Logiciel : Faille Sendmail et vulnérabilité OpenSSH
Posté par jr lamoule (page perso, ). Modéré le 18 septembre 2003.
Faille dans sendmail (exploitable en local).
Une nouvelle faille de sécurité vient d'être trouvée
dans Sendmail (y compris le 8.12.9). Le site Sendmail n'est pas encore à jour, mais le patch est déjà disponible.
Samuel DUBUS nous apprend l'existence d'...
Une vulnérabilité dans la nouvelle version de OpenSSH !
Alors que la nouvelle version de OpenSSH vient à peine de sortir il y a deux jours, une vulnérabilité permettrant un déni de service sur le démon OpenSSH vient d'etre découverte. Cette vulnérabilité est exploitable sur toutes les versions d'OpenSSH jusqu'à la version 3.7. Une nouvelle version est déjà disponible sur le site de OpenSSH : la 3.7.1.
Alors, pour ceux qui ne sont pas à jour ... direction le site de téléchargement d'OpenSSH.
![[en]](../images/en.png)
Site Sendmail (667 hits)-
Référence FullDisclosure (623 hits)
-
Site officiel de OpenSSH (831 hits)
![[fr]](../images/fr.png)
Dépêche précédente sur la sortie de OpenSSH 3.7 (668 hits)-
L'alerte sur le site du CERT Coordination Center (655 hits)
> Lire la dépêche (73 commentaires, moyenne: 2,5).
Vous avez demandé le commentaire #271256.
Run by 
Cette page a été générée par Templeet en 0.0786s (dont 0.0088 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Re: Faille sendmail et vulnérabilité OpenSSH
Et dire qu'il y a moins d'une journée que je signalais que Slackware fournissait malheureusement Sendmail (http://linuxfr.org/~kapouik/5424.html(...)) alors qu'il existe des serveurs de messagerie bien plus sécurisés et pratique ! Comme quoi, malgré ce que disent les fervents défenseurs de sendmail, l'actualité confirme cet état de fait : sendmail a rendu de nombreux services mais des alternatives mieux pensées s'imposent au fil du temps (postfix, exim, qmail, ...).
[^]Re: Faille sendmail et vulnérabilité OpenSSH
> mais des alternatives mieux pensées s'imposent au fil du temps (postfix, exim, qmail, ...).
Les concurrents sont peut-être géniaux mais il y a un fait qu'il ne faut pas oublier :
- l'erreur est humaine
De plus faire croire qu'il existe des méthodes miracles pour ne pas avoir de trou de sécurité est du pipo et me fait penser à certaines propagandes (forts prometteuses) de microsoft.
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Salut Steeve,
S'il n'y a pas de méthodes miracles pour programmer des soft dépourvus de bugs (et donc de trous de sécurité), il y a quand même moyen de limiter grandement les risques en suivant quelques conseils, comme ceux qu'ont peut trouver là http://www.dwheeler.com/secure-programs/(...)
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Pour commencer, il faudrait utiliser des langages à la base un peu plus sécure (ex: Ada ;-) mais ça limite de suite beaucoup le nombre de développeurs potentiels, dommage :-(
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Ben, perso, je ne suis pas trop attaché à un langage. Il me faut généralement quelques heures pour débrouiller dans un nouveau langage. En moins d'une semaine, je peux programmer.
Un bon informaticien ne doit pas être dépendant d'un langage, il doit penser selon son propre formalisme. Le reste n'est que traduction d'un formalisme vers un autre. C'est d'ailleur pour ça que j'ai tendance quand je code en C de faire de l'OO (parce que je trouve l'OO facile pour bcps de chose) alors que le C n'est pas à priori un langage OO (il m'est même arrivé de faire des closures).
Les concepts sont transposables dans tous les langages (pratiquement) c'est seulement plus compliqué d'y arriver avec certains que d'autres.
A part ça, j'ai déja fait de l'Ada. Et je n'ai pas trop apprécié. L'ada (comme l'IPv6) est un chaudron dans lequel des centaines de scientifiques ont mis leur touche ce qui donne un beau bordel avec des tonnes de features. Les concepts sont bien beau mais l'implementation est très moche. L'OO par exemple est aussi bien foutu qu'en perl (attention : troll poilu).
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Non, il n'existe pas de méthode miracle, mais de sains principes de développement
qui permettent de limiter les conséquences d'une erreur (en matière de sécurité et autres).
Sendmail est un bon exemple de ce qu'il ne faut pas faire même si son age canonique
et ses origines l'excusent en partie.
[^]Re: Faille sendmail et vulnérabilité OpenSSH
> mais de sains principes de développement qui permettent de limiter les conséquences d'une erreur (en matière de sécurité et autres).
Exemple d'application de ces sains principes sur ce trou de sécurité de sendmail ?
Et autre chose que l'audit du code.
> Sendmail est un bon exemple de ce qu'il ne faut pas faire
Tu peux dire la dernière foi où il y a eu une "catastrophe" avec sendmail ?
Je veux dire un exploit avec perte de donnée ou serveur inutilisable et que les média en ont parlé.
> même si son age canonique et ses origines l'excusent en partie.
L'age n'a rien à voir.
Linux (le noyau) a plus souvent des trous de sécurité que sendmail et il est récent. Le dernier gros problème est avec modutils et gnu.org s'en rappèle.
Linux est pour toi aussi un "bon exemple de ce qu'il ne faut pas faire" ?
