CERCLL

CercLL d'Entraide et Réseau Coopératif Autour des Logiciels Libres

  • Visioconférence

  • Languages Disponibles

  • Richard Stallman

  • Le Logiciel Libre

  • Priorité au Logiciel Libre!

  • L’ Agenda du Libre région PACA

  • Mobilizon Chapril

  • Chapril Mumble

  • Articles récents

  • Le Manchot

  • Écoutez

  • Lsdm liste des Gulls

  • Toolinux

  • Mastodon CercLL

  • Méta

  • créer un sondage

  • Un éditeur de texte collaboratif en ligne libre

  • Communication collaborative

  • Framatalk Visioconférence

  • Herbergement d’images

  • Ordinateur recyclé sous Debian

  • Nombres de visites sur ce site

    • 84 371 Visites
  • Entrez votre adresse mail pour suivre ce blog et être notifié par email des nouvelles publications.

    Rejoignez 223 autres abonnés

  • RSS CERCLL

  • Archives

Archive for 25 octobre 2016

Une faille dans le kernel Linux vieille de 9 ans corrigée, mais déjà exploitée

Posted by CercLL sur 25 octobre 2016

 

image dediée

Une très sérieuse vulnérabilité dans le noyau Linux a été découverte. Déjà corrigée, elle est malheureusement déjà exploitée depuis un temps indéfini. La brèche est en effet présente dans le kernel depuis neuf ans, ouvrant au pirate des droits supérieurs à ce qu’il aurait en temps normal.

La vulnérabilité réside dans la manière dont Linux gère la mémoire, plus particulièrement dans une méthode de duplication nommée « copy on write ». En temps normal, de nombreuses zones de la mémoire ne peuvent qu’être lues. Mais si la faille est exploitée, l’attaquant peut obtenir des droits supérieurs et y écrire.

Une brèche vieille de neuf ans

Cette faille, estampillée CVE-2016-5195, existe depuis neuf ans dans le kernel Linux. Liée au fonctionnement de la mémoire, elle se retrouve dans pratiquement toutes les distributions existantes et peut donc être visée sur de très nombreuses machines, clientes ou serveurs. Par ailleurs, les méthodes d’exploitation sont non seulement simples à écrire, mais la vulnérabilité est déjà exploitée activement.

Comme indiqué par Ars Technica, c’est le développeur Phil Oester qui a découvert l’attaque. Il a d’ailleurs ouvert un site dédié pour en expliquer certains aspects. Selon lui, son code d’exploitation, compilé avec GCC 4.8.5, n’a pas besoin de plus de cinq secondes pour obtenir les droits root sur une machine. Or, si l’attaque vise un serveur, les conséquences peuvent être démultipliées.

Une attaque qui peut être couplée avec d’autres

L’obtention des droits root permet en effet de débloquer à peu près n’importe quel scénario. Dans le cas d’un serveur, il peut par exemple insérer du code malveillant dans les pages, pour tenter d’exploiter des failles sur la machine de l’internaute, avec installation de malware à la clé.

La faille, comme d’autres brèches sérieuses avant elle, a en tout cas déjà son sobriquet : « Dirty Cow », « cow » faisant ici référence à « copy on write ». Intervenant sur le sujet, Linus Torvalds se souvient avoir déjà tenté de corriger ce qui n’était alors qu’un bug il y a 11 ans. Il admet cependant qu’il s’y était mal pris et que la correction avait dû être abandonnée à cause de problèmes sur la plateforme s390.

La plupart des distributions déjà mises à jour

Toutes les distributions ne sont en l’état pas forcément vulnérables à l’attaque, même si la faille n’y est pas encore corrigée. Chez Red Hat par exemple, les versions 5, 6 et 7 de RHEL sont considérées comme atteintes, mais le code d’exploitation ne fonctionne pas sur les deux premières moutures.

Dans tous les cas, la brèche a été officiellement colmatée il y a trois jours et la grande majorité des distributions proposent déjà des correctifs à télécharger. Il est donc chaudement recommandé de vérifier la présence de mises à jour et d’installer celles qui seront disponibles.

Source  nextinpact.com

Posted in Uncategorized | Tagué: | Commentaires fermés sur Une faille dans le kernel Linux vieille de 9 ans corrigée, mais déjà exploitée

L’April demande la création d’une commission d’enquête parlementaire concernant les relations entre l’État et Microsoft

Posted by CercLL sur 25 octobre 2016

L’émission Cash Investigation consacrée à l’Open Bar Microsoft/Défense, diffusée le 18 octobre 2016, a mis au jour de nouvelles révélations concernant les relations privilégiées entre Microsoft et l’État français. L’April va s’adresser aux parlementaires pour leur demander la création d’une commission d’enquête. Il est indispensable que toute la lumière soit faite sur les conditions de la signature du contrat « Open Bar » Microsoft/Défense et sur le périmètre exact de l’ « accord de sécurité » entre l’entreprise américaine et l’État.

Marc MosséLors de la diffusion de l’émission Cash Investigation, Marc Mossé, directeur des affaires publiques et juridiques de Microsoft France, a reconnu l’existence d’un « accord de sécurité » entre Microsoft et l’État français, sans donner aucun détail sur le périmètre de cet accord (lire notre transcription). Dans l’ère post-Snowden, il est essentiel que chacun puisse prendre connaissance de ce document.

L’enquête a souligné également que les décideurs du ministère de la Défense n’ont pas tenu compte des recommandations du groupe d’experts qu’ils ont eux-mêmes mandatés (voir les propos de Thierry Leblond, ingénieur général de l’armement, à partir de 46 minutes, propos confortés par des témoins masqués 1). Notre propre rappel chronologique sur la signature du contrat initial montrait que c’est le comité de pilotage, suite à une fiche écrite par son président Alain Dunaud, alors directeur adjoint de la DGSIC2, qui a permis la signature du contrat initial avec Microsoft. Et ce, en dénaturant les conclusions du groupe d’experts de la Défense mandatés par le comité de pilotage.

Arnaud CoustillièreDans la même émission (vers 1h 05 min) le vice-amiral Arnaud Coustillière, officier général à la cyberdéfense et qui a été membre du comité de pilotage chargé d’étudier la proposition d’accord « Open Bar » de Microsoft en 2007/2008, reconnaît qu’il ferait aujourd’hui le même choix. Il ajoute « Je m’en fous de ce débat-là. C’est un débat qui a plus de 4 ou 5 ans⁠ ce truc. Pour moi c’est un débat d’informaticiens, c’est un débat qui est dépassé » (lire la transcription de son interview). Éric Filiol, ex lieutenant-colonel de l’armée de terre, directeur du centre de recherche de l’ESIEA, a indiqué que les propos du vice-amiral relevaient de l’inconscience : « Le montage semble indiquer que ma réponse concernait son affirmation sur le fait qu’il prendrait la même décision si cela était à refaire. Dans ce cas, ce n’est pas de l’incompétence, mais de l’inconscience. Quoi qu’il en soit, je regrette que mes propos aient été sortis de ce contexte. » (extrait d’une interview publiée le 24 octobre 2016 « Windows est pour nous une boîte noire que connaît très bien la NSA ! »). Dans la même interview, Éric Filiol ajoute que « le choix a été avant tout politique. Les militaires obéissent aux politiques, on ne le rappellera jamais assez ».

Jean-Yves Le Drian, ministre de la Défense a refusé de répondre aux légitimes questions d’Élise Lucet, montrant un manque de courage politique et de respect pour sa fonction. Le ministre ne peut fuir ses responsabilités et devrait rendre compte devant le Parlement des décisions prises sur ce dossier, ainsi qu’Hervé Morin, ministre de la Défense lors de la signature du contrat initial en 2008. Les ministres devraient être accompagnés du vice-amiral Arnaud Coustillière, de l’ex Ingénieur Général de l’Armement Alain Dunaud ainsi que des membres du comité de pilotage et du groupe d’experts.

L’April demande donc la création d’une commission d’enquête parlementaire pour faire toute la lumière sur les conditions de signature du contrat « Open Bar » Microsoft/Défense, sur le périmètre exact entre l’« accord de sécurité » entre Microsoft et l’État et plus globalement sur les « relations particulières » entre Microsoft et l’État.

Une nécessité de transparence qui prend une importance particulière quand parallèlement à cet « Open Bar », le ministère de l’Éducation nationale offre les clefs des écoles publiques françaises au géant américain en recourant à un douteux « mécénat » combattu notamment par le collectif Édunathon. Des affaires sans corrélation directe, mais qui doivent interroger sur l’immixtion de Microsoft dans les plus hautes instances politiques de l’État français.

Au-delà des questions de sécurité et de souveraineté informatique il s’agit d’un enjeu de société majeur. Et non pas un simple « débat d’informaticiens » comme semble le penser Arnaud Coustillière.

Source april.org

 

bouton_web_soutien_88x31

Posted in Uncategorized | Tagué: , | Commentaires fermés sur L’April demande la création d’une commission d’enquête parlementaire concernant les relations entre l’État et Microsoft

 
%d blogueurs aiment cette page :