Spécial chmurtz ;)

Le 2/27/05 6:04 PM, JacK [MVP] a écrit :

Après mure réflexion, Frederic Bezies a écrit :

[...]

Alors, on voit l'intérêt du développement avec du code ouvert... ;o)

Faux problème : des failles vieilles de plus de 6 mois viennent d'être
corrigées chez Mozilla.

Lesquelles ? Références, s'il te plaît !

Hi Fred,

Aucune de ces failles (dont certaines sont exploitables uniquement
localement) et d'autres ne concernent pas IE6 SP2 n'est critique.

Aucune ? Ah ? ;)

Ben oui, vérifie le lien que tu as fourni ;)

Je recopie donc :

"Microsoft Internet Explorer 6 with all vendor patches installed and all
vendor workarounds applied, is currently affected by one or more Secunia
advisories rated Highly critical"

"Microsoft Internet Explorer 6 avec tous les rustines du concepteur
installé et les contourements appliqués, est actuellement affecté par
une ou plusieurs alertes Secunia de niveau Hautement Critique".

Tu le veux aussi en chinois mandarin ?

Lorsque j'utilise IE, je suis de toute façon avec un compte limité et
la plupart de ces vulnérabilités sont inexploitables dans ce cas.
D'autre

Vu qu'IE == Windows (je parle du niveau d'incorporation d'IE dans
Windows), où est la différence ? ;)

Essaie et tu comprendras

Pas le courage d'installer un Qemu sur mon G4.

part, il y a des workaround, Qwick-Fix notamment, je suis
complètement imperméable à *toutes* ces vulnérabilités ;)

Si tu le dis...

Je ne le dis pas sans le savoir : je l'ai vérifié B-)

Même avec ce site ?

http://bcheck.scanit.be/bcheck/

Simplement de souligner le fait que tout browser quand il gagne en
popularité est plus exposé à la découverte et l'exploitation de
vulnérabilité : Moz sera de plus en plus attaqué. D'autre part, comme

Mouais... Le vrai problème est la qualité intrinsèque du code... Et
sur ce plan...

Quoique tu en penses, le code est excellent.

S'il est aussi excellent, alors pourquoi les rustines arrivent-elles
aussi lentement ?

Et l'équipe de développement d'IE s'est plainte du code, justement...

les Devs s'obstinent à utiliser l'XML dans le GUI qui permet le
remote XUL, ça ne risque pas d'arranger les choses côté phishing.

Et que fais-tu du XML à la sauce microsoft, j'ai nommé XAML ?

Rien : il n'est pas utilisé dans le GUI de IE :-D

Ah ? XAML sera à la base de l'interface de Longhorn... Donc...

Longhorn sera surement le plus facile des OS à hameçonner, alors !

Wait and see. le remote XUL n'est pas spécialement obligatoire

Mais une obligation pour les crashers, oui.

J'espère simplement qu'Opera restera marginal :-D

La part de marché n'a rien à voir avec les failles découvertes ; il
sera toujours plus intéressant pour un hacker (ou plutôt un crasher)
de faire chier une entreprise connue pour ses manipulations et sa
mauvaise foi (cf le procès qui a opposé MS aux tribunaux américains)
qu'une fondation à but non lucratif.

Ton opinion est à l'opposé de celles de tous les experts :) Les

Tu sais à quoi on reconnait un expert : sa tendance à se planter !

hackers sont généralement bienveillants et font avancer le schmilblick
mais il n"y a pas qu'eux hélas.

Encore heureux. Mais il est fait exprès de confondre hackers et crashers.

Le but principal du spoofing/phishing n'est pas de faire ch**r MS mais

Juste de montrer qu'il vend des produits de qualité peu ragoutante ? ;)

lucratif : piquer des info confidentielles ou amener l'utilisateur sur
un site qui rapportera quelque chose, site de cul, casino en ligne,
etc... et 20 % d'utilisateurs (c'est ce que je consrtate sur mes sites)
ce n'est pas négligeable.

Le spoofing est à la mode actuellement.

Tu constateras que depuis que Moz gagne des parts de marché, les
vulnérabilités se multiplient. Tu crois que c'est un effet du hazard ?

