Un nouveau root exploit est apparu mardi et concerne les noyaux Linux de 2.6.38 à 3.8.8 ayant CONFIG_PERF_EVENTS activé.

Tapez la commande suivante pour savoir si vous êtes impacté :
zgrep CONFIG_PERF_EVENTS /proc/config.gz

Si zgrep répond cette ligne, vous êtes impacté.
CONFIG_PERF_EVENTS=y

Le patch existe depuis plusieurs semaines mais n'a pas été forcement intégré dans toutes les distributions - cherchez le code CVE-2013-2094 dans les derniers security advisory.

La Debian Wheezy a été patchée ce matin (je mets le lien vers le mail de la liste de diffusion « security » car je ne trouve pas l'annonce de sécurité debian sur le site).

Pour ceux qui ne peuvent pas patcher immédiatement leur noyau, il faut suivre le lien vers l'outil de suivi de bug de redhat qui propose plusieurs solutions temporaires plus ou moins efficaces.

Une importante faille de sécurité a été mise en évidence ce week-end sur l'ensemble des noyaux Linux 2.6 récents (2.6.17-2.6.24.1). Elle permet à un utilisateur local d'obtenir les priviléges root. Le code d'exploitation est disponible publiquement depuis la fin du week-end.
Une mise à jour rapide du noyau Linux est donc nécessaire.
Le dernier noyau en date (2.6.24.2) règle définitivement le problème. Certaines distributions ont déjà rétropropagé le correctif. Les autres distributions ne devraient pas tarder.
Si vous utilisez un serveur dédié, pensez à regarder les forums de votre hébergeur pour obtenir la marche à suivre pour la mise à jour. Un lien sur le fil de discussion correspondant au sujet chez OVH a été mis en lien ci dessous, avec la marche à suivre pour leurs serveurs dédiés.
Les noyaux durcis (Grsec) sont affectés.

NdM: Merci à inico et à Victor Stinner pour leurs journaux sur le sujet.

Comme prévu, le kit Linux est disponible sur le site ci dessus. Le prix est de 249€ (voir 297€, il y a plusieurs prix en euro).

Tous à vos cartes bleues...

PS: Le kit est prévu pour les développeurs et pour ceux ayant une bonne connaissance de Linux. Lisez bien la faq avant d'acheter le Kit.

Voilà les news de la semaine.

Suite aux suggestions de la semaine dernière, le fichier est désormais en HTML.

Voici les news Debian, traduites par Stephane, revisées par l'équipe de traduction francaise, de la semaine.

Bonne lecture.

PS: vous trouverez en lien ci dessous la version anglaise.

Le traducteur officiel (Jean Christophe Helary) ayant une montagne de travail, la traduction de la DWN en français s'était arretée, mais Stephane Jourdois a proposé une traduction sur debian-french (après discussion privée entre JC et plusieurs autres personnes).

C'est cette traduction que je vous propose aujourd'hui en attachement :).

Désolé pour le retard ;)

Voir les commentaires pour les traductions complètes.

--
Nouvelle liste du Linux Standart Base.

Mark Johnson a annoncé la création d'une liste pour discuter de la spécification XML/SGML du projet LSB. Cette liste n'est pas spécifique à Debian mais peut interesser ceux qui utilisent DocBook et XML/SGML sur Debian. N'oubliez pas la liste officielle debian-sgml pour les questions relatives a sgml dans Debian.
--
Installeur Debian pour Nubus Powermacs.

Stephen Waters nous a envoyé l'annonce suivante:

"Avec l'arrivée bénite du support pour disquette SWIM-3, le travail peut se poursuivre pour une installation disquette sur Powermacs Nubus. Toute aide est appreciée pour les tests, surtout venant des personnes qui sont particulierement habiles a adapter (reverse engineer) les procédures de boot sur du matériel différent."
--
Vous-êtes vous déjà senti espionne ?

Vous voulez savoir si vos ports sont scannés ? Rudy Gevaert a demande à la liste debian-security comment détecter des scanneurs de port et a obtenu pas mal de réponses avec de nombreuses suggestions.
--
Fragilité des serveurs ftp au file globbing.

