pasBill pasGates a écrit 16358 commentaires

Tu utilises un des trous de securite remotes qui ne donnent qu'un acces limite (nobody avec Apache, etc...) et hop, tu deviens root sur la machine avec le trou local.

Je suppose que ça ne peut pas arriver chez vous (process, assurance qualité, gnagnagna),

Si ca peut arriver, c'etait d'ailleurs l'objet de la discussion, que ca arrivait chez nous. Je voulais juste montrer a notre cher ami qu'on etait loin d'etre les seuls.

mais si par extraordinaire cela se produisait, hypothèse folle j'en conviens, comment un utilisateur (j'inclus les admins chevronnés) pourrait il s'apercevoir que les fichiers créés après l'application d'un fix(pack) sont world-writable ? Comment pourrait il rapporter le problème, et serait il écouté ?

Comment ? Ben en regardant sa machine, tu crois que chez Mandrake ils s'en sont rendus compte comment ?
Plus de la moitie des bugs qu'on fixe sont reportes par les utilisateurs.

donne un seul exemple d'une faille linux , ou sendmail ou mysql ou autre, qui ait été mondialement connue et exploité et qui a mis des milliers d'entreprises par terre, en leur coutant beaucoup de ronds ....

Virus qui passait par Openssl

Donc, si t'as des liens à fournir là dessus, des liens qui montrent qu'un linux défectueux (et pas installé par des yuriths) a entrainé la liquidation d'une société et la mise au chomage de tout son personnel, n'hésite pas donne, c'est pour élargir ma culture. Attention, je dis pas que c'est impossible, mais je veux voir.

Si t'as la meme chose pour MS, donne je veux voir aussi.

Et puis, une différence importante entre les failles linux et windows: pour exploiter celle de linux, va quand même falloir que tu te lèves tôt le matin, que tu te prépares quelques litres de café et que tu ais des munitions de clopes. Pour windows, suffit juste de te rendre sur une page web ou d'ouvrir un malheureux email....

Je te rassures, sur Linux aussi lire un e-mail ca suffit :

http://www.sfu.ca/~siegert/linux-security/msg00107.html(...)
http://www.cotse.com/mailing-lists/bugtraq/1999/0491.html(...)
http://www.opennet.ru/base/exploits/1063730283_626.txt.html(...)
...

C'est vrai, t'es pas oblige de patcher.

Tu as la liberte de risquer le meme sort que gnu.org ou debian

Arf, et si tu apprenais a lire plutot que me traiter de mauvaise foi ?
Je dis de lire la partie *Update* du lien, c'est pas pour rien :

"The kernels provided in MDKSA-2003:066-1 (2.4.21-0.24mdk) had a problem where all files created on any filesystem other than XFS, and using any kernel other than kernel-secure, would be created with mode 0666, or world writeable. The 0.24mdk kernels have been removed from the mirrors and users are encouraged to upgrade and remove those kernels from their systems to prevent accidentally booting into them."

On parlait des patchs qui foutent le boxon, c'est un exemple typique.

Fais seulement.

4 exemples sur le *kernel*

Maintenant tu rajoutes tous les autres composants de l'OS, on rigolera bien.

Arf, comme si on etait les seuls.

http://www.linuxworld.com/story/32707.htm(...)

http://lwn.net/Alerts/41290/(...) (cf. partie "Update")

http://www.clustermatic.org/pipermail/linuxbios/2002-December/00133(...)

http://seclists.org/lists/linux-kernel/2003/Oct/1745.html(...)

Ca ce n'est que le kernel 2.4, je parles pas des autres composants de l'OS.

C'est surtout que tu ne comprends pas l'anglais.

SCO a recu 8 autres millions de Microsoft.

Ca veut pas dire que Microsoft a donne de nouveau 8 millions, ca veut dire que SCO de nouveaux millions, pas forcement de la meme provenance que les precedents.

D'ailleurs la phrase complete est :

"The company did (as was disclosed previously) get another $8 million from Microsoft for a "broader" Unix license."

Ils parlent de l'unique licence achetee par MS.

Je te rassures, ces choses la arrivent partout, encore heureux d'ailleurs :+)

Il etait disponible pour tout le monde

Alors ce qui m'amuse en définitive, si une grosse société à plusieurs milliards de dollars ne corrige pas ses serveurs et se laisse envahir par un ver (conf. blaster.worm), comment pourrait-elle se prétendre meilleure ?

Ben au hasard, le fait que les patchs pour Code Red, Nimda, Slammer, Blaster,... etaient dispo avant que le ver apparaisse.
En passant, Blaster n'a rien fait du tout chez nous, le departement IT forcait les patchs sur les machines, et menacait de bloquer les ports des machines non patchees.

Oui c'est un fake, c'est un site pour se foutre de la gueule des chretiens conservateurs.

Ben faut mieux lire...

http://ir.sco.com/releases.cfm(...)

