Le SP1 de Windows Vista tient-il ses promesses ?
Le Service Pack 1 de Windows Vista sera bientôt disponible. Très attendu par une majorité d'utilisateurs, il est censé améliorer les performances et la stabilité de ce système d'exploitation si critiqué. Mais est-ce vraiment le cas ? Lire la suite
- Finalement Vista SP1 sortira plus tôt
- Apple : Mac OS X 10.5.2 est arrivé !
- Linux, Windows, Mac OS, quel est le meilleur OS ? (Tom's Guide)
- Mac OS X toujours en hausse
- Le SP1 de Windows Vista est fini : sortie en mi mars
- Le salon Solutions Linux 2008 vu par Tom's Guide
- Vista un an après : un bilan mitigé (Tom's Guide)
- Comment acheter XP après le 30 juin prochain
- Windows Seven finalement pour 2010-2011
- Des screenshots de Windows 7
Une faille critique dans Linux
Source: Linux-Watch – Catégorie : Systèmes d'exploitation 61 commentaires
Qui a dit que LinuxSystème d’exploitation compatible avec Unix et reposant sur le principe du logiciel libre.
Linux est un système d’exploitation dérivé d’Unix. Il a été... était un système infaillible ? Une jolie petite faille critique vient en effet d’être découverte dans le kernelFonction appliquée à chaque élément d’un flux. A l’intérieur d’un kernel le résultat du calcul pour un élément donné ne dépend que de ses entrées et p.... N’importe quel noyauPartie centrale d’un système d’exploitation qui prend en charge ses fonctions de base et assure les échanges avec le matériel.
L’architecture des syst... Linux compris entre les versions 2.6.17 et 2.6.24.1 est ainsi vulnérable à cette faille, cette dernière permettant le plus simplement du monde une élévation de privilège, c’est-à-dire une attribution des droits rootNom attribué à l’utilisateur qui, sur les systèmes Unix et assimilés, dispose de toutes les autorisations et droits.
Le concept d’utilisateur root est... à n’importe quel utilisateur lambda. Joie.
Toutes les distributions seraient touchées, et le seul moyen de corriger cette faille serait de mettre à jour le kernel en version 2.6.24.2. Plus grave, le code source d’un exploit, sobrement baptisé « vmsplice Local Root Exploit », est d’ores et déjà disponible. Bref, si vous possédez une ou plusieurs machines fonctionnant sous Linux 2.6 (les kernels 2.4 ne sont pas vulnérables), il ne vous reste qu’une seule chose à faire : patcher !
Réagissez ! Retour à la liste des news
- 1 / 2
- Suivante
-
"Qui a dit que Linux était un système infaillible ? " Personne, par contre, on dit que celles de Linux sont corrigées.
Après cette news un constat s'impose.... y a bien moins d'abrutis ici que sur Clubic 
.
Oui, il suffit d'avoir un accès SSH de base sur n'importe quel serveur pour pouvoir faire joujou avec celui-ci. (enfin, corrigez-moi si je me trompe 
)
OVH précise d'ailleurs que la faille est accessible via un bête scripts php, cgi ou autre. Si quelqu'un a des précisions...
| a écrit : "Qui a dit que Linux était un système infaillible ? " Personne, par contre, on dit que celles de Linux sont corrigées relativement rapidement. |
![[:sseb22:7]](http://img.infos-du-net.com/forum/images/perso/7/sseb22.gif "[:sseb22:7]")
Je me suis pas renseigné outre mesure, mais de toutes façons le péquin de base n'a pas de raison d'ouvrir un accès distant SSH. Et pour les serveurs, les administrateurs réseau savent parfaitement quoi faire et ont déjà dû corriger la faille depuis un moment.
Bref, sitôt découverte, sitôt colmatée... y a plus grand risque.
Faux, faux, et faux !
Qui a dit que Linux était un système infaillible ?
--> Absolument personne !
le seul moyen de corriger cette faille serait de mettre à jour le kernel en version 2.6.24.2.
--> Faut, tous les noyaux entre le 2.6.17 et le 2.6.24 ont été corrigés. Il n'est ABSOLUMENT PAS nécessaire de passer au noyau 2.6.24.2 . Un correctif pour la plupart des distributions comme RHEL, Fedora, Debian, Ubuntu, etc... est disponible depuis 2 jours.
