Une vulnérabilité vient d'être trouvé dans l'utilitaire sudo. Elle est présente dans la fonction sudo_debug où un appelle à getprogname() est effectué. Or le nom de l’exécutable étant contrôlé par l'utilisateur, on peut induire un comportement non voulu.
Les versions concernées sont les versions 1.8.0 à 1.8.3p1. La version 1.8.3p2 corrige la faille.
Plus de détails ici : http://seclists.org/fulldisclosure/2012/Jan/att-590/advisory_sudo.txt
# Vulnérabilité
Posté par Obsidian . Évalué à 4.
D'un autre côté, j'ai tendance à penser que sudo est une vulnérabilité en soi. Mais le remplacer par quoi ? Mystère.
[^] # Re: Vulnérabilité
Posté par zebra3 . Évalué à 1.
Polkit ? Un pkexec bien configuré peut remplir le rôle de sudo.
Par contre, faut aimer le xml.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Vulnérabilité
Posté par BFG . Évalué à 10.
PolicyKit n'a jamais rien apporté par rapport à sudo, à part le XML, le NIH et la lourdeur. PolicyKit est à sudo ce que Java est à C.
[^] # Re: Vulnérabilité
Posté par 🚲 Tanguy Ortolo (site web personnel) . Évalué à 3.
Euh, si, PK ça permet de définir des politiques fines, du genre : autorisé pour les gens connectés sur une console locale.
[^] # Re: Vulnérabilité
Posté par claudex . Évalué à 1.
Et aussi des actions plus ciblées (tu autorise les gens à redémarré l'ordinateur, pas à l'arrêter, tu autorises le démontage des disques externe mais pas ceux internes…)
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Vulnérabilité
Posté par zebra3 . Évalué à -1.
Et alors ? Ce n'est pas parce qu'il n'a rien apporté qu'il est moins bien.
Et puis quand on voit que même sudo a des vulnérabilités, on est bien content d'avoir des alternatives.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Vulnérabilité
Posté par zebra3 . Évalué à -1.
J'aimerais bien qu'on m'explique pourquoi je me fais moinssé sans explication, alors que je n'ai rien écrit de particulièrement choquant.
Je croyais que le logiciel libre permettait la saine concurrence mais apparemment pas dès qu'on se permet de proposer autre chose que le sacro-saint sudo.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Vulnérabilité
Posté par Alex . Évalué à 3.
tu tes trompé de site, tu voulais surement poster sur bonnefoifr.org, pas sur trollfr
[^] # Re: Vulnérabilité
Posté par claudex . Évalué à 3.
Parce qu'il est interdit de dire du bien de Policy Kit qui ne peut exister que pour de mauvaises raisons.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Vulnérabilité
Posté par zebra3 . Évalué à 3.
Je crois que c'est généralisable à tout ce qui vient de GNOME ou de Lennart Poettering.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Vulnérabilité
Posté par Anonyme . Évalué à 4.
Parce que c’est très fort dire une énormité comme celle là :
Surtout que Polkit doit (entre autres choses) :
[^] # Re: Vulnérabilité
Posté par claudex . Évalué à -2.
Parle pour toi, je trouve ça relativement clair.
Parce que parser un fichier qui est tellement simple qu'il commence par :
parait tellement plus sécurisé.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Vulnérabilité
Posté par neerd . Évalué à 2.
Je pense que tu n'as pas complètement compris le pourquoi de l'existence de visudo ...
[^] # Re: Vulnérabilité
Posté par claudex . Évalué à -1.
Si, mais je ne vois pas en quoi c'est plus simple que du xml.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Vulnérabilité
Posté par zebra3 . Évalué à 1.
man polkit
Apparemment pas moins que ce que fait sudo.
Encore une fois, je ne critique pas sudo. J'aimerais juste qu'on m'explique en quoi il est forcément mieux, mais avec d'autre arguments que « leXMLçapue » et « sudoçaimieu ».
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Vulnérabilité
Posté par etenil . Évalué à 2.
Groupes et ACL et un système de sécurité type SELinux?
[^] # Re: Vulnérabilité
Posté par Kaane . Évalué à 3.
Mais le remplacer par quoi ? Mystère.
Des ACL bien léchées et un poil de sécurité noyeau.
Mais déjà avec des ACL on fait 95% du boulot. Le plus chiant c'est de transformer les install de base qui executent les daemon avec les droits root par défaut (alors qu'il y en a rarement vraiment besoin)
[^] # Re: Vulnérabilité
Posté par Thierry Thomas (site web personnel, Mastodon) . Évalué à 2.
Calife
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.