двоичных файлов от Mozilla Firefox или Google Chrome, но даже с последним Firefox могут быть проблемы на стабильном Debian вокруг EGL/GLX. Читатель Phoronix закончил: «Самое печальное в этой ситуации то, что у Debian есть философия, согласно которой нелиберальное программное обеспечение по умолчанию не должно попадать к пользователю. Но эта ситуация фактически толкает людей к браузерам с закрытым исходным кодом, таким как Google Chrome или Opera. Трудные времена для проекта Debian».

https://www.phoronix.com/scan.php?page=news_item&px=Web-Browser-Packages-Debian

Оправдывайтесь, любители стабильности.

актуальные браузеры

что для одного актуально, другому даром не нужно, а третьему вообще не приемлемо.

amd_amd ★★★★ ()

А че оправдываться. Согласно https://tracker.debian.org/pkg/firefox-esr всего 17 секюрити ишьюс… Половина из них даж фикса не имеют в принципе. Капля в море. В бубунте и красношапке та же фигня.

А неизвестный вполне возможно стандартный гуглотроль мол все на хром, потому что там меньше известных багов….

Jetty ★★★★★ ()
Ответ на: комментарий от t184256

Это смотря как считать. Можно систему отсчета установить на этом треде, будет первый тред.

hakavlad ★★★ ()

глядя, какими темпами развивается софт, латают дыры, добавляют фичи понял, что надо что-то менять. думал про арч, потом про манжаро (или как правильно?), а потом случайно добрый человек посоветовал nixos. Практически сразу заехал на unstable channel. С тех пор и сижу на этом дистре. Софт обновляется весьма быстро. Всплывают эпизодически какие-то грабли, но не критичные. Все таки для работы окружение.

это я все к чему, дебиан на десктопе лучше не использовать. возможно для всякого серверного софта они быстрее апдейты выкатывают, не знаю.

ЗЫ очень много слышал как сломали в очередном апдейте переключалку раскладки, хотя сам за 20 лет не испытывал эту проблему. внезапно, (уже где-то месяц или даже два) поймал таки ее в никсе. все жду когда починят. хотя, есть подозрение, какой-то конфиг поломался. если кто знает, подскажите, буду признателен. (пользую дефолтный гном. сами раскладки переключаются, просто индикатор об этом не сообщает, всегда en показывает, хотя в реальности может быть ru)

ergo ()
Последнее исправление: ergo (всего исправлений: 2)

стабильности

Стабильность дебиана не связана с наличием/отсутствием багов в ПО оного.

apt_install_lrzsz ()
Ответ на: комментарий от Jetty

В бубунте и красношапке та же фигня.

Па-азвольте. В красношапке Firefox 91 есть в 9 Stream, в 9, в 8 Stream, 8.5, 8.4, 8.2, 8.1, 7.9.

Пользователь RHEL 7, вышедшей семь с половиной лет назад, имеет на ней свежий ESR с фиксами безопасности месячной давности.

В дебиан 91ый ESR… в unstable? Даже не в testing?

t184256 ★★★★★ ()
Последнее исправление: t184256 (всего исправлений: 2)

Откуда вообще информация, что FF ESR 91 использует EGL по умолчанию? В списке изменений этого нет.

Я только что проверил, запустил FF 91.4.0 и он использует GLX по умолчанию, а не EGL.

Kron4ek ★★★★★ ()

Преамбула: Мороникс не нужен. :)

В одном из выпусков люди жалуются на замораживание сессий браузера с выпуском 91.x, что блокирует новый выпуск Firefox ESR от перемещения в «stable-security»...«Firefox-ESR 91.3 больше не использует OpenGL GLX. Вместо этого он использует EGL по умолчанию. EGL требует как минимум mesa версии 21.x. Debian stable (bullseye) поставляется с mesa версии 20.3.5».

Это кто-то просто перепечатал комментарий из багзиллы Debian. Но вроде как это как раз проявляется и там, где Mesa 21.x. И баг этот вроде как закрыли несколько дней назад. https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=998679 ( firefox-esr freezes shortly after start)

UPD. Да блин, никак правильно ссылку не мог скопировать :)

Zubok ★★★★★ ()
Последнее исправление: Zubok (всего исправлений: 6)
Ответ на: комментарий от ergo

Как только пользователь марджары оставит отзыв (и чтоб все по шаблону было!) так напишу.

The_Coon ()
Ответ на: комментарий от chenbr0

В стабильном коде стабильны и баги

И дыры 👌

fornlr ★★★★★ ()
Ответ на: комментарий от t184256

В дебиан 91ый ESR… в unstable? Даже не в testing?

Потому что есть RC-баги, которые не позволяют пакету мигрировать автоматом в testing (например, не собирается на mipsel, проблема на armhf и др.):

https://qa.debian.org/excuses.php?package=firefox-esr

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1001234

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=982794

Zubok ★★★★★ ()
Ответ на: комментарий от Jetty

В бубунте и красношапке та же фигня.

