<div dir="ltr"><div dir="ltr"><br></div><br><div class="gmail_quote"><div dir="ltr">Le ven. 18 janv. 2019 à 11:37, Andreas Tille <<a href="mailto:andreas@an3as.eu">andreas@an3as.eu</a>> a écrit :<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hi,<br>
<br>
I just realised that one of my packages does not migrate to testing due<br>
to its dependency from r-cran-v8 and in turn from libv8-devel.  I<br>
realised that while libv8 has 3 security bugs which are set to<br>
stretch-ignore (#760385, #773623, #773671 - should this somehow also be<br>
set to buster-ignore??? - I had no idea that we ignore CVEs at all but<br>
anyway) it probably can not migrate to testing since it does not even<br>
build:<br>
<br>
   #853512 libv8-3.14: ftbfs with GCC-7<br>
<br>
This bug is RC since 6 months but there is no response from any<br>
uploader.  So I tried to clone the repository from Salsa and realised<br>
that there is none at the place I would have expected<br>
(<a href="https://salsa.debian.org/js-team/libv8" rel="noreferrer" target="_blank">https://salsa.debian.org/js-team/libv8</a>).  Is there any other place<br>
(besides digging into Alioth archives where I could find the<br>
repository?)  I admit I'm not motivated to find out how to restore<br>
old repositories but would rather use<br>
<br>
   gbp import-dscs --ignore-repo-config --debsnap --pristine-tar libv8<br>
<br>
instead.  Any information about the status of this package would be<br>
really welcome.<br>
<br>
However, when reading<br>
<br>
   <a href="https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=773671#59" rel="noreferrer" target="_blank">https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=773671#59</a><br>
<br>
it might rather the best idea to remove this lib from Debian at all and<br>
I need to see how I can avoid depending from this package.<br></blockquote><div><br></div><div>Indeed, i am sorry for this bad state of things; i thought i could handle it,</div><div>but obviously i couldn't.</div><div><br></div><div>Possible solutions (besides not using it at all):</div><div>- bundle it - nodejs bundles it<br></div><div>- change nodejs to build its v8 as a shared lib, and provide it</div><div>it makes sense because upstream nodejs do all the work of keeping ABI stability,</div><div>backporting security fixes, choosing the right version, and so on.</div><div>- take over maintenance and distribute it independently of nodejs<br></div><div><br></div><div>Jérémy</div><div><br></div></div></div>