Anonyme a écrit 62292 commentaires

Mais quels connards !

Voilà mes 2cts à chaud...

Etant donné la relative gravité du bug, je crois que ça sera pas d'une rapidité fulgurante.

Pour rappel, il n'y a pas de réelle vulnérabilité sur les archi 32bits (sauf Windows, où Apache n'est pas très répandu). Dans ce cas là, le seul risque encouru est que le processus fils qui gère la requête fautive meurt dans d'atroces souffrances.

A part dans le modèle multi-process/multi-threads d'Apache 2.0, qui, si je ne m'abuse, n'est pas celui par défaut, ça ne fait pas un DoS étant donné que le process qui meurt était occupé et que le process père est toujours là pour relancer un nouveau fils pour remplacer le défunt.

Par contre, sur les plate-formes 64 bits, il y a un plus grand risque. Par ailleurs, et toujours si je ne m'abuse, Solaris n'est réellement 64 bits que depuis la version 7. La question est : est-ce que Solaris 2.6 est quand même vulnérable ?

Pour les autres archis 64 bits, je n'en sais pas plus, mais il me semble que c'est surtout Solaris qui est utilisé à ces fins.

Qui plus est, l'alerte faisait état de cette potentielle exécution de code sur des archis 64 bits en indiquant que ça dépendait du type d'archi sans préciser de laquelle (desquelles ?) il s'agissait.

Bref, il vaut mieux mettre à jour, mais je ne pense pas que le parc complet sera mis à jour tout de suite.

La version corrigée d'Apache 2.0 a été mise à disposition en même temps que la version 1.3.26 ; il s'agit de la 2.0.39.

Mais dans une moindre mesure : ça ne fait que tuer un processus fils (ce qui peut être embêtant s'il gérait plusieurs threads, auquel cas plusieurs connexions sont simultanément perdues). Toujours est-il que ça ne peut pas conduire à l'exécution de code, contrairement à la faille sur les versions 1.x sur archis 64 bits (et encore, ça a l'air de dépendre du type de processeur 64 bits...)

Il est intéressant de lire le fil complet de discussion :
http://online.securityfocus.com/archive/1/277324/2002-06-14/2002-06(...)

et une réponse de X-Force
http://online.securityfocus.com/archive/1/277326/2002-06-14/2002-06(...)

Une bonne partie de tout ce que tu nommes est utilisé dans les projets *BSD ; faut-il pour autant les appeler GNU/*BSD ?
Qui plus est, l'adoption de la GNU libc est récent, Linux se débrouillait très bien sans, merci pour lui.

Faux. Les projets en GPL ne font pas nécessairement partie du projet GNU ; qui plus est, tu ne peux pas appeler un soft (GPL et encore moins non GPL) GNU quelque chose s'il ne fait pas partie du projet GNU.