Les vulnérabilités ? Tous les logiciels en ont, mais je considère qu'un
logiciel aux sources ouvertes est intrinsèquement plus sûr (car le code
est inspecté par de nombreux codeurs) qu'un logiciel au code source
invisible.

Et la grosse centaine de vulnérabilités corrigés (depuis mars 1998, date
de lancement du projet mozilla) dans les 280 Mo du code source de
mozilla, ce n'est pas énorme pour un tel paquet de fichiers, non ? ;)

-> http://www.mozilla.org/projects/security/known-vulnerabilities.html

Une moyenne de 16 vulnérabilités par an...

Le 2/27/05 6:31 PM, Michel Doucet a écrit :

Salut à toi *scraper*, tu nous disais ce dimanche 27/02/2005 dans
<news:O3LxZ5OHFHA.3352@TK2MSFTNGP10.phx.gbl> vers 18:05:08 le mélange de
mots suivant :

Bonjour Frederic Bezies, dans le message
news://eJYdamOHFHA.4060@TK2MSFTNGP14.phx.gbl
tu disais :

Faut mettre les deux en parallèle.

.... je crois que vous êtes aussi bornés un que l'autre !

Sauf que la technique est avec moi, et que j'apporte des arguments.

Voyez ma sujgnature en guise de conclusion ;)

Sans oublier : un OS qui est de qualité... ;)

Frederic Bezies a formulé ce dimanche :

Le 2/27/05 6:04 PM, JacK [MVP] a écrit :

Après mure réflexion, Frederic Bezies a écrit :

[...]

Alors, on voit l'intérêt du développement avec du code ouvert... ;o)

Faux problème : des failles vieilles de plus de 6 mois viennent d'être
corrigées chez Mozilla.

Lesquelles ? Références, s'il te plaît !

Mozilla Firefox XML User Interface Language Browser Interface Spoofing
Vulnerability
CAN-2004-0764 published Jul 30, 2004

Mozilla Browser Cross-Domain Tab Window Form Field Focus Vulnerability
published Oct 20, 2004

Mozilla Browser Cross-Domain Dialog Box Spoofing Vulnerability
published Oct 20, 2004
(Source : http://www.securityfocus.com/)

>>

Hi Fred,

Aucune de ces failles (dont certaines sont exploitables uniquement
localement) et d'autres ne concernent pas IE6 SP2 n'est critique.

Aucune ? Ah ? ;)

Ben oui, vérifie le lien que tu as fourni ;)

Je recopie donc :

"Microsoft Internet Explorer 6 with all vendor patches installed and all
vendor workarounds applied, is currently affected by one or more Secunia
advisories rated Highly critical"

"Microsoft Internet Explorer 6 avec tous les rustines du concepteur installé
et les contourements appliqués, est actuellement affecté par une ou plusieurs
alertes Secunia de niveau Hautement Critique".

Oui, IE6, pas IE6SP2 B-)

Tu le veux aussi en chinois mandarin ?

Lorsque j'utilise IE, je suis de toute façon avec un compte limité et la
plupart de ces vulnérabilités sont inexploitables dans ce cas. D'autre

Vu qu'IE == Windows (je parle du niveau d'incorporation d'IE dans
Windows), où est la différence ? ;)

Essaie et tu comprendras

Pas le courage d'installer un Qemu sur mon G4.

part, il y a des workaround, Qwick-Fix notamment, je suis complètement
imperméable à *toutes* ces vulnérabilités ;)

Si tu le dis...

Je ne le dis pas sans le savoir : je l'ai vérifié B-)

Même avec ce site ?

http://bcheck.scanit.be/bcheck/

Evidemment : e site est indiqué sur la page index de mon site :)

Browser Security Test Results
Dear Customer,

The Browser Security Test is finished. Please find the results below:

High Risk Vulnerabilities 0
Medium Risk Vulnerabilities 0
Low Risk Vulnerabilities 0

Simplement de souligner le fait que tout browser quand il gagne en
popularité est plus exposé à la découverte et l'exploitation de
vulnérabilité : Moz sera de plus en plus attaqué. D'autre part, comme

Mouais... Le vrai problème est la qualité intrinsèque du code... Et sur ce
plan...

