IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Un chercheur en sécurité révèle des failles zero day sur Fedora et Ubuntu


Sujet :

Sécurité

  1. #21
    Nouveau Candidat au Club
    Homme Profil pro
    .
    Inscrit en
    Mai 2015
    Messages
    589
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Angola

    Informations professionnelles :
    Activité : .

    Informations forums :
    Inscription : Mai 2015
    Messages : 589
    Points : 0
    Points
    0
    Par défaut
    Voilà le genre de chose qu'on ne voit pas sous Windows, et pourquoi ceux qui cherchent des poux à Linux sur cet aspect peuvent aller se recoucher.
    Vous ne comprenez toujours pas la difference entre faille decouverte et faille rendu publique comme je comprend.... Qu'est ce qui vous permet de croire que cette faille n'a pas 2 ans et qu'elle n' est pas deja exploitée secretement depuis 6 mois voir plus ?

    Vous n'en avez aucun preuve.

  2. #22
    Membre habitué
    Homme Profil pro
    Étudiant
    Inscrit en
    Juillet 2014
    Messages
    28
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Nièvre (Bourgogne)

    Informations professionnelles :
    Activité : Étudiant

    Informations forums :
    Inscription : Juillet 2014
    Messages : 28
    Points : 137
    Points
    137
    Par défaut
    Bonjour,

    Je suis pas sûr d'avoir bien compris, si je résume:

    - il faut être sur ubuntu ou fedora (peut être d'autres ?)
    - avoir un émulateur SNES d'installé (sinon peut de chance d'avoir la lib incriminée)
    - télécharger un fichier "audio" infecté et tenter de le lire / ou bien utiliser chrome et aller sur un page ayant un script malicieux.

    Tout ça pour lancer un code en mode utilisateur !!!

    Conclusion: Linux C'est trop vulnérable lolilol !!! #sarcasm

    C'est pas la façon la plus simple d'infecter un PC que de demander à l'utilisateur de lancer le virus ?
    C'est le coup de l'e-mail avec le dernier logiciel/jeu tro bi1 ki fo ktu test ! Sauf que si il est pas fan de retro-gaming sur linux, rien ne se passe.

    PS: Un Message du style: "attention ce fichier n'as pas l'extension du type réel et est probablement un virus" arrêterai une bonne partie des personnes de le lancer, encore plus vrai sur linux à mon avis!

    EDIT: @Squisqui Parle tu du message que toutes les applis d'install te donne ou d'un autre dont je n'ai pas connaissance ? Parce que un message qui affiche des tonnes de "faux positif" (pas vraiment, mais il ne vise pas les virus en particulier) est pas très utile !

    EDIT2: @Aeson, tu aurais du citer sagashy et pas mathieu vergne, qui lui répond à la réactivité après la publication (Rendre quelque chose public) et en assumant son Troll !!!

  3. #23
    Expert éminent
    Avatar de Matthieu Vergne
    Homme Profil pro
    Consultant IT, chercheur IA indépendant
    Inscrit en
    Novembre 2011
    Messages
    2 261
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Consultant IT, chercheur IA indépendant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : Novembre 2011
    Messages : 2 261
    Points : 7 748
    Points
    7 748
    Billets dans le blog
    3
    Par défaut
    Citation Envoyé par Squisqui Voir le message
    Le comportement que j'ai décrit est celui que j'ai toujours observé auprès des personnes qui ne font pas la différence entre Internet et Facebook. Bien sûr, on peut toujours remettre en cause mon observation personnel, mais Microsoft a déjà travaillé sur ce genre de problème.
    Tu dis qu'il faudrait avertir l'utilisateur lorsqu'il y a une incohérence entre l'extension et le type MIME, c'est très bien sur le papier, dans la réalité, non.
    Microsoft a tenté la même démarche en avertissant l'utilisateur lorsqu'un programme tente de modifier le PC. Ça aurait pu éviter que les gens exécute n'importe quoi, mais dans la réalité, c'est juste un clic supplémentaire qui fait grogner. Depuis, l'UAC a été allégé à partir de Windows 7 pour que ceux qui cliquent sans réfléchir le fasse sans grogner.
    Ce qui fait grogner, c'est pas le fait d'avoir le message mais de l'avoir tout le temps pour tout et n'importe quoi, tout simplement parce que Windows a été conçu comme une passoire et qu'ils ont corriger le tire à coup de frappe chirurgicale dont les US sont maîtres en la matière (i.e. on met des contrôles partout plutôt que là où y'a besoin). A contrario, on utilise souvent des fichiers dont le type MIME ne correspond pas à l'extension ? Non ! Donc tu assimiles le défaut des messages récurrents, prônes à l'habitude et la frustration, à des messages exceptionnels, prônes à l'étonnement et donc à la considération. Bref, ta comparaison est juste à côté de la plaque.