Aug 18, 2003 SCO Announces Release of SCO Authentication 2.1 for Microsoft Active Directory
Aug 18, 2003 SCO Announces UnixWare Office Mail Server 2.0
Jul 31, 2003 SCO Announces Availability of OpenServer Kernel Personality on UnixWare

Comme solution 4) tu pourrais aussi prendre un BIOS phoenix qui n'a pas ces features, car ils ont plus qu'une ligne de BIOS.

Oh, et puis comme solution 5) tu pourrais prendre ce BIOS et faire tourner Linux dessus

je commence de plus en plus a me demander d'ailleur si les failles qui sont trouvées ne sont pas commandées par la NSA ou autre institution, car le trous de sécu que blaster utilise n'est pas présent/exploitable dans un 2000pro brut de décofrage, mais apparait avec la SP1 ou 2 (il faut une sp2npour apliquer le patche donc je suppose que la sp1 est pas touchée...)

Ce bug est present dans toutes les versions de NT a Win2003, faudrait revoir tes connaissances en la matiere.

si vous vous souvennez bien y a eu des histoire qui ont pu être couverte : par exemple le piratage des serveur hebergeant les version testing de je sais plus quel win il me semble ME, ou les pirates n'avaient pu télécharger que des versions buggées et inutilisable (la source étais peut-être au même endroit qui sait)...

Tellement bien couvert que personne n'en a parle, peut-etre bien car ce n'est pas arrive d'ailleurs.

un windows possède tjs des failles!!!, sauf si tu le rend hermetique a internet avec un firewall qui laisse rien passer, mais alors là linux fais aussi bien...

Ah oui, bon un Linux aussi, mais t'es trop aveugle par ta passion et ton ignorance pour t'en rendre compte.

Il est certain que des tentatives existe de chaque côté, mais je doute que les pirate de debian fasse partie de la catégorie des pirates non financé...
Il n'avait qu'un but : décridibiliser le libre donc sa peut venir que d'entreprise non libre et c presque sur...

Bien entendu, c'est evident, bon comme toujours, aucun argument pour supporter cette theorie a la con.

De plus les serveurs du libres ne se retrouvent pas régulièrement a faire tourner des vers SQL et consort!!! sa fait combien de fois ??? 2 gros vers, combien de virus???

Et tu crois que nos source servers font tourner SQL Server ? T'as jamais appris a administrer une machine...

On ne peut rien faire de mieux que le libre en matière de sécuritée!!!
Le seul défaut est l'élément humain, alors que les system M$ cumulent les facteurs humains : les prgrameurs M$ et leur concour interne sur le plus grand nbre de failles et bug a la ligne de code possible et l'erreur humaine de l'admin

C'est rigolo a quel point tu ne sais pas de quoi tu parles, enfin, c'est un peu triste, mais rigolo.

Je ne condamne pas par contre les merveilleux pirates qui mettent régulièrement down las serveurs de M$ et de toutes les entreprises qui leur font a tord confiance!!!

Ouh ca c'est un type intelligent.

Je n'ai jamais dit que ca ne pourrait jamais arriver, ca serait difficile a faire, mais c'est bien entendu pas impossible, la securite a 100% ca n'existe pas.

D'ailleurs en passant, MS a sorti un article sur les mesures et procedures de securite prises chez nous : http://www.microsoft.com/technet/treeview/default.asp?url=/technet/(...)

Le but du papier est plus de donner une idee aux entreprises de ce qu'il est possible de faire, mais ca donne une idee assez bonne de comment ca se passe chez nous.

Que le regime precedent ait ete pire que le regime present ne change rien au fait que Cuba au jour d'aujourd'hui est une dictature.

Tres bonne idee, appliques les memes methodes.

Mais a qui ? Tu sais qui c'est ? Tu as des preuves ?

En passant, je souhaites bonne chance a ton avocat face a MS si tu t'amuses a essayer de penetrer le reseau interne de MS, il va en avoir sacrement besoin, et toi tu n'auras probablement plus besoin de payer de loyer pendant un bon moment, tu seras loge et nourri aux frais de l'etat.

Transparent surement pas.

Reactif, probablement plus, il y a un team de securite 24h/24 7j/7 dont le seul boulot est de surveiller/scanner le reseau interne et les machines les plus precieuses, dont font partie les source servers.

Et comme tu l'imagines, ces servers sont securises et audites de tres pres.

1) Les install side-by-side fonctionne tres tres bien, on fait ca a longueur de journee ici depuis des annees pour avoir plusieurs systemes sur la meme machine
2) Sachant que NT ne va pas lancer la moindre application depuis les partitions non-systeme au boot, j'en doutes tres fort.

Il me semble que NTFS5 est supporte depuis SP4 mais j'en suis pas sur, et quand on n'est pas sur, mieux vaut prendre la solution la plus sure :+)

Oh et j'oubliais, si c'est Nimda : http://securityresponse.symantec.com/avcenter/venc/data/w32.nimda.a(...)