Ce sera mon dernier message. - Les technologies libres sont accessibles à tous. Si moralement cela gène quelqu'un de les utiliser, je doute qu'il veuille réellement contribuer à projet libre. - Les technologies propriétaires ne sont pas accessibles à tous. Si moralement cela gène quelqu'un de les utiliser, ce n'est pas incompatible avec la volonté de contribuer à un projet libre. les technologies libres employés pour le developpement de logiciels libres ne doivent pas être si archaiques et mauvaises que tu le prétends : si c'était le cas, ne penses-tu pas que cette masse énorme de developpeurs auraient placé ce point en priorité ? Tu joues à me faire passer pour un manichéen voyant le monde en monochrome, désirant « FORCER » les gens à utiliser certaines technologies. Tu es soit hypocrite soit idiot. Tu emploies la réthorique habituelle des commerciaux de ta boîte. Si tu l'ignores, je te l'apprends. Et finalement, est-ce que ça ne te fais pas plaisir de pouvoir associer Linus T. à quelqu'un « qui n'adhere pas a ton idee du "tout libre partout" » ? Chose que tu ne pourrais faire si Linus T. n'avais pas choisit BitKeeper. Tu vois, les conséquences idéologiques, car même si tu t'en caches, ton discours n'est qu'idéologique, et en rien technique (la technique n'est qu'un prétexte pour toi) de ce choix sont très présentes. Et servent tes intérêts. Maintenants, brisons-là. Cesse ce discours hypocrite. Tu n'es pas l'ardent défenseur d'un auteur de logiciel libre, tu es l'ardent défenseur d'un auteur de logiciel libre qui parait ne pas vouloir "tout libre partout". Et effectivement, tu peux trouver cela extrême, comme il a été considéré particulièrement extrême d'exiger la liberté pour tous autrefois, de ma part d'aspirer aux développement du "tout libre partout". Parce que je préfèrerais que les impôts servent à financier des logiciels comme gnumeric et à payer des admin reséau plutôt que de remplir les poches de ta boite en, du coup, considérant les profs comme des admins réseaux. Je pense que ça résoudrais effectivement beaucoup de problèmes de société. - institution (Administration, Justice, Education) qui bénéficieraient de logiciels modifiable aux besoin, financés par l'Etat en partie - soutien aux industrie avec des logiciels performants financés en partie par l'Etat - embauche de personnes qualifiées pour la maintenance informatique - retour des profs pour les occupations pour lesquelles ils sont formés (pour effet : meilleurs entretien des réseaux informations) FInalement, le fric est reinvesti dans les structures du pays qui en ont bien besoin, au lieu d'être envoyé aux USA agrandir la fortune d'une personne qui décidement n'en a guere besoin. Alors oui, je suis peut-être un extremiste. On traite toute sortes de personnes d'extremistes. On considère certains toujours comme des extremistes, sans doute à juste raison (comme Hitler, Staline). On a cessé de considérer d'autres comme extrêmiste. Par exemple, la déclaration universelle des droits de l'homme n'est plus considéré aujourd'hui comme l'oeuvres de fous-furieux extremistes. Il n'est plus extremiste d'être républicain anti-monarchiste. De quoi parles-t-on ? D'idéologie, non ? Ton discours n'est qu'idéologique, et tu prones tes intérêts premier. Moi je prone ceux de ma nation, et plus globalement de l'humanité. Moi je reconnais l'aspect idéologique de ma démarche. Et je le revendique. Oui, j'agis parce que je partage l'idée, sans doute naive, que les logiciels libres contribuent à rétablir certains déséquilibres. Toi, sous couvert d'aspect techniques, tu feins d'ignorer constamment la portée idéologique de chaque acte que tu commentes. Brisons-là, c'est trop de mauvaise foi.

« Tu veux qu'il contribue financierement ? Et pourquoi ? Il fait deja un tas de choses de son cote, pourquoi ce serait a lui de le faire ? » Si tu AIMES LE LOGICIEL LIBRE et que tu VEUX UTILISER DU LOGICIEL LIBRE et que tu as BESOIN D'UN LOGICIEL LIBRE et que tu peux AIDER AU FINANCEMENT DE CE LOGICIEL LIBRE, tu as des raisons de contribuer. Mais toi, tu n'AIMES PAS LE LOGICIEL LIBRE. Si tu aimes des logiciels libres, ce n'est pas parce qu'ils sont libres. Mais ici, ton cas n'est pas censé être le cas majoritaire. Donc fais un effort pour comprendre le point de vue de pour qui il est important qu'un logiciel soit libre. « inus connait cvs et a mon avis il doit avoir de bonnes raisons, je ne pense pas qu'il ait choisi BitKeeper parce qu'il etait proprietaire mais plutot parce qu'il etait plus pratique pour une raison X ou Y. » Evidemment. « Quand aux retombees commerciales, tu me les expliqueras, je ne vois pas lesquelles. » Je vois très bien que tu les ignores ou que tu feins de les ignorer. Brisons-là, cette discussion est stérile. Je pense que tu nous prends véritablement pour des cons. Ton discours est la réplique exact du discours des pros de marketing de ta boîte : on ne fait aucune différence éthique entre le libre et le propriétaire, uniquement technique.. Alors que la grande innovation du logiciel libre, c'est sur le plan éthique qu'elle s'est jouée. Avec autant de temps (de volontaires) et de moyens, un autre unix propriétaire aurait pu arriver au même stade technique... Mais l'élément divergeant, c'est l'enthousiasme que peuvent avoir des gens qui participent à ce qu'ils pensent être un grand projet pour l'humanité plutôt qu'à une sombre opération commerciale, et le succès aux yeux du public de ces idées qui paraissent neuves. PS : Je n'ai pas à créer un logiciel libre pour avoir le droit de penser que les acteurs du libre les plus connus devraient n'utiliser que des logiciels libres pour être crédible. Des projets existent par ailleurs déjà mais Linus T. à voulu essayer BitKeeper, et pas installer cvs ou subversions. Si tout le monde avait pensé comme lui, il ne serait rien aujourd'hui.