    Ensuite, le problème Windows du ".jpg.exe" où on ne voit que la première extension est de faire croire à un type de fichier alors que c'en est un autre. Problème résolu sous Windows en affichant les extensions (cachées par défaut). Ici encore, le problème est le même : on fait passer un type de contenu (script) par un autre (ici mp3), et la solution est, encore une fois, de montrer le type effectif et non le type apparent (ici en passant par exemple par le message d'erreur).

    Enfin, le fait qu'il y ait des gens qui font tout et n'importe quoi ne met en rien à mal mon argument, pour la simple raison que tu pourras faire tout ce que tu veux, ces gens là continueront à faire n'importe quoi. Il y a des gens qui se font avoir non pas parce qu'ils y vont au petit bonheur la chance, mais parce qu'ils ont eu une info corrompue ne leur permettant pas de faire un choix informé. C'est ceux-là qu'il faut viser. Pour la simple raison que c'est ceux-là qui ont besoin de cette information car, eux, l'utilisent. Ceux qui s'en foutent n'en on rien à faire qu'on corrige ou pas, donc ceux là n'entrent pas en ligne de compte.

    Libre à toi de jouer les protecteurs de ceux que tu estime être trop cons pour utiliser nos outils, mais je préfère me focaliser sur des besoins assumés que j'estime pertinents. Car à ce tarif là on est bon pour mettre une camisole à tout le monde. Ce qui me permet de conclure sur ton introduction :
    Citation Envoyé par Squisqui Voir le message
    Tu es un utilisateur averti donc non représentatif.
    Un utilisateur averti en vaut deux : quand tu sais qu'une info est nécessaire pour juger correctement, tu la fournis, point final. Le reste, c'est une question de présentation. C'est pas parce que M$ a fait des choix ergonomiques pourris (qu'il continue à faire d'ailleurs, utiliser W10 au boulot me le rappelle chaque jour) que toute tentative similaire est forcément pourrie aussi. C'est une chose de trouver une évidence, c'en est une autre de la présenter correctement. Les échecs des uns n'amènent pas nécessairement l'échec aux autres.
    Site perso
    Recommandations pour débattre sainement

    Références récurrentes :
    The Cambridge Handbook of Expertise and Expert Performance
    L’Art d’avoir toujours raison (ou ce qu'il faut éviter pour pas que je vous saute à la gorge {^_^})

  4. #24
    Membre averti
    Profil pro
    Inscrit en
    Avril 2007
    Messages
    99
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : Avril 2007
    Messages : 99
    Points : 303
    Points
    303
    Par défaut
    Oh! Que vois-je? Un gros troll poilu des sommets enneigés vient de passer! Le mythique big-foot-one! Il a du muscle et il crie fort, mais à part ça, c'est un rhino, il file droit devant.

    Bon, quand on lit le rapport de l'exploit, bein en fait le gars, pour identifier l'exploit, il lui a fallu lire le code source, CQFD. De plus, je viens de vérifier mes mises à jours et le patch est là sous Fedora.

    Et pof, le gros troll poilu se transforma en petite marmotte hibernante. Bon dodo petite marmotte.