[^]Re: Faille sendmail et vulnérabilité OpenSSH
D'ailleurs, en terme d'âge, on peut presque les comparer puisque la série des V8 de Sendmail a commencé en 1992. A cette époque, Eric Allman avait plus ou moins laissé son bébé en l'état, d'autres développeurs y étaient aller de leur propre mouture. Eric Allman a alors décidé de tout reprendre en intégrant différentes fonctionnalitées présentes dans les autres moutures. La série des V8 n'a a priori pas grand chose à voir avec delivermail et les versions suivantes de Sendmail.
Tout cela pour dire qu'il faut arrêter de taper sur Sendmail sous prétexte que c'est vieux et patati et patata. Le fait qu'il soit encore aussi présent sur le net n'est pas uniquement lié à son aspect historique ou à son âge vénérable. Sendmail est un très bon MTA, l'un des meilleurs en terme de montée en charge (raison pour laquelle RedHat en fait son MTA par défaut) et l'un des plus souples en terme de configuration. Des failles? Comme le précise Austin, elles n'ont pour l'instant pas engendré de catastrophes (ce qui n'empêche pas d'être vigilent) et les développeurs sont réactifs.
Simplement, c'est à son approche que l'on fait la différence entre les hommes et les petits garçons....
[^]Re: Faille sendmail et vulnérabilité OpenSSH
> taper sur Sendmail sous prétexte que c'est vieux
Et c'est donné raison à l'argument de MS : Unix c'est vieux, donc c'est pourri.
[^]Re: Faille sendmail et vulnérabilité OpenSSH
>sous prétexte que c'est vieux
Non c'est pas parce que c'est vieux ! Sendmail utilise plutot l'adage : "ce qui est compliqué est bien !". Moi, j'ai toujours cru que dans SMTP, il y avait SIMPLE. La conf d'un sendmail est une merdouille.
>Le fait qu'il soit encore aussi présent sur le net
Ce n'est pas parce qu'un prog est le plus utilisé qu'il est le meilleur !
[^]Re: Faille sendmail et vulnérabilité OpenSSH
La conf d'un sendmail n'est pas une merdouille si tu renonces à éditer directement le sendmail.cf, chose qui est écrite un peu partout dans la doc, les newsgroups,... Il suffit d'utiliser les macros m4, et là, je suis désolé, mais on peut couvrir la quasi totalité des besoins avec un fichier de macro de quelques lignes lisibles par un être humain. RTFM
[^]Re: Faille sendmail et vulnérabilité OpenSSH
De plus faire croire qu'il existe des méthodes miracles pour ne pas avoir de trou de sécurité est du pipo et me fait penser à certaines propagandes (forts prometteuses) de microsoft.
Et on fait quoi de l'Atelier B ? Parce qu'un prof me soutenait que ça permettait de faire des choses sans faille, une fois qu'on avait tout prouvé par ce truc. (pas de troll sur les profs, merci pour eux...)
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Et on fait quoi de l'Atelier B ? Parce qu'un prof me soutenait que ça permettait de faire des choses sans faille, une fois qu'on avait tout prouvé par ce truc.
Oui, tu peux prouver formellement qu'un programme est conforme à une modélisation. Ensuite, il peut toujours y avoir des erreurs dans la modélisation (mais c'est vrai qu'il est plus facile de se "convaincre" de l'exactitude d'une modélisation que de celle d'un programme). Et le prouveur peut aussi être buggé, mais là ça serait vraiment pas de chance ;).
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Oui, on peut faire des programmes garantis sans buffer overflow.
Sans aller chercher jusqu'à l'Atelier B, il suffit de programmer en Java ou en Ada, ou n'importe quel language qui implémente des verification de débordement de tableau et autres à l'execution. (en Ada, en cherchant bien, il doit y avoir moyen de faire pointer un pointeur dans le vide, mais en Java, le pointeur est initialisé à null, et la mémoire n'est désallouée que par le garbage collector, donc, seulement lorsque personne ne pointe dessus.)
MAIS ces vérifications à l'execution sont une perte de temps dans beaucoup de cas ou le programmeur est sur qu'il écrit dans la zone mémoire qu'il veut. Pour des applications destinées à des serveurs, cette perte de temps de calcul serait intolérable.
Pour ce qui est de l'atelier B, il y a si mes souvenirs sont bons 500 hommes.mois de travail pour 50 000 lignes de code pour le métro météor. Fais une règle de trois pour voir ce qu'il faudrait pour le code d'un gros projet, et tu verras que ce n'est pas n'importe qui qui peut se le permettre.
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Je ne suis pas d'accord sur la perte de temps des vérifications dynamiques : si on compare le surcoût d'une machine un peu plus puissante, je suis sur qu'on arrive bien dessous des coûts liés aux failles de sécuritées qui auraient ainsi pu être invitées (c'est que ça revient cher à l'heure, un administrateur).
Et n'oublions pas qu'avec des bons compilos Ada (vive GNAT!), beaucoup des vérifications dynamiques sont tout simplement supprimées, quand le compilo "prouve" qu'en tout cas à l'éxécution, il n'y a forcément pas de problèmes.
[^]Re: Faille sendmail et vulnérabilité OpenSSH
Tu sous-estimes le cout du matos. Avec beaucoup de trafic, tu tombes n'importe quel serveur quadri-machin si tu programmes dans un language lent (suivez mon regard)
[^]Re: Faille sendmail et vulnérabilité OpenSSH
errare humanum est, perseverare diabolicum
vjm