- Il me semble que la plupart des logiciels libres se démerdent très bien avec les solutions libres. - Mais si elles ne conviennent vraiment pas Linus T. je pense qu'il a les moyens (financiers) de contribuer à l'évolution des solutions libres. - les logiciels sont fait pour faciliter la vie des gens. Pourquoi Linus T. a-t-il refusé l'emploi de CVS ? Enfin tout ce que je remarque c'est que les comportements de Linus T. qui n'a plus besoin du libre pour se faire connaitres te sont très favorable à toi, toi et la boite dans laquelle tu bosses. Tu fais beaucoup d'effort pour ignorer les retombées commerciales de ce type de choix. Mon message ne parle pourtant que de ça. Tu en a pas marre de répondre à coté ? (apparement non)

Dire GPL v2 and later, ça ne veut pas dire que lorsqu'une autre version sera sortie les gens devront s'y conformer.

Ca signifie que quand une GPL v3 existera, les gens pourront, aux choix, continuer à distribuer un logiciel GPL selon la v2 ou selon la v3.

L'intérêt principal est ne pas avoir à changer la licence lors de la sortie de la v3. Bien entendu, il faut faire confiance à l'esprit éthique du GNU.
Ceci dit, les gens qui critiquent la GPL la critiquent pour ses interdictions. Si la GPL v3 est encore plus stricte, ces mécontents seront libres de toujours utiliser la GPL v2.
Le seul motif de mécontentement serait le cas ou la GPL v3 se rapprocherait d'un mBSD.

Donc en gros, choisir particulièrement la GPL v2 c'est en soit un choix singulier.

Vu comment Linus T. à fonctionné jusque là, je ne pense pas que l'on puisse en parler comme quelqu'un de si rigoureux.

Ensuite, le problème est simple : lorsque tu te dis qu'un logiciel propriétaire est inégalé en libre, si tu fais le choix d'utiliser le logiciel propriétaire plutôt que d'essayer de faire avancer un équivalent libre (en y participant ou investissant - faut dès fois choisir entre la BMW et autre chose...), il est évident que tu reconnais par là qu'investir dans le libre n'est pas nécessairement la solution idéale.

Bref, tu donnes des arguments aux commerciaux du propriétaire. A tes copains donc. Je comprend ton intérêt à minorer ce choix.

« * Torvalds n'a pas d'opinion sur l'appellation du système. Il a dit et repeté à longueur d'interviews qu'il s'en fichait (« I don't care »). Ce n'est pas tout à fait la même chose que dire « ne leur donnez pas leur part de crédit ». La diffamation est patente. »

Ceci dit, l'attitude L.T. est de proner un statu quo soit disant par désintérêt alors que cela le sert bien.
S'il s'en foutais réellement, il n'aurait pas hésité à changer le nom. Il ne s'en fous pas et pourrait reconnaitre que son succès actuel repose beaucoup sur le succès du système GNU/Linux (et pas uniquement le succès de son noyau).

C'est un peu comme si tout le monde appellait le président de la République Française Lionel Jospin, et que lorsqu'on lui demande de réctifier le tir il dise « moi je m'en fous voyez-vous, je continuerais à me prétendre président, ça ne m'interesse pas ».

« Contrairement à ce que dit RMS plus loin, Linux est difficilement une « variante du système GNU », vu qu'IIRC le kernel de Linux *ne fait pas partie* du projet GNU. Ceci équivaut à dire à quelqu'un qui pour se fabriquer un roadster a pris un certain nombre d'éléments de Peugeot qu'il doit préfixer le nom de son véhicule par « Peugeot/ ». Moralement, c'est plutôt contestable... »

Lorsqu'on parle de formule 1 avec un moteur renault, on parle d'une Williams Renault, ou autre.
Le nom de l'équipe, Williams, le nom du moteur, Renault.
Je pense que ça répond à ton analogie.

« On remarquera d'ailleurs que d'autres systèmes libres (AtheOS) sont basés sur un grand nombre d'éléments du projet GNU et d'autres utilisent au moins GCC (diablement important tout de même le compilo) mais RMS ne leur court pas après pour qu'il préfixent GNU à leurs noms. Ma supposition faute d'avoir l'avis officiel du projet GNU est que ça ne les intéresse pas car ils ne sont pas assez connus. AMHA il s'agit plus de gagner de la notoriété que de réparer un préjudice... »

Le préjudice est de toute façon sur une question de notoriété. Ta dernière phrase est donc peu sensée.
Ensuite, il est évident que les petits projets ont généralement un public qui sait la part du GNU qui le compose. Ce qui n'est évidemment pas le cas concernant « Linux ».
A l'échelle mondiale, le GNU est peu connu. Il compose pourtant une part importante des distribs. Si on vire tout ce qui est paquet GNU d'une distrib, certains piliers seront notoirements absents.

