Re: [SECURITY] [DSA 5113-1] firefox-esr security update

[Elmar Stellnberger <estellnb@elstel.org>]

Am 19.04.22 um 12:15 schrieb Elmar Stellnberger:
>    Today I have received response on my g++ bug report at gcc.gnu.org. 
> Gcc 8.3.0 as used in Debian 10 is no longer supported as the 8 branch 
> has a newer version which is gcc 8.5. Why do Debian maintainers not 
> update gcc, if there is a known bug that prevents updated sources like 
> firefox-esr-91.8.0 from building?

  As I am still interested in a resolution of this gcc/g++ bug I have 
looked for updates on buster/i386. In deed there is one:

  Automatic updating did not seem to work:

> apt-get upgrade
Paketlisten werden gelesen... Fertig
Abhängigkeitsbaum wird aufgebaut.
Statusinformationen werden eingelesen.... Fertig
Paketaktualisierung (Upgrade) wird berechnet... Fertig
Die folgenden Pakete wurden automatisch installiert und werden nicht 
mehr benötigt:
  libstd-rust-1.41 libstd-rust-dev
Verwenden Sie »apt autoremove«, um sie zu entfernen.
Die folgenden Pakete werden aktualisiert (Upgrade):
  g++-8 gcc-8 libstdc++-8-dev libstdc++6-8-dbg
4 aktualisiert, 0 neu installiert, 0 zu entfernen und 0 nicht aktualisiert.
Es müssen noch 5.600 kB von 26,5 MB an Archiven heruntergeladen werden.
Nach dieser Operation werden 13,3 kB Plattenplatz zusätzlich benutzt.
Möchten Sie fortfahren? [J/n] J
Holen:1 http://deb.debian.org/debian buster/main i386 libstdc++6-8-dbg 
i386 8.3.0-6 [5.600 kB]
Es wurden 5.600 kB in 6 s geholt (930 kB/s). 


(Lese Datenbank ... 71264 Dateien und Verzeichnisse sind derzeit 
installiert.)
Vorbereitung zum Entpacken von .../gcc-8_8.3.0-6_i386.deb ...
Entpacken von gcc-8 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von .../libstdc++-8-dev_8.3.0-6_i386.deb ...
Entpacken von libstdc++-8-dev:i386 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von .../g++-8_8.3.0-6_i386.deb ...
Entpacken von g++-8 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von .../libstdc++6-8-dbg_8.3.0-6_i386.deb ...
Entpacken von libstdc++6-8-dbg:i386 (8.3.0-6) über (8.3.0-6) ...
gcc-8 (8.3.0-6) wird eingerichtet ...
libstdc++6-8-dbg:i386 (8.3.0-6) wird eingerichtet ...
libstdc++-8-dev:i386 (8.3.0-6) wird eingerichtet ...
g++-8 (8.3.0-6) wird eingerichtet ...
Trigger für man-db (2.8.5-2) werden verarbeitet ...
dbuster-i386_root:/> dpkg -l g++
Gewünscht=Unbekannt/Installieren/R=Entfernen/P=Vollständig Löschen/Halten
| Status=Nicht/Installiert/Config/U=Entpackt/halb konFiguriert/
         Halb installiert/Trigger erWartet/Trigger anhängig
|/ Fehler?=(kein)/R=Neuinstallation notwendig (Status, Fehler: 
GROSS=schlecht)
||/ Name           Version      Architektur  Beschreibung
+++-==============-============-============-=================================
ii  g++            4:8.3.0-1    i386         GNU C++ compiler


 so that I have manually downloaded and installed these packages:

  ...> dpkg -i *.deb
(Lese Datenbank ... 71276 Dateien und Verzeichnisse sind derzeit 
installiert.)
Vorbereitung zum Entpacken von g++-8_8.3.0-6_i386.deb ...
Entpacken von g++-8 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von g++-8-multilib_8.3.0-6_i386.deb ...
Entpacken von g++-8-multilib (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von gcc-8_8.3.0-6_i386.deb ...
Entpacken von gcc-8 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von libstdc++6-8-dbg_8.3.0-6_i386.deb ...
Entpacken von libstdc++6-8-dbg:i386 (8.3.0-6) über (8.3.0-6) ...
Vorbereitung zum Entpacken von libstdc++-8-dev_8.3.0-6_i386.deb ...
Entpacken von libstdc++-8-dev:i386 (8.3.0-6) über (8.3.0-6) ...
gcc-8 (8.3.0-6) wird eingerichtet ...
libstdc++6-8-dbg:i386 (8.3.0-6) wird eingerichtet ...
libstdc++-8-dev:i386 (8.3.0-6) wird eingerichtet ...
g++-8 (8.3.0-6) wird eingerichtet ...
g++-8-multilib (8.3.0-6) wird eingerichtet ...
Trigger für man-db (2.8.5-2) werden verarbeitet ...
dbuster-i386_root:~/pkgdld> dpkg -l g++
Gewünscht=Unbekannt/Installieren/R=Entfernen/P=Vollständig Löschen/Halten
| Status=Nicht/Installiert/Config/U=Entpackt/halb konFiguriert/
         Halb installiert/Trigger erWartet/Trigger anhängig
|/ Fehler?=(kein)/R=Neuinstallation notwendig (Status, Fehler: 
GROSS=schlecht)
||/ Name           Version      Architektur  Beschreibung
+++-==============-============-============-=================================
ii  g++            4:8.3.0-1    i386         GNU C++ compiler

  It still displays the old version though a package file called by a 
newer version was installed. To me it looks like if someone had updated 
the package but not changed the debian/changelog file at package 
creation. Can anyone confirm or help whether I really have a newer 
version? Anyway this is a 'bug'.

  After upgrading I have re-tried to build the newer Firefox but that 
did not work yet:

firefox-esr-91.8.0esr> ../evoke-compilererr
/usr/src/firefox-esr-91.8.0esr/gfx/wr/swgl /usr/src/firefox-esr-91.8.0esr
during RTL pass: expand
In file included from src/gl.cc:2643:
src/rasterize.h: In function ‘void draw_quad_spans(int, Point2D*, 
uint32_t, glsl::Interpolants*, Texture&, Texture&, const ClipRect&) 
[with P = unsigned char]’:
src/rasterize.h:782:20: internal compiler error: in convert_move, at 
expr.c:218
 static inline void draw_quad_spans(int nump, Point2D p[4], uint32_t z,
                    ^~~~~~~~~~~~~~~
0xf7961b40 __libc_start_main
	../csu/libc-start.c:308
Please submit a full bug report,


  What I would need for gcc folks to care about this compiler bug is an 
update to version gcc-8.5!

https://gcc.gnu.org/bugzilla/show_bug.cgi?id=105293