    Daniel

  5. #25
    Membre actif
    Avatar de Aiigl59
    Homme Profil pro
    Freelance
    Inscrit en
    Janvier 2008
    Messages
    88
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Jura (Franche Comté)

    Informations professionnelles :
    Activité : Freelance
    Secteur : High Tech - Électronique et micro-électronique

    Informations forums :
    Inscription : Janvier 2008
    Messages : 88
    Points : 257
    Points
    257
    Billets dans le blog
    1
    Par défaut
    "Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs."
    donc on est en pleine science fiction là...
    Avec des SI qu'est-ce qu'on ferait pas...
    Qu'est ce qu'il ne ferait pas ces "troud.." pour se faire remarquer, incroyable !
    Faudrait peu être remettre l'église au centre du village des fois...

  6. #26
    Membre chevronné

    Homme Profil pro
    Mentaliste
    Inscrit en
    Mars 2008
    Messages
    872
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Bouches du Rhône (Provence Alpes Côte d'Azur)

    Informations professionnelles :
    Activité : Mentaliste
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : Mars 2008
    Messages : 872
    Points : 1 813
    Points
    1 813
    Par défaut
    Citation Envoyé par Coriolan Voir le message
    ... Pire encore, si l’attaquant arrive à acquérir les privilèges root, il aura le contrôle total du système et l’attaque va persister même après des redémarrages consécutifs.
    Euh on est surpris de quelque chose qui est pourtant normal chez un virus non ? C'est pareil chez Windows non ? Pourquoi c'est choquant ?
    .I..

  7. #27
    Responsable Systèmes


    Homme Profil pro
    Gestion de parcs informatique
    Inscrit en
    Août 2011
    Messages
    17 307
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Gestion de parcs informatique
    Secteur : High Tech - Matériel informatique

    Informations forums :
    Inscription : Août 2011
    Messages : 17 307
    Points : 42 705
    Points
    42 705
    Par défaut
    Pour ceux que ca intéresse la vuln se base sur le fait que les lecteurs de musique ne se base pas sur l'extension de fichier (.mp3 .flac etc ...) mais sur une analyse des header du fichier pour detecter le codec a utilisé.
    Problème vu maintes et maintes fois. Les développeurs ne font pas assez attention à la vérification des champs des headers dans un format de fichier, cela limiterait l'utilisation possible de faille, mais ça ne les enlèveraient pas.

    Pourquoi ne pas utiliser le sandboxing ? Surtout qu'un lecteur audio n'a par exemple aucun accès à faire en écriture au FS (mise à part peut-être un fichier de config).
    Ma page sur developpez.com : http://chrtophe.developpez.com/ (avec mes articles)
    Mon article sur le P2V, mon article sur le cloud
    Consultez nos FAQ : Windows, Linux, Virtualisation

  8. #28
    Candidat au Club
    Homme Profil pro
    Administrateur réseau
    Inscrit en
    Novembre 2016
    Messages
    2
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Administrateur réseau
    Secteur : High Tech - Produits et services télécom et Internet

    Informations forums :
    Inscription : Novembre 2016
    Messages : 2
    Points : 4
    Points
    4
    Par défaut Logicel Originaire de l'attaque.
    En fait si je comprend bien, un utilisateur qui n'a pas installé "Game Music Emulator", n'est pas visé?

  9. #29
    Membre actif

    Homme Profil pro
    Apprenti Langage C, pratiquant OpenOffice et Poo
    Inscrit en
    Février 2015
    Messages
    229
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Indre (Centre)

    Informations professionnelles :
    Activité : Apprenti Langage C, pratiquant OpenOffice et Poo
    Secteur : Industrie

    Informations forums :
    Inscription : Février 2015
    Messages : 229
    Points : 218
    Points
    218
    Par défaut
    Et qu'est-ce qui te dit que le ver n'est pas dans le patch que tu vas gentillement télécharger et exécuter ??
    Pascaltech

    Traduction : guides, manuels, normes : http://tradinfo.e-monsite.com/

  10. #30
    Membre averti
    Homme Profil pro
    Développeur Java
    Inscrit en
    Février 2006
    Messages
    380
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 49
    Localisation : France