« Encore plus loin, RMS persiste dans la diffamation en affirmant que « Torvalds presse [la] communauté d'utiliser un programme non-libre [BitKeeper, NdT] ». Faux, évidemment, puisque Torvalds a bien expliqué qu'il pouvait toujours intégrer les patches sous forme de diff et qu'il s'était bien assuré qu'il pouvait le faire avant de basculer. Mais c'est tellement plus facile de faire des attaques ad hominem que d'agir pour effacer un problème réel (l'inexistence dans le libre d'un logiciel équivalent à BitKeeper).. »

Pour toi, lorsqu'on dit « je vous propose d'utiliser un logiciel proprio ou bien de tout gèrer à la main comme des gorets », ça ne te semble pas évident qu'on incite à utiliser un logiciel proprio ?
Tu me sembles très naif.


« Ailleurs, RMS écrit encore que cette « erreur mine les efforts du projet GNU ». RMS oublie donc (sciemment ? Par défaut je supposerai qu'il est juste aveugle) les innombrables programmeurs (et donc logiciels) qui sont venus au libre grâce à l'existence de ce fichu kernel écrit par ce pusillanime apolitique nommé Linus Torvalds. Aujourd'hui, non seulement Linux a amené beaucoup de programmeurs à s'intéresser au libre, il l'a aussi sorti de l'anonymat. Si Stallman et le projet GNU sont très connus aujourd'hui, ils le doivent entre autre à Torvalds et à son bout de code qui, loin de les rendre invisibles comme ils se complaisent à le penser, a au contraire dopé leur notoriété. On pourrait penser qu'un minimum de reconnaissance serait de mise. RMS pense à l'évidence autrement. C'est triste. »

C'est l'histoire de la poule et de l'oeuf. Le projet GNU aurait-il trouvé un autre noyau que Linux et aurait-il été aussi populaire ? Linux aurait-il trouvé un autre système d'exploitation dans lequel s'intégrer et aurait-il été aussi populaire ?

Je n'oserais pas répondre.

« Rappelons enfin que la GPL ne demande absolument pas qu'un programme fasse mention dans son nom des programmes avec lesquels il est embarqué. Si c'est vraiment si important, pourquoi ne pas le codifier dans la GPLv3 ? Cela réglerait le problème facilement et sans prises de têtes interminables »

Signalons au passage que le projet Linux est un des rares projets qui a choisi d'accepter la License GPL v.2 et uniquement v.2, alors que la plupart du temps, il s'agit de GPL v.2 & later...

« La situation actuelle est vraiment kafkaïenne : l'organisation qui est censée être la plus morale du libre, celle que j'aurais naturellement envie de soutenir (d'autant plus que maintenant il y a la FSF Europe, plus à même de tenir compte des problèmes spécifiques à notre continent) a un leader qui passe son temps à vilipender des gens qui ont fait beaucoup pour le libre, voire à les diffamer. Les attaques ad hominem et l'intransigeance butée sont-elles bénéfiques à l'image des LL ? Je ne le pense pas. En tous les cas, je suis très triste de voir la FSF prendre ce chemin. Personnellement je ccontinuerai à promouvoir le libre autant que je peux, mais je vais aussi continuer à dire « Linux » et encourager les gens à le faire. Battons-nous pour des causes valables ! »

Tu oublies de rappeller que ce message est une réponse à une attaque déjà personnelle.
Ensuite, évidemment, dès lors que tu parles du projet Linux, t'es obligé de parler de Linus T. (va savoir pourquoi ? Un leader omnipotent). En ce sens, il est facile de dire qu'il s'agit d'attaque ad nominem.

Ensuite, vilipender, diffamer : oublies-tu que l'on peux considérer que tu fais exactement de même ?
Tu devrais éviter ce type de jugements moraux sur les actes des autres qui réprésentent avant tout l'avis d'un parti contre un autre.

« Personnellement je ccontinuerai à promouvoir le libre autant que je peux, mais je vais aussi continuer à dire « Linux » et encourager les gens à le faire. Battons-nous pour des causes valables ! »

Tu considères que parler de « linux » est une cause valable ? C'est étrange, l'argumentaire de ceux qui défendent l'appellation « Linux » est « on s'en fout ».
Pourtant ces derniers attachent beaucoup d'importance à un terme dont ils se foutent.

