Faille de sécurité majeure dans Ubuntu 5.10

Le
name
http://web.linuxfr.org/2006/03/13/20494.html

Une faille de sécurité majeure affectant le système Ubuntu Linux 5.10
vient d'être découverte par Karl Øie. Le mot de passe du premier
utilisateur créé lors de l'installation du système apparaît dans les
fichiers logs de l'installeur.

On retrouve le mot de passe non-hashé dans plusieurs fichiers dont
/var/log/installer/cdebconf/questions.dat qui est accessible en lecture
à tous les utilisateurs. C'est d'autant plus préoccupant que le premier
utilisateur créé sur le système possède les droits sudo sur l'ensemble
du système, ce qui équivaut à un accès root à la machine.
Vos réponses Page 1 / 4
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
fm
Le #5754011
name
http://web.linuxfr.org/2006/03/13/20494.html

Une faille de sécurité majeure affectant le système Ubuntu Linux 5.10
vient d'être découverte par Karl Øie. Le mot de passe du premier
utilisateur créé lors de l'installation du système apparaît dans les
fichiers logs de l'installeur.

On retrouve le mot de passe non-hashé dans plusieurs fichiers dont
/var/log/installer/cdebconf/questions.dat qui est accessible en lecture
à tous les utilisateurs.


Ah oui. :)))

C'est à se tordre de rire.

Mais là ce n'est pas une faille de sécurité,
c'est du sabotage.

--
-- francois meyer
http://dulle.free.fr/alidade/galerie.php?maxim

Jérémy JUST
Le #5754001
Le Mon, 13 Mar 2006 23:00:34 +0100,

On retrouve le mot de passe non-hashé dans plusieurs fichiers dont
/var/log/installer/cdebconf/questions.dat qui est accessible en
lecture à tous les utilisateurs. C'est d'autant plus préoccupant que
le premier utilisateur créé sur le système possède les droits sudo
sur l'ensemble du système, ce qui équivaut à un accès root à la
machine.


<MOQUERIE>
Ce qui prouve bien qu'il suffit d'être « basé sur Debian » pour être
une bonne distribution.
</MOQUERIE>


--
Jérémy JUST
R12y
Le #5753951
On Mon, 13 Mar 2006 23:00:34 +0100, name wrote:

Une faille de sécurité majeure affectant le système Ubuntu Linux 5.10


Evidemment.
Bon sinon, est-ce que tu as fait un tour sur les espaces parlant des
failles relatives à Windows, par exemple?

--
Debian/apt Repo: http://locataire-serveur.info/sections/liens/debian-repository
Fedora/yum Repo: http://locataire-serveur.info/sections/liens/fedora-core-yum

Emmanuel Florac
Le #5753841
Le Mon, 13 Mar 2006 23:00:34 +0100, name a écrit :


Une faille de sécurité majeure affectant le système Ubuntu Linux 5.10
vient d'être découverte par Karl Øie. Le mot de passe du premier
utilisateur créé lors de l'installation du système apparaît dans les
fichiers logs de l'installeur.


C'est corrigé depuis plusieurs jours.

--
on passe la moitié de son temps à refaire ce que l'on n'a pas eu le
temps de faire correctement.
Loi de Myers.

Laurent
Le #5753761

R12y écrivait :

Une faille de sécurité majeure affectant le système Ubuntu Linux 5.10


Evidemment.
Bon sinon, est-ce que tu as fait un tour sur les espaces parlant des
failles relatives à Windows, par exemple?


Pourquoi faire ? Ce serait Bille Guete qui a introduit ce bug ?


Non, c'est juste qu'en bon libriste qu'il est, il n'a pas pris la peine
de se rendre compte de l'ENORMITE(1) du problème, il ne veut pas
croire que certaines distribs GNU/Linux puissent être aussi merdiques
qu'un certain "OS" de redmond.

(1): notez qu'avec windows on peut faire la même erreur avec les
install "unattended"

--
Laurent



talon
Le #5753731
Laurent

Non, c'est juste qu'en bon libriste qu'il est, il n'a pas pris la peine
de se rendre compte de l'ENORMITE(1) du problème,


Faut quand même pas exagérer, on n'est pas obligé de laisser traîner le log de
l'installation qui ne sert à rien une fois qu'on a fini l'install, on n'est
pas obligé de mettre le passwd root définitif pendant l'install, et j'en
passe, donc le trou est assez théorique. Maintenant, si tu considères que
Ubuntu est installé surtout par des amateurs, ils risquent fort de
laisser traîner le passwd root dans leur /tmp indéfiniment.

--

Michel TALON

Laurent
Le #5753711

Laurent

Non, c'est juste qu'en bon libriste qu'il est, il n'a pas pris la peine
de se rendre compte de l'ENORMITE(1) du problème,


Faut quand même pas exagérer, on n'est pas obligé de laisser traî ner le log de
l'installation qui ne sert à rien une fois qu'on a fini l'install, on n 'est
pas obligé de mettre le passwd root définitif pendant l'install, et j'en
passe, donc le trou est assez théorique. Maintenant, si tu considères que
Ubuntu est installé surtout par des amateurs, ils risquent fort de
laisser traîner le passwd root dans leur /tmp indéfiniment.


C'est pourquoi j'ai signalé que le problème peut être aisément
reproduit avec Windows.
Le débat est ici : une procédure d'install silencieuse/automatique,
doit-elle permettre de se retrouver avec un mot de passe en clair dans
un fichier ?

Moi je pense que que non, aucune procédure d'install de quelque OS que
ce soit ne devait le permettre. Le fait que ce soit possible avec
Ubuntu, Windows ou autre est amha un énorme problème de sécurité.

Y'a qu'a voir ce qu'on trouve comme fichiers "réponses" avec une
recherche google bien ciblée.

--
Laurent


Benjamin FRANCOIS
Le #5753671
R12y s'est exprimé en ces termes:
Bon sinon, est-ce que tu as fait un tour sur les espaces parlant des
failles relatives à Windows, par exemple?


Mais c'est complètement débile, comme réponse !


--
Non.

Antoine Leca
Le #5753611
Laurent wrote:
(1): notez qu'avec windows on peut faire la même erreur avec les
install "unattended"


Notons qu'au bout de plusieurs années, les programmeurs de Redmond s'en sont
aperçus et maintenant (XP/2003, peut-être même 2000), dans les installations
"unattended" il est possible de mettre le fameux mot en passe « encodé » et
non plus en clair.

[GuiUnattended]
EncryptedAdminPassword=Yes

Je n'ai pas été voir la qualité du chiffrage, donc pas taper si c'est juste
un XOR... Cependant, cela semble générer 128 octets, donc je pencherais
plutôt pour un hash NTLMv1 ou similaire.


Il semble (pas été voir non plus, et encore moins depuis quelle version) par
ailleurs que les programmeurs de MS se soient aperçus du bogue précité, et
qu'ils _effacent_ le mot de passe en clair (dans le fichier $winnt$.inf) à
la fin de l'installation.


Donc au moins sur cette histoire, MS n'est pas complètement à la bourre.

Antoine

SL
Le #5753531
R12y s'est exprimé en ces termes:

Bon sinon, est-ce que tu as fait un tour sur les espaces parlant
des failles relatives à Windows, par exemple?


Mais c'est complètement débile, comme réponse !


Tiens, c'est aussi ce que je me suis dit.


Publicité
Poster une réponse
Anonyme