@loacoon : non, une connexion SSH ou l'exécution d'un script PHP+CGI pouvant exécuter des commandes permet d'avoir également les droits root en utilisant cette faille.
| slasher-fun a écrit : Faux, faux, et faux ! |
c'était une boutade, mais je suppose que la grande majorité des lecteurs l'aura compris...
| slasher-fun a écrit :
|
Oui, on peut aussi revenir à un noyau 2.4...
| a écrit : "Qui a dit que Linux était un système infaillible ? " Personne, par contre, on dit que celles de Linux sont corrigées. |
"corrigé" ne signifie pas "disponible"
Seuls les geek s'amusent à consulter quotidiennement kernel.org à la recherche du dernier kernel et du dernier patch pour être "up to date" ...
... le pékin lambda, celui qui fait mumuse sous *ubunutu, mandriva et autres distributions doit attendre que l'éditeur sorte un kernel patché. Ce qui peut prendre quelques jours
De toute façon "le pékin lambda" n'a pas ce genre de problème , car comme précisé plus haut , il faut un accès LOCAL , et ce pékin en question n'a aucun intérêt pour les pirates
je suis sur archlinux, et j'ai donc le dernier kernel tres peu de temps apres sa sortie.
la faille est importante surtout dans les environnement multi utilisateurs d'un serveur (écoles et entreprises).
| R4v3nZ a écrit : De toute façon "le pékin lambda" n'a pas ce genre de problème , car comme précisé plus haut , il faut un accès LOCAL , et ce pékin en question n'a aucun intérêt pour les pirates |
Tu sais que pas mal de saloperies s'échangeaient par disquette, à une lointaine époque
| ultrabill : "corrigé" ne signifie pas "disponible"Seuls les geek s'amusent à consulter quotidiennement kernel.org à la recherche du dernier kernel et du dernier patch pour être "up to date" ...... le pékin lambda, celui qui fait mumuse sous *ubunutu, mandriva et autres distributions doit attendre que l'éditeur sorte un kernel patché. Ce qui peut prendre quelques jours |
Quelques jours?
Oui, et c'est déja fait.
La faille a été annoncée samedi, ma distribution a été mise à jour par un simple update hier (mardi). 3 jours. Automatiquement.
Pas besoin d'attendre le premier mardi du mois façon Microsoft...
Et pour rappel : c'est une faille LOCALE. la personne mal-intentionnée doit déja avoir le droit de venir sur votre machine en tant qu'utilisateur, il est un minimum de confiance... Ce n'est as comme les failles de Microsoft qui permettaient à n'importe qui de prendre le controle (cf Nimda et son automatisation...).
Ici, impossible d'automatiser... (si quelqu'un a un accès sur votre machine, il peut déja faire un zombie etc... C'est déja pas bien!) Il y a plusieurs barrières de protection, seule une est tombée.
"... le pékin lambda, celui qui fait mumuse sous *ubunutu, mandriva et autres distributions doit attendre que l'éditeur sorte un kernel patché. Ce qui peut prendre quelques jours"
Une faille critique corrigée en quelque jours....ça doit faire rêver pas mal d'utilisateurs Windows
j'ai meme pas eu le temps de tester, les majs d'hier corrigeaient déjà le problème.
D'ailleurs ce script aurait pu etre une benediction, répondant d'office à la sempiternelle question qui résonne de partout: "commen kon se log en root?"
1) Une alerte de sécurité ça se fait le jour même (samedi en l'occurrence), pas après la guerre.
2) Il n'est pas nécessaire de changer de version majeure du noyau, les patchs sont pas faits pour les chiens et toutes les distros majeures ont fourni des kernels patchés dans les heures qui ont suivi la publication
3) La faille permet une escalade de droits. C'est exploitable par exemple depuis un site web troué car on peut exécuter l'exploit en tant que www-data et monter en root par ce biais.
| NicolBolas a écrit : 1) Une alerte de sécurité ça se fait le jour même (samedi en l'occurrence), pas après la guerre. |
C'est sur, j'aurais carrément dù ne pas du tout en parler
Après tout, les WarRiors HaCkeRS sous GNU/Linux étaient au courant de la faille 5 minutes après qu'elle ait été divulguée, et ils ont passé les 3 jours suivants à prier tous les saints que leur kernel fraichement recompilé allait bien vouloir fonctionner de façon correcte. Les autres lecteurs ? Boah, ils sont tous sous Windows ou Mac OS X de toute façon, il se foutent de Linux...
Ah ? On me souffle dans l'oreillette que non, finalement, les lecteurs peuvent être intéressés par une info, même s'ils ne sont pas directement concernés !
