OVH Cloud OVH Cloud

Les grands experts en securite de Debian en prennent pour leur rhume

19 réponses
Avatar
GP
Important Note Regarding Supposed RP-PPPOE Vulnerability

Several places have reported that rp-pppoe has a vulnerability that lets an
attacker overwrite arbitrary files (for example, this CVE proposal.) This
claim is completely unfounded and incorrect. rp-pppoe is "vulnerable" only if
it is installed setuid-root, and it was never designed to be installed that
way. Otherwise, one might claim that cat has a vulnerability because a suid
cat allows attackers to read arbitrary system files.

The claim arose because the Debian maintainers wrongly and without proper
regard for security thought it was a good idea to install pppoe setuid-root.
(I believe they have since backed away from this.)

The proper way to achieve what they were trying to do (allowing end-users to
bring PPPoE connections up or down) would be to write a secure SUID wrapper,
just the way other Linux distros do (e.g. Red Hat.).

Once again: If you're not running a broken-by-your-linux-distro installation
of rp-pppoe the reported "vulnerability" is pure fiction.


http://www.roaringpenguin.com/penguin/open_source_rp-pppoe.php

--------------

GP

9 réponses

1 2
Avatar
Benjamin FRANCOIS
GP s'est exprimé en ces termes:
N'empêche, j'ai maintenant la réponse à la question que je posais il y a
quelques temps. Je sais maintenant pourquoi The Man Volkerding se fout comme
de l'an 40 de la majorité des patches de sécurité des /experts/ de Debian.


On me souffle dans l'oreillette que The Man Volkerding il se fout aussi
comme de l'an 40 de tes opinions éclairées, « asshole ».

Debian, ce doit vraiment être la joie avec des jappards dans ton genre, Hoce.


C'est clair qu'avec des gros branleurs dans ton genre ça serait beaucoup
mieux. On attendrait encore la sortie de la version 0.1 ça serait top.


--
<nico2> est ce que la commande "exit" redemarre le systeme svp ?

Avatar
Sam Hocevar
On Sun, 27 Mar 2005 22:49:08 -0500, GP wrote:

Mais admettons que lambda ait des réglages fins à faire...

Au lieu de les faire à partir du wrapper, il faudrait qu'il détruise
celui-ci et mette l'exécutable SUID root world execurable -- un
concept qu'il ne connaît absolument pas, mais admettons -- pour
passer toutes les options en ligne de commande à chaque connexion!


C'est bien pour ça que le boulot d'écriture du wrapper ou de mettre
l'exécutable setuid n'est pas celui de l'utilisateur lambda, ducon.

On voit tout de suite combien la chose semble probable et quel incroyable
danger courait l'ordi de lambda advenant qu'une entrée n'ait pas été faite
dans le CVE par les dévoués experts en sécurité de Debian!


Même les problèmes spécifiques à quelques distributions ont leur
place dans la base CVE. Si ça ne te plait pas, ne les lis pas, ducon.

N'empêche, j'ai maintenant la réponse à la question que je posais il y a
quelques temps. Je sais maintenant pourquoi The Man Volkerding se fout comme
de l'an 40 de la majorité des patches de sécurité des /experts/ de Debian.


The Man Volkerding s'en fout probablement comme de sa dernière brosse
à dents. On voit ce que ça donne, ducon.

Qu'on imagine maintenant, parmi les soi-disant 900 développeurs de
Debian, 800 jappards du type Hocevar qui, même devant l'évidence,
refusent de lâcher le morceau, et on comprend tout de suite pourquoi
il faudra 3 ans pour sortir une nouvelle version!


De lâcher quel morceau ? La security team de Debian n'est pas
impliquée dans les erreurs que peut faire un mainteneur. Par contre il
faut bien quelqu'un pour réparer après, ducon.

Ils corrigent? Pourquoi ne cites-tu pas le texte pertinent?