Ты видать тоже фантик (полез с традиционным приёмом «а вон у них!», но врать не краснея на тему того, что элементарно проверяется - всё же глупо

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)

— А что вообще в мире делается?

— Стабильности нет. В Дебиане опять меняют грабли на противопехотные мины.

qtm ★★★ ()
Последнее исправление: qtm (всего исправлений: 1)
Ответ на: комментарий от t184256

Это, наверное, очень греет юзерам душу.

Ну они там решили не релизить для mipsel новую версию. Вроде бы написали, что проблемы, препятствующие миграции, устранили. в testing должно появиться. А вот в stable я так и не понял пока. Сопровождающий пишет, что rust compiler надо новый в stable: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1001234#27 Или это только для mipsel имелось в виду? Не пойму что-то по контексту.

The update is delayed, because the toolchain is not yet ready, there are updates needed for rustc, which in turns needs llvm update as well.

Zubok ★★★★★ ()
Последнее исправление: Zubok (всего исправлений: 1)
Ответ на: комментарий от ergo

Да, фиксы для серверного софта прилетают очень быстро, бывает даже быстрее всех. А на десктопе такая жопа, потому что стабильность больше про всякие терминалы и рабочие станции, а не про домашний лаптоп. Браузеры лучше через firejail гонять, в них постоянно 0days на произвольный код.

Никс же много памяти на диске жрёт? Иначе теряется смысл версионирования.

InterVi ★★★ ()
Ответ на: комментарий от Zubok

Это все обычная рабочая возня на которую отпущен чёткий срок — пока жив прошлый ESR. Надо было вот это все, только до ноября.

t184256 ★★★★★ ()
Ответ на: комментарий от InterVi

Возможность версионировать не означает, что ты обязан ей пользоваться. У меня VPS есть где всего два гига занято.

t184256 ★★★★★ ()
Ответ на: комментарий от InterVi

Да, больше обычного, но это цена за граф версионности. В общем случае, не критично, когда у тебя пара терабайт.

ergo ()

Оправдывайтесь, любители стабильности.

Так себе вброс. Есть Flatpak, есть официальный тарболл огнелиса.

Sunderland93 ★★★★★ ()

Дебиан всегда был дистрибутивом с не самыми новыми пакетами. Чего уж удивляться. Возьми Ubuntu.

rumgot ★★★★★ ()
Ответ на: комментарий от Sunderland93

Проблема не в этом, а в том, что дистрибутив заявляет о себе как безопасный. А на деле в дефолтной поставке дыры месячной давности.

Если не справляются, то пусть выкинут из реп и добавят скрипт, чтоб качал с офф. сайта бинарник и распаковывал куда надо.

sergio-m ()
Ответ на: комментарий от Sunderland93

Нет, к сожалению, это проблема.

Да, пути установки актуальных браузеров и почтовых клиентов на Debian есть. Есть .deb пакеты с Chrome, Opera, Vivaldi; в Snap Store есть Firefox, Chromium, Opera; на Flathub есть Firefox и Chromium; есть официальный .tar архив с Firefox; Thunderbird доступен в Snap Store, Flathub и .tar архиве… есть и иные варианты.

Что никак не отменяет того факта, что из штатных репозиториев их нельзя скачать и установить, а ведь репозитории должны снабжаться пакетами с исправлениями безопасности.

Vsevolod-linuxoid ★★★★★ ()
Ответ на: комментарий от sergio-m

Вообще в составе Debian были такие пакеты, которые просто скачивали софт с сайта производителя. Flash Player, например. Может и сейчас такие пакеты есть.

Vsevolod-linuxoid ★★★★★ ()
Ответ на: комментарий от Vsevolod-linuxoid

Вообще в составе Debian были такие пакеты, которые просто скачивали софт с сайта производителя. Flash Player, например. Может и сейчас такие пакеты есть.

Есть, да. Например, google-android-emulator-install. Да наверняка еще много других.

Zubok ★★★★★ ()

Не вброса ради, но для чего вообще использовать стабильный дебиан на десктопе? Типа убунта, без снапов и прочего шлака? Не слишком ли стабильно?

Ну и разработчики пошли по экстенсивному пути развития репозиториев, что сказать.

fernandos ★★★ ()
Ответ на: комментарий от fernandos

Типа убунта, без снапов и прочего шлака?

Типа того. Ну и выбор особо не велик, либо это, либо пердолинг дистрибутивы

Sunderland93 ★★★★★ ()
Ответ на: комментарий от fernandos

да и кто знает, сколько ещё в дебиане уязвимых пакетов?

Да они везде есть, где-то больше, где-то меньше. Но Дэбиану однозначно стоит пересмотреть политику в отношении подобного софта. Странно что в той же Ubuntu регулярно выходят новые версии Firefox, а в Debian только ESR. С этого бы начать.

Sunderland93 ★★★★★ ()

А эти проблемы безопасности имеют работающие эксплойты? Или это теоретическая проблема, которую кто-то может использовать локально, если есть пароль от root? Извиняюсь, но лень по ссылкам шляться.

another ★★★★★ ()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)