Quoique tu en penses, le code est excellent.

S'il est aussi excellent, alors pourquoi les rustines arrivent-elles aussi
lentement ?

Et l'équipe de développement d'IE s'est plainte du code, justement...

les Devs s'obstinent à utiliser l'XML dans le GUI qui permet le remote
XUL, ça ne risque pas d'arranger les choses côté phishing.

Et que fais-tu du XML à la sauce microsoft, j'ai nommé XAML ?

Rien : il n'est pas utilisé dans le GUI de IE :-D

Ah ? XAML sera à la base de l'interface de Longhorn... Donc...

Donc rien à signaler pour le moment : même scanit test réalisé sur LH
avec un compte limité sans autre protection :
zéro vulnrabilités :-D

Longhorn sera surement le plus facile des OS à hameçonner, alors !

Wait and see. le remote XUL n'est pas spécialement obligatoire

Mais une obligation pour les crashers, oui.

Donc si LH ne l'utilise pas, le problème ne se pose pas.

J'espère simplement qu'Opera restera marginal :-D

La part de marché n'a rien à voir avec les failles découvertes ; il sera
toujours plus intéressant pour un hacker (ou plutôt un crasher) de faire
chier une entreprise connue pour ses manipulations et sa mauvaise foi (cf
le procès qui a opposé MS aux tribunaux américains) qu'une fondation à but
non lucratif.

Ton opinion est à l'opposé de celles de tous les experts :) Les

Tu sais à quoi on reconnait un expert : sa tendance à se planter !

Et toi tu es infaillible dans tes thèses ?

hackers sont généralement bienveillants et font avancer le schmilblick mais
il n"y a pas qu'eux hélas.

Encore heureux. Mais il est fait exprès de confondre hackers et crashers.

Le but principal du spoofing/phishing n'est pas de faire ch**r MS mais

Juste de montrer qu'il vend des produits de qualité peu ragoutante ? ;)

lucratif : piquer des info confidentielles ou amener l'utilisateur sur un
site qui rapportera quelque chose, site de cul, casino en ligne, etc... et
20 % d'utilisateurs (c'est ce que je consrtate sur mes sites) ce n'est pas
négligeable.

Le spoofing est à la mode actuellement.

Tu constateras que depuis que Moz gagne des parts de marché, les
vulnérabilités se multiplient. Tu crois que c'est un effet du hazard ?

Les vulnérabilités ? Tous les logiciels en ont, mais je considère qu'un
logiciel aux sources ouvertes est intrinsèquement plus sûr (car le code est
inspecté par de nombreux codeurs) qu'un logiciel au code source invisible.

C'est bien là le problème : *tu* considères, permets-moi ne ne pas
partager cette opinion que rien ne vient confirmer Linus lui-m^me a
reconnu dernièerement que le code de LINUX était tout sauf sécursé...

Et la grosse centaine de vulnérabilités corrigés (depuis mars 1998, date de
lancement du projet mozilla) dans les 280 Mo du code source de mozilla, ce
n'est pas énorme pour un tel paquet de fichiers, non ? ;)

Et combien de Mo pour le code de Windows ? :) Je ne suis pas sûr
qu'une règle des 3 simples soit à l'avantage de Moz dans ce cas de
figure ;)

-> http://www.mozilla.org/projects/security/known-vulnerabilities.html

Une moyenne de 16 vulnérabilités par an...

Replacer dans le contexte actuel : le boom de Moz date d'à peine deux
mois...

--
http://www.optimix.be.tf MVP Windows Security
http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
Helping you void your warranty since 2000
---**ANTISPAM**---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(0)@ JacK

Salut à toi *Sniper*, tu nous disais ce dimanche 27/02/2005 dans
<news:mn.dc967d526070ce8f.16273@sniper.org> vers 19:34:53 le mélange de
mots suivant :

Bon, bon... chipotons pas :-) Revoyons ça dans un an quand l'effet de mode
sera passé, que les testeurs (dont j'ai fait partie en janvier) se seront
lassés, que d'autres failles plus graves auront été découvertes dans FF......
restons sereins :-)

En général je reste serein (quoique t'en dises ;) ), ..... on reprend
le thread dans un an ?

