Faire un don ! | | style | statistiques | contactez-nous | plan | lettre d'information

Journal : METTEZ A JOUR VOS ZUBUNTUS !

Posté par Nahuel ANGELINETTI (Jabber id, page perso, ) le 13 mars 2006
Mega trou de sécurité découvert sur ubuntu breezy et corrigé pour dapper.

On peut avoir le mot de passe root et/ou administrateur ( en fonction du monde d'installation ) sans aucune restriction dans les logs d'installation :
cat /var/log/installer/cdebconf/questions.dat

Le bug de sécurité a été publié ici :
http://www.ubuntuforums.org/showthread.php?t=143334

bug report ici :
https://launchpad.net/distros/ubuntu/+bug/34606

et annonce d'ubuntu ici :
http://www.ubuntu.com/usn/usn-262-1

> Lire le journal (27 commentaires, moyenne: 2,6).  

Vous avez demandé le commentaire #691467.

Plus serieusement

Posté par hiphopmomo () le 13/03/2006 à 13:27. (lien). Évalué à 4.

La on a une faille locale béante (locale, certes, mais beante quand meme...).

Ca pose quand meme une enooooorme interrogation...
Enfin deux meme :
1) Comment un bug aussi gros a pu rentrer dans breezy?
2) Comment se fait il que personne ne l'ai remarque plus tot? L'argument de pleins d'yeux qui auditent le code serait il en fait du flan?

--
Les doigts dans les poches et les mains de le nez
  • [^]Re: Plus serieusement

    Posté par Calim' Héros (Jabber id, page perso, ) le 13/03/2006 à 13:35. (lien). Évalué à 4.

    2) Comment se fait il que personne ne l'ai remarque plus tot? L'argument de pleins d'yeux qui auditent le code serait il en fait du flan?

    Je sais pas d'ou tu sort cet argument, le vrai c'est plein d'yeux qui peuvent auditer le code, ce qui ne veux aucunement dire qu'ils le font...

    --
    Ce commentaire est :
    Génial, Nul, 42
    • [^]Re: Plus serieusement

      Posté par hiphopmomo () le 13/03/2006 à 14:03. (lien). Évalué à 1.

      Bopf, c'est pas trop ce qu'on entend repeter un peu partout chez les libristes.

      --
      Les doigts dans les poches et les mains de le nez
      • [^]Re: Plus serieusement

        Posté par Calim' Héros (Jabber id, page perso, ) le 13/03/2006 à 14:39. (lien). Évalué à 4.

        Mauvais libriste, changer libriste (tm).

        En attendant c'est ce que moi j'entends et dis.

        Enfin il ne faut pas oublier le Do It Yourself [Or Shut Up] qui reste quand même une des premieres règles chez les libristes.

        --
        Ce commentaire est :
        Génial, Nul, 42

    [^]Re: Plus serieusement

    Posté par efbie () le 13/03/2006 à 13:40. (lien). Évalué à 1.

    J'espère que ça motivera les développeurs à faire beaucoup plus attention pour la dapper et les versions suivantes.

    [^]Re: Plus serieusement

    Posté par Pascal Terjan (Jabber id, page perso, ) le 13/03/2006 à 13:43. (lien). Évalué à 7.

    Et aussi, comment se fait-il que c'était déja corrigé dans la version de dev mais celui qui a corrigé ne l'avait pas signalé ?

    • [^]Re: Plus serieusement

      Posté par lorill (page perso, ) le 13/03/2006 à 14:44. (lien). Évalué à 5.

      c'est expliqué dans le bug report, ca a été corrigé "par accident" (effet de bord serait plus juste) en changeant d'autres trucs.

      • [^]Re: Plus serieusement

        Posté par Farvardin (page perso, ) le 13/03/2006 à 16:07. (lien). Évalué à 6.

        c'est à dire en repiquant un peu plus fidèlement des parties de la Debian plutôt que de se la jouer "on réinvente la roue" ?

        Peut-être qu'un jour ils auront des paquets un peu plus compatible avec Debian...
        ce qui serait la moindre des choses.

        --
        Tous ensemble contre l'esclavitude des logiciels privateurs !
        • [^]Re: Plus serieusement

          Posté par lorill (page perso, ) le 14/03/2006 à 10:05. (lien). Évalué à 1.

          c'est à dire en repiquant un peu plus fidèlement des parties de la Debian plutôt que de se la jouer "on réinvente la roue" ?

          j'en sais rien, je ne suis pas ce genre de choses... j'ai juste lu un lien posté quelques commentaires plus haut.

          [^]Re: Plus serieusement

          Posté par hiphopmomo () le 14/03/2006 à 10:15. (lien). Évalué à 1.

          c'est sur qu'utiliser debconf depuis la premiere release, c'est vraiment reinventer la roue..

          qu'est ce qu'on peut lire comme conneries des fois.

          ce qui serait la moindre des choses.
          ben d'un autre cote, vu le retard que prend (et continue a accumuler) debian, c'est pas franchement de leur faute non plus.

          --
          Les doigts dans les poches et les mains de le nez