This update can be downloaded from: http://download.fedoralegacy.org/

redhat/7.3/updates-testing/i386/rp-pppoe-3.3-10.legacy.i386.rpm
redhat/7.3/updates-testing/SRPMS/rp-pppoe-3.3-10.legacy.src.rpm
redhat/9/updates-testing/i386/rp-pppoe-3.5-2.2.legacy.i386.rpm
fedora/1/updates-testing/i386/rp-pppoe-3.5-8.2.legacy.i386.rpm
fedora/1/updates-testing/SRPMS/rp-pppoe-3.5-8.2.legacy.src.rpm


On n'a pas la même notion de pertinence, ducon.

Tu ne vois pas «updates-testing» partout?


Et alors ? Toutes les mises à jour de sécurité sont mises dans
updates-testing, ducon.

Sam.
--
Sam Hocevar <http://sam.zoy.org/>
Software should be free -- http://www.debian.org/
Media access should be free -- http://www.videolan.org/
Knowledge must be free -- http://www.wikipedia.org/

Avatar
grossbaff
GP wrote:
Dire Debianiais crétins profonds(1)


Mais je te conchie !
Debian requiert sûrement plus de capacités intellectuelles qu'une distro
entièrement graphique et qui fait tout toute seule !
Non mais ...

Avatar
GP
Sam Hocevar wrote:
On Sun, 27 Mar 2005 22:49:08 -0500, GP wrote:


Mais admettons que lambda ait des réglages fins à faire...

Au lieu de les faire à partir du wrapper, il faudrait qu'il détruise
celui-ci et mette l'exécutable SUID root world execurable -- un
concept qu'il ne connaît absolument pas, mais admettons -- pour
passer toutes les options en ligne de commande à chaque connexion!



C'est bien pour ça que le boulot d'écriture du wrapper ou de mettre
l'exécutable setuid n'est pas celui de l'utilisateur lambda, ducon.


On voit tout de suite combien la chose semble probable et quel incroyable
danger courait l'ordi de lambda advenant qu'une entrée n'ait pas été faite
dans le CVE par les dévoués experts en sécurité de Debian!



Même les problèmes spécifiques à quelques distributions ont leur
place dans la base CVE. Si ça ne te plait pas, ne les lis pas, ducon.


N'empêche, j'ai maintenant la réponse à la question que je posais il y a
quelques temps. Je sais maintenant pourquoi The Man Volkerding se fout comme
de l'an 40 de la majorité des patches de sécurité des /experts/ de Debian.



The Man Volkerding s'en fout probablement comme de sa dernière brosse
à dents. On voit ce que ça donne, ducon.


Qu'on imagine maintenant, parmi les soi-disant 900 développeurs de
Debian, 800 jappards du type Hocevar qui, même devant l'évidence,
refusent de lâcher le morceau, et on comprend tout de suite pourquoi
il faudra 3 ans pour sortir une nouvelle version!



De lâcher quel morceau ? La security team de Debian n'est pas
impliquée dans les erreurs que peut faire un mainteneur. Par contre il
faut bien quelqu'un pour réparer après, ducon.


Ils corrigent? Pourquoi ne cites-tu pas le texte pertinent?

This update can be downloaded from: http://download.fedoralegacy.org/

redhat/7.3/updates-testing/i386/rp-pppoe-3.3-10.legacy.i386.rpm
redhat/7.3/updates-testing/SRPMS/rp-pppoe-3.3-10.legacy.src.rpm
redhat/9/updates-testing/i386/rp-pppoe-3.5-2.2.legacy.i386.rpm
fedora/1/updates-testing/i386/rp-pppoe-3.5-8.2.legacy.i386.rpm
fedora/1/updates-testing/SRPMS/rp-pppoe-3.5-8.2.legacy.src.rpm



On n'a pas la même notion de pertinence, ducon.


Tu ne vois pas «updates-testing» partout?



Et alors ? Toutes les mises à jour de sécurité sont mises dans
updates-testing, ducon.


Bon. Alors, au-delà des insultes, j'ai raison sur toute la ligne. Les
Debianiais ont fait un rapport de vulnérabilité sur un soft complètement sécure.

Wouf, wouf!

Fin du fil!

GP


Avatar
Irvin Probst
On 2005-03-28, GP wrote:

Bon. Alors, au-delà des insultes, j'ai raison sur toute la ligne. Les
Debianiais ont fait un rapport de vulnérabilité sur un soft complètement sécure.