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez le butineur, le lecteur de courrier et de nouvelles avec
lequel vous vous sentez le plus sécurisé ;)

Le 2/27/05 7:49 PM, Sniper a écrit :

Frederic Bezies a tenté d'exprimer avec précision :

Je ne confonds JAMAIS un trolleur (ton cas) d'un contradicteur.

Ca commence mal, là....

Vraiment ?

Windows, c'est l'OS... Donc la couche la plus basse, celle qui accède
au matos. Ce qui rend les failles d'IE que plus dangereuses.

Argument bidon. Certains softs ont accés direct à la couche matériel
plus facilement encore qu'IE ou Windows.

Lesquels ?

Tu parles d'argument bidon et tu n'apportes rien pour apporter ton point
de vue = brassage de vent.

Justement. Et c'est là qu'on voit que tu n'es qu'un pauvre trolleur raté.

Ah ça continue dans la gracieuseté...

Aucune argumentation, je note.

Erreur ! Ce n'est pas un renard, mais un panda.

Ah bon :-? parce que Fox, chez toi, c'est un panda ?
Chez tout anglophone qui se respecte, Firefox veut dire Renard de feu.

Et tu te plantes la g !

Et si tu vois un panda dans le logo de FF faut arrêter l'éther
camarade... il s'agit bien d'un renard roux comme le feu.

Niet !

Le firefox est le nom anglais du Panda Rouge :

http://fr.wikipedia.org/wiki/Mozilla_Firefox

"[...]Le nom Firefox (littéralement renard de feu) est le surnom du
Panda rouge ou petit panda (Ailurus fulgens) en anglais. Si le petit
mammifère est en voie d'extinction[...]"

Tu disais ?

Connerie immense !

Ah, tu es à cours d'arguments, là...

Pas franchement, loin de là même.

Est-il plus intéressant pour un crasher (car les personnes ne méritent
pas la dénomination de hackers) de faire chier une boite comme MS
(riche à milliards et incapable de pondre un OS sans 15000 failles de
sécurité) ou une fondation à but non lucratif ?

Pour l'instant, d'accord avec toi. Mais prendrais-tu le pari qu'il en
soit toujours ainsi ? Les générateurs de vérole n'en ont rien à cirer de
la "fondation à but non lucratif". Si un jour FF atteint 50% des parts
de browser, les crashers se fatigueront eux aussi à 50% pour exploiter
ses failles.

Et les codeurs auront eu le temps d'en boucher un paquet... Si la
progression actuelle continue (5% en 4 mois), soit 1,25% par mois en
moyenne, on verra la situation dans environ... 3 ans :)

Et toi ? Tu préfèrerais faire chier une boite connue pour ses coups en
vache, sa malhonnèté, ses produits buggés vendus la peau du cul ?
Attaquer MS est surement plus valorisant que de s'attaquer à une
fondation à but non lucratif.

C'est une explication qui se défend dans le cas où on considére que les
crashers ont une éthique (comme les hackers blancs). Mais le concepteur
de malware, spyware et autre foutware n'a aucune éthique. Micromou ou

Dans les spywares, tu inclues WMP 10, j'espère ?

Moz, il s'en tape du moment que la vérole qu'il conçoit fonctionne et
permet d'installer une backdoor, un dialer ou des popups. Le principal
c'est que la faille soit exploitée.

Mais ne pas être encastré dans le système lui-même diminue hautement les
risques liés aux failles => IE tousse, Windows choppe la grippe...

Sers toi donc de ton cerveau pour explorer cette idée !

Mon cerveau n'est pas aveuglé par un sectarisme quelconque, il réfléchit
indépendamment des modes ou des sponsors.

Et pourtant, tes propos n'apportant strictement AUCUN ARGUMENT
VÉRIFIABLE, c'est la preuve du contraire.

