Triste semaine que voilà mon journal.
Depuis quelque jours, la nouvelle est tombé dans toute les oreilles: un bug dans vmsplice permet d'élever ses privilèges de simple mortel à Dieu tout puissant.
Le code malfaisant est comme d'habitude sur milw0rm ici => http://www.milw0rm.com/exploits/5092 et là => http://www.milw0rm.com/exploits/5093
Heureusement un patch on-the-fly du kernel est possible: => http://www.ping.uio.no/~mortehu/disable-vmsplice-if-exploita(...)
Le kernel est déjà patché et les distributions devraient incessament sous peu distribué de nouveaux kernel patchés.

http://it.slashdot.org/it/08/02/10/2011257.shtml

----
NdM : Victor Stinner rajoute
Deux exploits root locaux circulent sur Internet : Linux Kernel 2.6.17 - 2.6.24.1 vmsplice Local Root Exploit et Linux Kernel 2.6.23 - 2.6.24 vmsplice Local Root Exploit.

Ils exploitent un bug dans l'appel système vmsplice(). Le noyau 2.6.24.1 corrige partiellement le bug et la version 2.6.24.2 semble le corriger définitivement.

Plus d'informations :
* LKML: "Niki Denev": kernel 2.6.24.1 still vulnerable to the vmsplice local root exploit
* Gentoo : Gentoo Bug 209460 - kernel 2.6.17 - 2.6.24.1 splice: missing user pointer access verification (CVE-2008-{0009,0010})
* Ubuntu : Bug #190587 in linux (Ubuntu): “Local root exploit in kernel 2.6.17 - 2.6.24 (vmsplice)”
* Debian : #464953 - linux-2.6: mmap() local root exploit - Debian Bug report logs

Les patchs dans le noyau : splice: fix user pointer access in get_iovec_page_array() (2.6.24.2) et splice: missing user pointer access verification (CVE-2008-0009/10) (2.6.24.1).

Identifiants CVE : CVE-2008-0009 et CVE-2008-0010.

> Lire le journal (63 commentaires, moyenne: 2,6).

PCC est un compilateur C licencié sous BSD écris pendant les années 70.
Il serait 5 à 10 fois plus rapide que gcc et produirait des binaires suffisament optimisé.

Il a été importé [ http://undeadly.org/cgi?action=article&sid=2007091519520(...) ] dans OpenBSD [ http://marc.info/?l=openbsd-cvs&m=118988004013923&w=(...) ] et NetBSD [ http://mail-index.netbsd.org/pkgsrc-changes/2007/09/15/0009.(...) ].

Otto Moerbeek ayant nottament écris sur la mailling list de pcc

Of course the road is still long, but things really look promising

Serais-ce la fin du dernier gros morceau de code GPL chez les *BSD ?

> Lire le journal (116 commentaires, moyenne: 3).

Le communiqué de press traduit (à l'arache) en français (avec plein de fautes):

Freenet est a systéme "peer-to-peer" décentralisé conçut pour permettre l'echange d'informations anonymement sur Internet. Après des mois d'efforts, la premiére version alpha de Freenet 0.7 est prêt pour être tester publiquement.

Freenet 0.7 represente une nouvelle approche de la conception de systéme peer-to-peer. Pour proteger le réseau et l'anonymats des utilisateurs, les utilisateurs de Freenet ont désormais la possibilité de se connecter directement aux autres utilisateurs qu'ils connaissent ensemble ils forments un "global darknet" rendant tres difficile pour des entitée tierces, même si c'est un gouvernement ou une autre organisation puissante, de determiner si un utilisateur participe à Freenet quoiqu'il fassent contre lui. Cette nouvelle version est une réécriture compléte du logiciel Freenet et répresente une somme importante d'autres améliorations tels que:

Freenet communicate désormais en utilisant le protocole UDP au lieu de TCP

Freenet peut maintenant passer à travers les pare-feu nativement

L'architecture interne de Freenet et ses algorithme ont été revus pour etre plus simple et plus efficace

Une nouvelle et peut etre plus simple API permet un develloppement plus rapide d'application tierce capable d'interagir avec Freenet.

Le nouveau Freenet utilise un modéle de routage plus simple et plus fexible que la précedante version qui dans le futur autorisera diverse application allant d'une recherche trés efficace à la conversation instantanné en temps réel entre utilisateurs anonyme. Initialement Freenet 0.7 utilisera uniquement le modéle Darknet ce qui signifie que toute les communications seront sure. Néanmois les futures version permettrons d'avoir une approche hybride opennet/darknet où les utilisateurs pourra autoriser les communications non sure sur leur node ce qui améliora la connectivité et l'utilisabilité au depend de la securité.

Notez que cette version est encore une version alpha tres récente, les utilisateurs ne doivent pas esperer que cette version est sure ou facile d'utilisation L'objectif de cette release est au contraire de facilité le test en "grandeur nature", d'informer les gens des progrés que nous avons fait et attirer des devellopeurs talentueux pour Freenet lui-même et pour les applications tierces qui utiliseront freenet comme plateforme

Cette release n'aurait pas été possible sans le travail de généreux volontaire et le devellopeur à plein temps de freenet :Matthew Toseland Le travail de Matthew is financé par les donations via notre site web. Nous demandons à tous ceux qui veulent permettre à Matthew de garder son emplois de visiter notre page de donations et d'y faire une donation: http://freenetproject.org/index.php?page=donate

La nouvelle version de Freenet peut être télécharger à: http://freenetproject.org/index.php?page=download-new

Ce qui n'est pas dit dans l'annonce, c'est que Freenet 0.7 fonctionne desormais avec les certaine vm java libre récente !
Si on veut utiliser l'interface web, gij 4.1 est necessaire.
Si on ne veut que l'interface fcp, gij 4.0 marchouille.

D'après nextgens, un dévellopeur français, la version de dev de sablevm fonctionne aussi.
Si vous trouvez des bugs qui ne sont pas présent avec la vm de sun, merci de les signaler sur https://bugs.freenetproject.org/bug_report_advanced_page.php dans la catégorie freejvms .

ps: La version de Frost compatible freenet 0.7 est téléchargeable ici =>
http://downloads.freenetproject.org/alpha/frost/frost.tbz

> Lire le journal (11 commentaires, moyenne: 2,9).

Bonjour .

Grace à une faille d'Internet Explorer, un petit malin s'est amusé à faire une page qui se fait passer pour http://msie.microsoft.com(...) et qui propose mozilla 1.6 pour remplacer internet explorer .


Un petit screenshot :
=>http://thenico.fr.eu.org/site/inico/images/msie.microsoft.com.downl(...)


Qu'en pensez-vous ?

> Lire le journal (10 commentaires, moyenne: 1,4).