Quel guignol... Ça en devient pitoyable. C'est ta maîtrise du français
qui est à blamer pour expliquer que tu ne comprends pas les mots simples
que Sam a mis bout à bout, ou ton dérangement mental qui fait que tu es
incapable d'admettre que tu as tort ?

Fin du fil!


Tu veux pas le laisser se dérouler encore un peu ? Histoire que tu
puisses te pendre avec.

--
Irvin

Avatar
Benjamin FRANCOIS
GP s'est exprimé en ces termes:
Wouf, wouf!


Fuck off, asshole. If we need any more shit from you we'll drop by and
give your head a squeeze.


--
<luc2> comme vous etes FORTS, vous en devenez meme VANITEUX, et vous ne
pouvez pas vous empecher d'ETALER VOS CONNAISSANCES D'EXPERT !
c'est pourquoi, vous BLOQUEZ VOLONTAIREMENT sur des DETAILS (du
genre "etre loggues") afin de pouvoir EXHIBER votre SAVOIR

Avatar
Rasmus
Irvin Probst wrote:

On 2005-03-27, GP wrote:

Mais je comprends que Debian ne puisse faire erreur, surtout pas
conjointement avec Mandrake. Alors, c'est à RP qu'il faut écrire,
parce que si le FUD vient de quelque part, c'est bien de là:

«Any Linux distro that installs pppoe setuid root is just plain
dangerous.»




Le monsieur y'en a eu dire à toi que Debian par défaut pas avoir
utilisateurs dans groupe qui a droit executer pppoe.



Debian sa manière, mais si pas problème, pourquoi faire jappard chez
Mitre? Wrappers pas pour les chiens! Si crétins Mandrake installer
RP-PPPOE SUID, pas problème Debian, pas problème RP-PPPOE.

Le monsieur y'en a
jamais avoir dit à toi que problème pas exister avec pppoe.



M. RP-PPPOE dire justement ça. Dire Debianiais crétins profonds(1) parce
que aller embêter populace avec faux rapports chez Mitre. Détruire
réputation gens compétents Roaring Penguin qui fournir excellent outil
Linux. Moi sais, moi déjà utilisé RP avec 0 problème Slackware.

(1) Auteurs de Linux Administration Handbook aussi dire ça souvent.

Moi y'en a rajouter que toi pas très malin mais tout le monde y'en a
déjà le savoir.



Moi y en a encore ajouter toi sombre crétin, seulement tarés idiots pas
savoir ça.

GP

Vous y'en a marrant chez Linux

moi y'en a rester pour rigoler encor'
Des fois vous y'en a aussi taper?



Avatar
GP
Rasmus wrote:

Vous y'en a marrant chez Linux
moi y'en a rester pour rigoler encor'
Des fois vous y'en a aussi taper?


Oui, on tape sur les imbéciles de Microsoft qui ne sont pas foutus de sortir
leur Foghorn depuis des années et qui vont finalement le sortir sans l'outil
de recherche tant promis et que tout un chacun -- Google, Magellan, bientôt
Suse avec Beagle -- offrent déjà.

On peut rire de certains tarés qui voient des failles de sécurité où il n'y en
a pas, ce n'est pas ce qui empêche Linux de faire fonctionner 4 des 5 plus
importants clusters au monde alors que Ti-Mou se cache derrière les serveurs
de Akamai.

Les développeurs Linux ont cet insigne avantage que quand un environnement de
production ne fait plus leur affaire, ils n'ont qu'à aller planter leurs
pénates ailleurs.

GP

Avatar
Irvin Probst
On 2005-03-28, GP wrote:

On peut rire de certains tarés qui voient des failles de sécurité où il n'y en
a pas, ce n'est pas ce qui empêche Linux de faire fonctionner 4 des 5 plus
importants clusters au monde alors que Ti-Mou se cache derrière les serveurs
de Akamai.


Tu te rends compte qu'utiliser Akamai pour distribuer la bande passante
n'a strictement rien à voir avec l'OS ? Ou tu n'y connais vraiment rien
?

--
Irvin

1 2