    Informations professionnelles :
    Activité : Développeur Java
    Secteur : Enseignement

    Informations forums :
    Inscription : Février 2006
    Messages : 380
    Points : 314
    Points
    314
    Par défaut
    Quelle blague
    Sérieusement d'abord il ne s'agit pas d'une faille de linux, car qui dit linux dit noyau.
    Il s'agit de failles sur un logiciel installé sous linux. Bon ce serait quand même bizarre qu'il n'y en ait pas des failles de logiciels.
    Donc voilà des chercheurs trollent pour discréditer des systèmes d'exploitations qui ne les paient pas. Ce n'est pas très nouveau.

  11. #31
    Responsable Systèmes


    Homme Profil pro
    Gestion de parcs informatique
    Inscrit en
    Août 2011
    Messages
    17 307
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Gestion de parcs informatique
    Secteur : High Tech - Matériel informatique

    Informations forums :
    Inscription : Août 2011
    Messages : 17 307
    Points : 42 705
    Points
    42 705
    Par défaut
    Sérieusement d'abord il ne s'agit pas d'une faille de linux, car qui dit linux dit noyau.
    Qu'il s'agisse d'une faille noyau, libc, bibliothèque tierce, application, le résultat est le même, le système est compromis. Il ne s'agit pas de ma part d'une critique de Linux, car sous Windows, des failles Flash (pour ne citer que ce produit) peuvent compromettre aussi tout le système.

    Les deux peuvent être aussi co-responsables : faille système exploité par bug logiciel.
    Ma page sur developpez.com : http://chrtophe.developpez.com/ (avec mes articles)
    Mon article sur le P2V, mon article sur le cloud
    Consultez nos FAQ : Windows, Linux, Virtualisation

  12. #32
    Membre averti
    Homme Profil pro
    Développeur Java
    Inscrit en
    Février 2006
    Messages
    380
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 49
    Localisation : France

    Informations professionnelles :
    Activité : Développeur Java
    Secteur : Enseignement

    Informations forums :
    Inscription : Février 2006
    Messages : 380
    Points : 314
    Points
    314
    Par défaut
    Citation Envoyé par chrtophe Voir le message
    Qu'il s'agisse d'une faille noyau, libc, bibliothèque tierce, application, le résultat est le même, le système est compromis. Il ne s'agit pas de ma part d'une critique de Linux, car sous Windows, des failles Flash (pour ne citer que ce produit) peuvent compromettre aussi tout le système.

    Les deux peuvent être aussi co-responsables : faille système exploité par bug logiciel.
    Oui mais dans le cadre de flash il s'agit d'une faille de flash et non de windows.
    Ma critique est plutôt dirigée contre non pas l'auteur de la nouvelle mais sur celle de l'étude qui semble vouloir mettre l'accent sur le fait que les systèmes linux sont vulnérables (Je dirais mais bien sûr comme tout système existant d'autant qu'il existe tant de programmes sur ce système comme sur d'autres, il est toujours possible de trouver des programmes défaillants).
    Cela dit j'aimerais savoir qui comme dans beaucoup de domaines (pharmacologie pour ne citer que celui-là) a financé l'étude en question.

  13. #33
    Membre actif
    Homme Profil pro
    Sysadmin Linux
    Inscrit en
    Mars 2017
    Messages
    76
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Autre

    Informations professionnelles :
    Activité : Sysadmin Linux

    Informations forums :
    Inscription : Mars 2017
    Messages : 76
    Points : 200
    Points
    200
    Par défaut Fedora / Ubuntu is not Linux
    C'est intéressant a savoir

    Si j’ai bien tout saisi, media-libs/game-music-emu comporte une vulnérabilité qui permet l’exploitation par l’intermédiaire d’un browser (ici, en l’occurrence chrome) en renommant l’extension du fichier contenant le code malicieux, le faisant passer pour un fichier audio. Si l’utilisateur par mégarde exécute le fichier via un player audio, il permet d’obtenir un accès sur le système et/ou compromettant des données sensibles.

