<div dir="ltr"><div><div><div><div><div><a href="https://www.debian.org/security/faq">https://www.debian.org/security/faq</a><br><br>"The most important guideline when making a new package that fixes a

   security problem is to make as few changes as possible. Our users and

   developers are relying on the exact behaviour of a release once it is made,

   so any change we make can possibly break someone's system."<br><br>Like mine. In my various Debian deployments I rely on the truth of the quoted 

statement. When package fails to follow that procedure, particularly 

when that failure is in a very visible package, I am negatively 

impacted. It's hard enough to convince the PHB's to use Debian over Red 

Hat without it blowing up in my face because of a poorly conceived 

update.<br><br></div>I don't know what you did before iceweasel 24.8 and I don't care. Perhaps I didn't notice because while I've run Debian servers for 15 years these past few months are the first time in half a decade that I've given Debian on the desktop a chance. <br><br></div>I understand that some upstream software managers behave so badly that your hands can be tied at the Debian level. Certainly that's true of Firefox. But in such a circumstance I beg you: do something other than push out the new upstream version.<br><br></div>Here are some alternatives you might consider:<br><br></div>1. Introduce an iceweasel32 package and obsolete the old iceweasel package at the point where you're no longer able to provide security updates to it. The obsoleted package won't be removed until the sysadmin decides to remove it.<br><br></div><div>2. Offer a high-priority dialog at install time if the version being replaced is enough older to have compatibility problems, advising that the version being installed is known to be incompatible. Offer an "abort upgrade" option which will fail out of the package install.<br><br></div>3. Package firefox 32 and the previous Wheezy firefoxes in the same bundle. On first run for a user following the update, prompt for which version to execute advising that versions older than current are known to have security flaws.<br><div><div><div><div><br></div><div>-Bill<br><br></div><div><br></div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Oct 21, 2014 at 3:30 PM, Carsten Schoenert <span dir="ltr"><<a href="mailto:c.schoenert@t-online.de" target="_blank">c.schoenert@t-online.de</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hello William,<br>

<br>

On Tue, Oct 21, 2014 at 02:44:34PM -0400, William Herrin wrote:<br>

> Subject: iceweasel: wheezy force upgraded to 31.2.0esr-2~deb7u1<br>

><br>

> This is a major breach of protocol for debian security patches.<br>

> You DO NOT, DO NOT, DO NOT release major new upstream<br>

> versions in the middle of a stable release cycle. You certainly<br>

> do not release new versions which are significantly incompatible<br>

> with the old version.<br>

<br>

no it is not.<br>

Debian Wheezy was starting with version 10.0.12 for Iceweasel. Right at<br>

the release of Wheezy this version wasn't supported any longer by<br>

Mozilla. We did change the "major" version two times before the current<br>

version 31 in stable-security, ESR version 17 and 24.<br>

<br>

> $ rmadison iceweasel | grep security<br>

> iceweasel | 3.5.16-20            | squeeze-security  | source, amd64, armel, i386, ia64, kfreebsd-amd64, kfreebsd-i386, mips, mipsel, powerpc, s390, sparc<br>

> iceweasel | 17.0.10esr-1~deb7u1  | wheezy-security   | source, ia64, mips, mipsel<br>

> iceweasel | 24.5.0esr-1~deb7u1   | wheezy-security   | source, sparc<br>

> iceweasel | 24.8.0esr-1~deb7u1   | wheezy-security   | source<br>

> iceweasel | 24.8.1esr-1~deb7u1   | wheezy-security   | source, armhf, kfreebsd-amd64, kfreebsd-i386, s390<br>

> iceweasel | 31.2.0esr-2~deb7u1   | wheezy-security   | source, amd64, armel, i386, powerpc, s390x<br>

<br>

Now Mozilla started a new ESR version and the security team has decided<br>

to use this versions in the current stable-security repository. An they<br>

are right!<br>

<br>

Regards<br>

<span class=""><font color="#888888">Carsten<br>

</blockquote></div> <br clear="all"> --  William Herrin ................ <a href="mailto:herrin@dirtside.com" target="_blank">herrin@dirtside.com</a>  <a href="mailto:bill@herrin.us" target="_blank">bill@herrin.us</a> Owner, Dirtside Systems ......... Web: <<a href="http://www.dirtside.com/" target="_blank">http://www.dirtside.com/</a>> May I solve your unusual networking challenges?

</div></div>