Sectariste ? Il est vrai que promouvoir la concurrence et le respect des
normes, c'est être sectaire...

Le 2/27/05 7:26 PM, JacK [MVP] a écrit :

Frederic Bezies a formulé ce dimanche :

Le 2/27/05 6:04 PM, JacK [MVP] a écrit :

Après mure réflexion, Frederic Bezies a écrit :

[...]

Alors, on voit l'intérêt du développement avec du code ouvert... ;o)

Faux problème : des failles vieilles de plus de 6 mois viennent
d'être corrigées chez Mozilla.

Lesquelles ? Références, s'il te plaît !

Mozilla Firefox XML User Interface Language Browser Interface Spoofing
Vulnerability
CAN-2004-0764 published Jul 30, 2004

Ne concerne pas Firefox 1.0 !

J'ai recherché via google ta référence, et voici ce qui est dit :

http://www.cve.mitre.org/cgi-bin/cvename.cgi?nameÊN-2004-0764

"Mozilla before 1.7, Firefox before 0.9, and Thunderbird before 0.7,
allow remote web sites to hijack the user interface via the "chrome"
flag and XML User Interface Language (XUL) files."

C'est le bug 244965 (https://bugzilla.mozilla.org/show_bug.cgi?id$4965)

Corrigé le 02 juin 2004...

https://bugzilla.mozilla.org/show_bug.cgi?id$4965#c27

Et le bug fut présenté un mois plus tard... Alors qu'il était déjà mort...

https://bugzilla.mozilla.org/show_bug.cgi?id$4965#c42

Alors, une faille de plus de 6 mois non corrigée, c'est déjà faux en ce
qui concerne celle-ci ;)

Mozilla Browser Cross-Domain Tab Window Form Field Focus Vulnerability
published Oct 20, 2004

Correspond au bug 262887

(https://bugzilla.mozilla.org/show_bug.cgi?id&2887)

Ouvert le 4 octobre 2004 (15 jour avant sa publication, donc !) et
corrigé le 10 février 2005. Seulement 4 mois, et non 6 comme tu l'avais
affirmé.

Donc pour la deuxième fois ton argument des 6 mois tombe à l'eau.

Mozilla Browser Cross-Domain Dialog Box Spoofing Vulnerability
published Oct 20, 2004
(Source : http://www.securityfocus.com/)

http://www.securityfocus.com/bid/11473

Cf plus haut, car c'est le même bug, si j'en crois les descriptions
croisées de Security Focus / Secunia.

Merci cependant pour les références.

[...]

"Microsoft Internet Explorer 6 avec tous les rustines du concepteur
installé et les contourements appliqués, est actuellement affecté par
une ou plusieurs alertes Secunia de niveau Hautement Critique".

Oui, IE6, pas IE6SP2 B-)

Où est la différence ?

IE6.0 SP2 est aussi vulnérable :

* http://secunia.com/advisories/13203/ & CAN-2004-1331 ; 19/11/2004.

"The execCommand method in Microsoft Internet Explorer 6.0 SP2 allows
remote attackers to bypass the "File Download - Security Warning" dialog
and save arbitrary files with arbitrary extensions via the SaveAs command."

L'exception qui confirme la règle.

[...]

http://bcheck.scanit.be/bcheck/

Evidemment : e site est indiqué sur la page index de mon site :)

Browser Security Test Results
Dear Customer,

The Browser Security Test is finished. Please find the results below:

High Risk Vulnerabilities 0
Medium Risk Vulnerabilities 0
Low Risk Vulnerabilities 0

Super ;o)

[...]

Ah ? XAML sera à la base de l'interface de Longhorn... Donc...

Donc rien à signaler pour le moment : même scanit test réalisé sur LH
avec un compte limité sans autre protection :
zéro vulnrabilités :-D

Attendons que LH sorte, début 2007.

Longhorn sera surement le plus facile des OS à hameçonner, alors !

Wait and see. le remote XUL n'est pas spécialement obligatoire

Mais une obligation pour les crashers, oui.

Donc si LH ne l'utilise pas, le problème ne se pose pas.

S'il utilise une interface en XML, le phishing en sera facilité.