Bref... Ma conclusion personnelle à ce propos, c'est qu'on parle beaucoup des aspect mégalomane du leader de Bill Gates mais il ne semble pas avoir essayé d'appeller un système d'exploitation ainsi. Même si apparement ce nom n'a pas été choisit pas Linus T. , il semble s'en être très bien accomodé, au point de le défendre bec et ongles, prétendant que son logiciel compose un système d'exploitation entier. Ce qui est faux. Linux n'est pas un système d'exploitation.
On peut faire un système sans aucun outil GNU avec le noyau linux : le résultat sera sans doute très très différent ce qui est vendu à l'heure actuelle sous le nom linux.

Mais comme dans l'informatique comme ailleurs, c'est l'inertie qui prime, l'appellation qui a réussi à s'imposer perdurera :
ceux qui en profitent sauront tirer partie de la masse qui ignore tout de ces subtilités.

Ca serait bien qu'il y'ait une historique des modifs dans le contenu de la dépêche.

Un peu dans le genre de ce qu'il y'a tout en bas par exemple sur http://savannah.gnu.org/support/index.php?func=detailsupport&su(...)

(Ca doit pas être trop compliqué à implémenter)

Le titre est faux. La judicieuse citation contredit ce titre.

RMS ne dit pas que « Linux n'est pas libre » mais qu'il est « partially non-free ».

La différence est de taille : d'un point de vue nuancée de RMS, on essaye de tirer parti pour le transformer en extrémiste stupide.

---
Aussi, pour évoquer les propos de RMS (et non juste les sujets, on dira à propos des LUG qu'il a le droit de décliner des invitations de LUG qui ne partagent pas les avis du GNU. « I respect their freedom of speech, but I also have the freedom not to give a speech ».

Bien sur, les distribs doivent tester. C'est bien pour ça que RedHat à eu raison de sortir son gcc 2.96. Mais il ne faux pas non plus être trop frileux et proposer des versions obsolètes comprennant plein de bugs déjà corrigés qui, qui plus est, sont des versions considérées comme instables.

s/Nigéria/Sénégal/

Très franchement, je me demande si ces distribs ont de l'avenir.

Egalement, ils distinguent les logiciels GPL des logiciels commerciaux.

Logiquement c'est aux auteurs de logiciels de voir si leur logiciel est en stable ou pas.
Si les dev de mozilla considèrent que la 1.0 est stable, elle doit être intégrée.

Il y a les produits de Divine qui font des trucs un peu dans ce style http://www.divine.com/(...)
La principale différence, c'est que ça n'inclue pas le serveur J2EE, donc ça fonctionne sous Weblogic et Websphere...

Il n'y a pas d'equivalent en terme de fonctionnalité aujourd'hui à ATG Dynamo, ni dans le libre (jboss, jonas), ni chez les proprios (websphere, weblogic...).

Qu'a-t-il donc que les autres n'ont pas ?

Tu peux aussi répartir les services sur les 2 machines en ayant un mode dégradé où tous les services sont sur le même serveur en cas de défaillance.
Par ailleurs, il y a une bonne chiée de services (DHCP, DNS, NIS...) qui ne demandent pas non plus des ressources énormes...

Il ne t'est pas venu à l'esprit que les 2 serveurs fournissent les mêmes services (donc tous) et que l'un est backup de l'autre ?

Les grosses boites ont tendance à faire dans le J2EE sous unix, et avec ATG Dynamo, BEA Weblogic, IBM Websphere, et peut-être encore d'autres, c'est Apache qu'on te fait installer en frontal (on = l'éditeur du serveur d'applicatifs).

Ce que je voulais dire, c'est qu'ils auraient certainement pu trouver mieux comme exemples...
C'est vrai que c'est déjà bien, mais ça ne démontre pas grand chose quant à la "confiance" qu'ont ces "grands comptes" en ces solutions libres, ça fait déjà quelques années qu'Apache est bien implanté, rien de très neuf à l'horizon...

Par ailleurs, pour Auchan, il y a aussi indiqué que les serveurs Linux servent pour l'authentification de leur parc hétérogène Windows, Solaris, HP-UX, AIX... ce qui sous-entend quand même qu'ils ont plus que des postes clients sous autre chose que du libre...