En fait, y a eu une mise à jour du noyau Debian il y a quelques jours mais j'ai appris pourquoi aujourd'hui sur PPC.... euh.... Tom's. Donc oui ça peut toujours servir.
Sinon un "WarRior HaCkeR" ne prie pas pour que son Kernel fonctionne correctement. Un Kernel bien compilé fonctionne correctement, y a pas de raisons.
ah c'etait juste pour ça cette mise à jour automatique du noyau pfff
Par défaut, aucun ssytème d'accès à distance n'est activé sur une distro linux (en théorie, et en pratique je l'affirme que pour Ubuntu 7.10) donc pas trop de risques en theorie.
CEci dit, pas trop de risque aussi si l'utilisateur fait pas trop le guignol (pas que pour ce pb de sécurité), notamment avec des gksudo nautilus
/sifflote
| Zenitram a écrit : Quelques jours? |
3 jours ça fait pas "quelques jours" pour toi ?
J'en rajoute pour dire qu'il y a forcément des trous de sécurité dans le noyau Linux et dans tout le reste du système, puisque ce n'est là que le travail de développeurs humains.
Remarquons la célérité de la réaction des kernel-hackers à fournir un patch, et celle les responsables de chaque distribution à le diffuser, dans un modèle où les acteurs sont tous indépendants les uns des autres
| ultrabill : 3 jours ça fait pas "quelques jours" pour toi ? |
toi, va voler dans un sac a main, et laisse nous bosser sur nos noyaux. A bon entendeur ... hein tu dis quoi ? je suis sourd
| bentinma a écrit : toi, va voler dans un sac a main, et laisse nous bosser sur nos noyaux. A bon entendeur ... hein tu dis quoi ? je suis sourd |
J0r
Va bosser sur ton forum et arrête d'embêter les grandes personnes
![[:cupra]](http://img.infos-du-net.com/forum/images/perso/cupra.gif "[:cupra]")
Après tout, les WarRiors HaCkeRS sous GNU/Linux étaient au courant de la faille 5 minutes après qu'elle ait été divulguée, et ils ont passé les 3 jours suivants à prier tous les saints que leur kernel fraichement recompilé allait bien vouloir fonctionner de façon correcte. Les autres lecteurs ? Boah, ils sont tous sous Windows ou Mac OS X de toute façon, il se foutent de Linux...
Ah ? On me souffle dans l'oreillette que non, finalement, les lecteurs peuvent être intéressés par une info, même s'ils ne sont pas directement concernés !
En lisant le post de yannick ci dessus, moi qui me suis aussi dit que "ce type de news n'avait pas d'interet si c'etait pour etre faite 3 ou 4 jours après", bah je me suis rendu compte de la nullité de mon raisonnement.. Faut savoir ce qu'on veut, pour une fois que linux a une news lui étant dédiée, c'est bien !
On est quand meme sur un site grand public, et de voir la reactivité des corrections de failles linux peut convaincre certains lecteurs a franchir le pas..
Seuls les geek s'amusent à consulter quotidiennement kernel.org à la recherche du dernier kernel et du dernier patch pour être "up to date"
-> Zut, ca veut dire que si je scrute la moindre nouvelle release candidate pour la tester je suis un g33k ? Bon ok jle savais deja mais de le lire ca fait mal
En conclusion: Je suis ravi de voir une news pour mon OS préféré, que vive debian
!
Je suis pas sous linux depuis longtemps mais je note déjà une différence c'est que là j'apprends les failles aprés qu'elles aient été corrigés sur mon PC ^^
(j'avoue que je me demandais ce que c'était que cette mise à jour du kernel qu'avait un peu de mal (tout le monde devait etre en train de la faire) donc l'info n'est pas inutile tout de même )
Ca veut dire qu'elles étaient là depuis un bout de temps et qu'on ne te l'avait pas dit.
mais bon bof, de toute façon il parait que seuls 3% de tous les failles tout OS confondus sont exploités. Ya de la marge. Si vous êtes paranos comme moi, achetez-vous un firewall matériel. A 130E ça vaut le coup.
Perso j'ai mieux à faire de 130€ mais bon... chacun ses priorités .
- 1 / 2
- Suivante
-
Petite précision : Comme l'indique le nom de l'exploit, c'est une faille LOCALE. Autrement dit, vous devez être derrière l'ordi que vous piratez. Ca limite pas mal le champs d'utilisation de la vulnérabilité.