[...]

Ton opinion est à l'opposé de celles de tous les experts :) Les

Tu sais à quoi on reconnait un expert : sa tendance à se planter !

Et toi tu es infaillible dans tes thèses ?

Je ne suis pas en train de faire un doctorat, donc je n'ai pas besoin de
développer une thèse.

[...]

Le spoofing est à la mode actuellement.

Tu constateras que depuis que Moz gagne des parts de marché, les
vulnérabilités se multiplient. Tu crois que c'est un effet du hazard ?

Les vulnérabilités ? Tous les logiciels en ont, mais je considère
qu'un logiciel aux sources ouvertes est intrinsèquement plus sûr (car
le code est inspecté par de nombreux codeurs) qu'un logiciel au code
source invisible.

C'est bien là le problème : *tu* considères, permets-moi ne ne pas

Mais je ne cherche à imposer à personne l'utilisation de tel ou tel
logiciel.

partager cette opinion que rien ne vient confirmer Linus lui-m^me a

Référence ? ;)

reconnu dernièerement que le code de LINUX était tout sauf sécursé...

<humour>


Pire que le code de Windows ? ;)

</humour>

Et la grosse centaine de vulnérabilités corrigés (depuis mars 1998,
date de lancement du projet mozilla) dans les 280 Mo du code source de
mozilla, ce n'est pas énorme pour un tel paquet de fichiers, non ? ;)

Et combien de Mo pour le code de Windows ? :) Je ne suis pas sûr
qu'une règle des 3 simples soit à l'avantage de Moz dans ce cas de
figure ;)

Surtout que dans le dit code tu as :

- du code dédié linux
- du code dédié windows
- du code dédié OSX
etc...

Et qu'avec un seul code source central, on peut produire : firefox,
mozilla, thunderbird, minimo ou sunbird !

-> http://www.mozilla.org/projects/security/known-vulnerabilities.html

Une moyenne de 16 vulnérabilités par an...

Replacer dans le contexte actuel : le boom de Moz date d'à peine deux
mois...

2 mois ?

Si tu parles de firefox, réapprend à compter ;)

- Novembre 2004
- Décembre 2004
- Janvier 2005
- Février 2005

Cela fait 4 mois, et non deux...

Et pitié, coupe les parties du texte inutile à la compréhension du fil,
merci.

Le Sun, 27 Feb 2005 19:49:07 +0100, "Sniper" <stop.le.spam@wanamou.fr> a
écrit:

Ah bon :-? parce que Fox, chez toi, c'est un panda ?
Chez tout anglophone qui se respecte, Firefox veut dire Renard de feu.
Et si tu vois un panda dans le logo de FF faut arrêter l'éther
camarade... il s'agit bien d'un renard roux comme le feu.

désolée mais la tu te trompes vraiment.
C'est un panda rouge, le firefox
voir sa photo ici sur wikipedia
http://fr.wikipedia.org/wiki/Panda_roux

Il faut faire attention aux faux amis quand on traduit une langue.

Amicalement
--
Ninou
Gratilog, le catalogue des logiciels gratuits
http://www.gratilog.net/

Le 2/27/05 9:10 PM, Sniper a écrit :

Frederic Bezies vient de nous énoncer dans son message
<uVzbwAQHFHA.1500@TK2MSFTNGP09.phx.gbl>:

Tu disais ?

Dis donc, comique, tu as déjà vu un panda avec un nez et des oreilles
pointues ?
Tu devrais vraiment arrêter la moquette :-/

Commences d'abord, et renseigne toi un peu au lieu de raconter de telles
bétises...

http://fr.wikipedia.org/wiki/Panda_rouge

Tiens, je te joins le logo. Il est bien clair, tu vois un panda, là ?

Sachez, monsieur, que je me souviens avoir vu pour la première fois ce
logo il y a un an pour la sortie de firefox 0.8.

Le panda, c'est l'autre image. Noir et blanc avec les oreilles rondes....
Tu nettoies tes lunettes, tu augmentes la résolution d'écran et tu
reviens me dire, hein >:|

Et toi, apprends à lire !

"Ce petit animal, parfois appelé firefox en anglais (une traduction de
son surnom chinois moins utilisé hu(o hú (??), littéralement « renard
de feu » eu égard à sa couleur), a été choisi comme mascotte pour le
navigateur Web Firefox, qui est dérivé de la suite logicielle libre
Mozilla."

Alors, c'est un panda ou un renard ?

Note : papillon en anglais, c'est le butterfly, littéralement la mouche
à beurre !

Le 2/27/05 9:25 PM, Sniper a écrit :

Ninou a gentiment tapoté de ses petits doigts musclés :

C'est un panda rouge, le firefox
voir sa photo ici sur wikipedia
http://fr.wikipedia.org/wiki/Panda_roux"

Vu. Mais c'est pas demain que l'anglais va devenir une langue universelle.

Non, c'était hier !

Si un "fox" devient un panda maintenant, on ne va pas s'en sortir. Je

un firefox, nuance.

pense que la traduction littérale "renard de feu" n'est pas erronnée au
départ puisque la fondation Moz a dérivé ce nom de Firebird (oiseau de
feu). Maintenant qu'un ursidé porte le nom pseudo-scientifique
anglophone de "firefox" (les vrais noms scientifiques sont latinisés),
ça ne m'en touche qu'une sans faire bouger l'autre. Pour moi fox =
renard :-P

Et fly = mouche.

Cependant, butterfly, c'est pas la mouche à beurre, mais le papillon...

Ah, la culture générale...

Frederic Bezies a exposé le 27/02/2005 :

Faux problème : des failles vieilles de plus de 6 mois viennent d'être
corrigées chez Mozilla.

Lesquelles ? Références, s'il te plaît !

Mozilla Firefox XML User Interface Language Browser Interface Spoofing
Vulnerability
CAN-2004-0764 published Jul 30, 2004

Ne concerne pas Firefox 1.0 !

Extrait de la liste des logiciels vulnérables : *Mozilla Firefox 1.0* :
regarde mieux et sans oeillères ;)

(https://bugzilla.mozilla.org/show_bug.cgi?id&2887)

Ouvert le 4 octobre 2004 (15 jour avant sa publication, donc !) et corrigé le
10 février 2005. Seulement 4 mois, et non 6 comme tu l'avais affirmé.

Donc pour la deuxième fois ton argument des 6 mois tombe à l'eau.

Tu pinailles ;) 4 mois, ce n'est pas particulièrment rapide comme
réactivité. N'utilisant pas Moz ni FF, je citais ce mémoire : leurs
failles m'indiffèrent.

Mozilla Browser Cross-Domain Dialog Box Spoofing Vulnerability
published Oct 20, 2004
(Source : http://www.securityfocus.com/)

http://www.securityfocus.com/bid/11473

Cf plus haut, car c'est le même bug, si j'en crois les descriptions croisées
de Security Focus / Secunia.

Non, deux façons différentes d'exploiter

Merci cependant pour les références.

[...]

"Microsoft Internet Explorer 6 avec tous les rustines du concepteur
installé et les contourements appliqués, est actuellement affecté par une
ou plusieurs alertes Secunia de niveau Hautement Critique".

Oui, IE6, pas IE6SP2 B-)

Où est la différence ?

IE6.0 SP2 est aussi vulnérable :

* http://secunia.com/advisories/13203/ & CAN-2004-1331 ; 19/11/2004.

"The execCommand method in Microsoft Internet Explorer 6.0 SP2 allows remote
attackers to bypass the "File Download - Security Warning" dialog and save
arbitrary files with arbitrary extensions via the SaveAs command."

L'exception qui confirme la règle.

Comme signalé, ce n'est pas une faille critique : Moderately critical
selon le lien que tu fournis.

Je replace donc ce que tu as sucré de mon post :
[quote]Aucune de ces failles (dont certaines sont exploitables
uniquement localement) et d'autres ne concernent pas IE6 SP2 n'est
critique.[/quote]

Ah ? XAML sera à la base de l'interface de Longhorn... Donc...