    Cette faille permet d’exécuter des commandes système a distance*?

    Je rejoins les opinions sur l’article visant «*Linux*»*en comparant les autres OS non affecté (Windows / Mac…), Ubuntu / Fedora sont des distributions «*user friendly*» visant a offrir a l’utilisateur un maximum de compatibilités matériels et logiciel tout en réduisant voir complètement éviter toutes configuration manuel. Le but recherche de ces distributions est devenir un windows-like et a mon sens, pourri ce qu’est Linux.

    Dans l’exemple de Fedora, j’imagine que le développement n’a pas change de stratégie depuis sa version 7 / 8 ( que j’ai utilise a cette époque), a savoir, offrir un kernel compilé avec la plupart des modules de celui-ci (exemple, compiler des drivers wifi / graphique que la machine n’a pas), automatisé la gestion de la connexion réseau / internet, installer un maximum d’applications (que l’utilisateur n’a pas forcément prévu d’utiliser) voir l’installation de logiciel/application ayant du code fermé*? (chrome est fourni avec l’installation de base?)

    Est-il correct de citer Linux en arguant Ubuntu / Fedora voir Mint et autres distributions du même styles*peuvent être exploiter via ce type de vulnérabilités*?

    Prenons les 20 dernières vulnérabilités sous Linux découvertes, appliquons celles-ci sur une distribution Linux minimaliste comme Arch (bonne distribution malgre la gestion des paquet en mode binaire) ou Gentoo, poussons même jusqu’au profile hardened, ayant un wm comme fluxbox / dwm, un browser comme surf / netsurf voir Firefox (sans flash / ffmpeg / gstreamer…) et l’installation de programme/logiciel choisi par l’utilisateur. Pensez-vous qu’une seule de ces failles peuvent être exploité?

    Le point est que Linux offre la possibilité de configurer entièrement son système, son noyau jusqu’à même aux options du compilateur, ce que Windows ne propose pas, faire la comparaison au niveau sécurité n’a pas de sens*: On vous propose de construire votre bateau de A-Z avec l*‘intégralité des matériaux a votre disposition ou on vous donne un bateau avec un accès unique aux commandes de direction, sans vous laisser l’opportunité de vérifier les mécanismes du moteurs / l’état de coque… Avec lequel vous vous sentirez plus en sécurité lors d’un voyage en mer ?

    La sécurité Linux quand le système est configuré de manière quasi manuelle est incomparable avec Windows, qui en plus d’offrir un système limité dans sa configuration, est infesté de bug et de vulnérabilité qui de surcroît, est géré par une société peu scrupuleuse (pour ne pas dire crapuleuse) qui n’a aucune volonté d’offrir a ses consommateurs, la moindre sécurité, vie privée. Elle n’a que pour but de le faire cracher au bassinet
    en implémentant des logiciels payant, non libre, voir factice (anti-virus…), tout le contraire de Linux.

    Ubuntu / Fedora / Mint, sont bien entendu, pas a mettre dans le même panier que Windows, mais le développement du système est intéressé et se rapproche d’un business model a la Microsoft.


    https://www.ubuntu.com/support/plans-and-pricing
    https://getfedora.org (Fedora is sponsored by Red Hat)
    https://linuxmint.com (Sponsors PIA / eukhost and more… Sans compter les donations de plus de 5 K EUR / mois)

    Je vous laisse comparer le site web de Gentoo / Arch / Debian…

Discussions similaires

  1. Réponses: 0
    Dernier message: 30/09/2016, 16h23
  2. Réponses: 3
    Dernier message: 16/03/2015, 08h58
  3. Des failles zero-day découvertes dans MySQL
    Par Hinault Romaric dans le forum MySQL
    Réponses: 4
    Dernier message: 04/12/2012, 15h18
  4. Coverity révèle des failles à haut risque sur Android
    Par Mejdi20 dans le forum Communiqués
    Réponses: 0
    Dernier message: 16/11/2010, 11h48
  5. Réponses: 20
    Dernier message: 29/10/2010, 16h25

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo