[libre] Libérez les failles de sécurité !

Évidemment, découvrir une faille de sécurité critique dans un logiciel ne fait jamais plaisir aux membres du projet fautif, forcés de publier une mise à jour à la hâte. Est-ce pour cela que l'on devrait passer l'événement sous silence ou minimiser ses conséquences ? Surtout quand cela concerne un logiciel libre vanté pour sa sécurité, en comparaison avec les solutions propriétaires ? C'est pourtant ce qui vient d'arriver récemment à Linux et OpenBSD.

Dans un message sur DailyDave, Brad Spengler (projet grsecurity) explique qu'une faille dans le noyau Linux a été silencieusement corrigée dans la version 2.6.17.7. Le Changelog ne mentionne que des "problèmes avec sys_tee()" ("fix problems with sys_tee()"), alors que Spengler indique qu'il a codé un exploit permettant l'exécution de code arbitraire en mode noyau grâce à cette faille le 10 août 2006 ! L'exploit en question permet d'avoir accès à un shell root local et désactive tous les modules de sécurité du noyau (genre SELinux), excusez du peu...

Dans le même genre, mais qui a certainement fait un peu plus de bruit, la faille IPv6 exploitable à distance dans OpenBSD. Le rapport qu'en donne la société CoreLabs, son découvreur, est très intéressant. On y apprend qu'au début, les responsables d'OpenBSD n'ont pas réellement pris au sérieux leur demande. OpenBSD considérait en fait qu'"il serait surprenant" ("it would be surprising") qu'une exécution de code arbitraire soit possible à cause de ça, en particulier parce que le code est situé "au fin fond" ("deep") du code et qu'aucun buffer utilisateur n'est concerné ("there is no user data in the mbuf header fields that become corrupted"). Sauf que pas de bol, une semaine plus tard, CoreLabs recontacte OpenBSD, en mettant en pièce jointe un exploit d'exécution arbitraire de code à distance. Mis devant le fait accompli, OpenBSD est bien obligé de reconnaitre qu'ils se sont faits ownés comme des bleus, et Theo de Raadt ne trouvera que "This means everyone should have our latest patches installed." à dire... Pour la petite histoire, la page d'accueil d'OpenBSD affiche maintenant "Only two remote holes in the default install, in more than 10 years!" ;)