Donc rien à signaler pour le moment : même scanit test réalisé sur LH avec
un compte limité sans autre protection :
zéro vulnrabilités :-D

Attendons que LH sorte, début 2007.

Réaction typique de Manchot :-) Combien de fois n'ai-je vu reprocher à
OE des vulnérabilités corrigées depuis plusieurs versions, parfois sous
le prétexte que tout le monde n'est pas à jour (ça vaut aussi bien pour
tout autre logiciel d'aileurs) . Là tu innoves, tu tires des plans sur
la comète alors que nul ne sait encore ce que sera exactement cet OS.
En l'état de la version *actuellement* disponible, le fait est qu'il y
a zero vulnérabilité.

Longhorn sera surement le plus facile des OS à hameçonner, alors !

Wait and see. le remote XUL n'est pas spécialement obligatoire

Mais une obligation pour les crashers, oui.

Donc si LH ne l'utilise pas, le problème ne se pose pas.

S'il utilise une interface en XML, le phishing en sera facilité.

Plus exactement si l'interface XML autorise le remote XUL, ce qui n'est
pas le cas pour l'instant.

[...]

Ton opinion est à l'opposé de celles de tous les experts :) Les

Tu sais à quoi on reconnait un expert : sa tendance à se planter !

Et toi tu es infaillible dans tes thèses ?

Je ne suis pas en train de faire un doctorat, donc je n'ai pas besoin de
développer une thèse.

En effet, tu pars d'un postulat que je conteste, mon cher Euclide ;)

[...]

Le spoofing est à la mode actuellement.

Tu constateras que depuis que Moz gagne des parts de marché, les
vulnérabilités se multiplient. Tu crois que c'est un effet du hazard ?

Les vulnérabilités ? Tous les logiciels en ont, mais je considère qu'un
logiciel aux sources ouvertes est intrinsèquement plus sûr (car le code
est inspecté par de nombreux codeurs) qu'un logiciel au code source
invisible.

C'est bien là le problème : *tu* considères, permets-moi ne ne pas

Mais je ne cherche à imposer à personne l'utilisation de tel ou tel logiciel.

Mais moi non plus, je n'utilise ni l'un ni l'autre et je ne fais pas de
prosélytisme pour celui que j'utilise.

partager cette opinion que rien ne vient confirmer Linus lui-m^me a

Référence ? ;)

reconnu dernièerement que le code de LINUX était tout sauf sécursé...

Là, je te laisse le soin de chercher : ça a fait suffisamment de bruit
dans la communauté du libre et a été sujet à de nombreux commentaires
sur la banquise.

<humour>


Pire que le code de Windows ? ;)

</humour>

Sans aucun doute et sans humour aucun, Linus est tout sauf un aimable
plaisantin.

Et la grosse centaine de vulnérabilités corrigés (depuis mars 1998, date
de lancement du projet mozilla) dans les 280 Mo du code source de mozilla,
ce n'est pas énorme pour un tel paquet de fichiers, non ? ;)

Et combien de Mo pour le code de Windows ? :) Je ne suis pas sûr qu'une
règle des 3 simples soit à l'avantage de Moz dans ce cas de figure ;)

Surtout que dans le dit code tu as :

- du code dédié linux
- du code dédié windows
- du code dédié OSX
etc...

Et qu'avec un seul code source central, on peut produire : firefox, mozilla,
thunderbird, minimo ou sunbird !

-> http://www.mozilla.org/projects/security/known-vulnerabilities.html

Une moyenne de 16 vulnérabilités par an...

Replacer dans le contexte actuel : /le boom de Moz date d'à peine deux
mois.../

2 mois ?

Si tu parles de firefox, réapprend à compter ;)

- Novembre 2004
- Décembre 2004
- Janvier 2005
- Février 2005

Cela fait 4 mois, et non deux...

Réapprends à lire : je ne parle pas de sa date de sortie mais du moment
à partir duquel il a commencé à séduire un nombre significatif
d'utilisateurs et a été chargé massivement.

--
http://www.optimix.be.tf MVP Windows Security
http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
Helping you void your warranty since 2000
---**ANTISPAM**---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(0)@ JacK