Journal Une CVE dans le compilateur rust

Posté par  . Licence CC By‑SA.
Étiquettes :
26
20
jan.
2022

Bonjour 'Nal,

Une petite CVE lié à la librairie standard rust est tombée aujourd'hui: CVE-2022-21658

Une CVE dans ce langage parfait?

Avant le lacher de troll, parce qu'on est pas (encore trolldi), rust apporte des garanties sur la gestion de la mémoire, pas sur l'absence de bug!

Keski se passe?

Le problème rencontré est le suivant: une fonction d'effacement récursif (std::fs::remove_dir_all) est susceptible de se faire prendre de court par une race condition et effacer un répertoire sur (…)

Journal CVE-2021-3156 Vulnérabilité majeure dans sudo

Posté par  . Licence CC By‑SA.
Étiquettes :
21
28
jan.
2021

Une faille de sécurité a été découverte et corrigée dans le logiciel sudo, elle est présente dans les versions inférieures à la 1.9.5p2.

Pensez à mettre à jour vos machines.

Je poste cela dans les journaux pour donner un maximum de visibilité à l'information.

Sources:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3156
https://www.comptoir-hardware.com/actus/software-pilotes/43375-une-faille-decouverte-dans-sudo-mettez-votre-linux-a-jour-.html

Journal sudo, faille pwfeedback

Posté par  . Licence CC By‑SA.
Étiquettes :
22
1
fév.
2020

Une nouvelle version de sudo est sortie. Elle corrige une faille assez sévère.

L'option pwfeedback est une option qui offre un retour visuel lors de la saisie du mot de passe, en affichant des étoiles. Le bogue entraîne un dépassement de tampon, notamment lorsqu’un utilisateur, même non enregistré, tape ^U (effacer la ligne) sur un longue chaîne.
Cette option est désormais ignorée dans un environnement hors TTY, propice à ce comportement. Elle est toutefois rarement activée par défaut.

Cette (…)

Faille Lazy FPU state restore

Posté par  . Édité par ZeroHeure, Benoît Sibaud, palm123, Davy Defaud, BAud, patrick_g et claudex. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
62
21
juin
2018
Sécurité

Intel est de nouveau confronté à la découverte d’une faille, le Lazy FPU State Restore flaw.
Cette fois, seule la famille des Intel Core serait concernée.

Meltdown et Spectre, comment savoir si votre noyau est vulnérable ou pas

Posté par  (site web personnel) . Édité par Benoît Sibaud, Florent Zara et Davy Defaud. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
37
23
jan.
2018
Noyau

Avec toute l’agitation et la parution rapide des correctifs au sujet des failles Meltdown et Spectre, il peut être difficile de savoir si son processeur est affecté et quel est le niveau exact de protection de sa machine.
Afin d’aider les utilisateurs à trouver l’information, le développeur Thomas Gleixner a introduit un nouveau mécanisme qui permet d’avoir une vue unifiée de l’état actuel de son noyau.

Deux failles critiques : Meltdown et Spectre

Posté par  (site web personnel) . Édité par Davy Defaud, ZeroHeure, bubar🦥, Pierre Jarillon et JN. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
101
4
jan.
2018
Sécurité

Ces derniers jours, les rumeurs allaient bon train sur les réseaux sociaux suite à l’intégration en urgence d’un gros correctif dans la RC-6 du noyau Linux. Cela allait à l’encontre de toutes les habitudes de Linus Torvalds, ce qui laissait penser que les conditions étaient vraiment particulières. Et le moins que l’on puisse dire est que nous ne sommes pas déçus. Ce n’est pas une faille critique, mais deux, qui viennent d’être dévoilées : Meltdown et Spectre, de leur petit nom.

Nous vous invitons à lire le journal de Pinaraf< à ce sujet, bien qu’incomplet le jour où il l’a écrit. Depuis la date de sa publication, la faille Spectre a ensuite été révélée et, si cette dernière s’avère d’une ampleur moindre que Meltdown chez Intel, elle toucherait tous les fondeurs et la plupart de leurs produits).

Journal Faille dans ImageMagick

Posté par  . Licence CC By‑SA.
Étiquettes :
36
4
mai
2016

Salut les gens!

Une faille a été découverte dans ImageMagick, permettant l’exécution de code caché dans une image mal-formée.
Ça concerne principalement les personnes qui babysit des serveurs accessibles au public et qui permettent l’upload d’images.
Et il semble que le bug soit déjà bien connu, voir peut être même déjà exploité!
Il y a une méthode pour contenir la chose, publiée par l’équipe d’ImageMagick, en attendant le correctif qui devrait venir en fin de semaine.