<div dir="ltr">Hi,<div><br></div><div>At the moment we don&#39;t really have a policy for oe-core bugs in <a href="http://bugzilla.yoctoproject.org">bugzilla.yoctoproject.org</a> that apply to multiple releases, for example <a href="https://bugzilla.yoctoproject.org/show_bug.cgi?id=9400">https://bugzilla.yoctoproject.org/show_bug.cgi?id=9400</a>.  This is a CVE bug that should be fixed in all supported branches, and indeed Sona has sent patches for Fido/Dizzy/Jethro/master.  Of course now we&#39;ve got to track where these patches are in the submission process and ensure that we don&#39;t drop any of these, but bugzilla only has a single target milestone for each bug.</div><div><br></div><div>I propose that for bugs such as this we file a bug report for master and then clone it (there&#39;s a Clone This Bug button at the bottom) for each stable release that is affected.  Then each bug can have it&#39;s own target milestone set and we can be sure that the patches don&#39;t get left out of being merged and that QA can effectively verify each branch.</div><div><br></div><div>Any objection or feedback? (the first person to suggest moving to Jira gets to manually review all CVEs from CVE-1999-0001 onwards are fixed in krogoth).</div><div><br></div><div>Ross</div></div>