Andres Herrera fait remarquer que la version de ProFTPD dans stable est vulnérable aux attaques DoS décrites dans cet avertissement du CERT. D'aprés le site de ProFTPD la version 1.2.2rc2 n'est pas concernée par cette vulnerabilité.
avertissement du CERT:cf lien
--
Autoconf 2.50 est sorti.

La sortie a occasionné pas mal de discussions sur debian-devel. Autoconf est utilisé pour créer des scripts servant à configurer les paquets de code source. Ces scripts vérifient les caractéristiques de la plateforme pour aider à la compilation et pour s'assurer que toutes les dépendances sont respectées. Autoconf est principalement utilisé par les développeurs ou pour effectuer de profondes modifications dans un programme. Si vous vous mettez à la nouvelle version, certains scripts écrits pour Autoconf 2.13 peuvent ne plus fonctionner. Les utilisateurs de Autoconf seraient avisés de participer aux discussions sur debian-devel.
--
Comment empaqueter des thèmes ?

Ben Burton se demande sur debian-devel comment empaqueter les thèmes de window manager ? Est-ce que chaque thème devrait avoir son paquet ? Est-ce que les thèmes pour un meme window manager devraient etre empaquetés ensemble ? Aucune conclusion n'a encore ete tirée, peut-être cette question devrait être traitée en tant que politique Debian ?
--
Nouveaux paquets cette semaine:

# grunch, un paquet qui fond en une image des scans partiels de celle-ci.
http://packages.debian.org/unstable/graphics/grunch.html

# ipmenu, un programme base sur ncurses pour configurer iptables, iproute3 et QoS sans utiliser la ligne de commande, ce qui est complexe même pour des utilisateurs experimentes.
http://packages.debian.org/unstable/net/ipmenu.html

# maradns, un serveur DNS simple qui met la sécurite en priorite.
http://packages.debian.org/unstable/net/maradns.html

# mpgtx, un outil pour manipuler des fichiers MPEG audio et video.
http://packages.debian.org/unstable/sound/mpgtx.html

# crimson, un wargame tactique sur hexagone pas très différent de Battle Isle(TM)
http://packages.debian.org/unstable/games/crimson.html

--
N'hesitez pas a nous envoyer commentaires, suggestions etc. dwn\@debian.org

Traduction: Jean-Christophe Helary. Merci a lui :)
Micro-corrections: Votre serviteur :)

L'équipe DWN a recu une montagne d'email qui se félicitaient du retour des news Debian. Merci pour eux :). Ils tiennent à remercier Joey Hess pour l'aide considérable qu'il leur a apporté.

Les boot floppies fonctionnent. Santiago Garcia Mantinan a reussi une installation complète de la woody avec les nouvelles boot floppies, avec quelques modification de son cru. A priori, la freeze de woody commencera en Juin.

Pourquoi s'embeter avec les boot floppies? Certains se demandent pourquoi on continue de se casser la tete avec les boot floppies alors qu'on peut desormais booter d'un CD Rom. Le demmarage avec les boot floppies est historique, mais de plus en plus de gens utilise désormais un CD Rom ou le réseau pour installer la Debian, d'ou cette interogation sur la nécessité de faire les boot floppies.

Proposition pour la gestion des taches. (Was "Tasks policy proposal")
(NDT: je ne connais pas le fonctionnement des packages task-* de la woody. Je ne traduis pas ce passage, je ne suis pas sur de le comprendre.)

Phases séparées. Glenn McGrath a proposé la séparation des phases de préparation des phases d'installation de l'installateur Debian. Le projet "Debian installer" sera utilisé dans la Debian après woody. C'est une nouvelle approche de l'installation, sachant que les boot floppies disparaitront dans cette version.

Alertes securité. Certains packages ont été mis a jour. Si vous utilisez Zope, mandb, gftp ou Samba, pensez a apt-get update ;).

Jbuilder 4 sur Debian/PPC. Franck Routier a écrit une documentation pour le fonctionnement de Jbuilder 4 sur PPC (voir 2eme lien)

Liste des packages pour la 2.2r4: voir 3eme lien

Nouveau packages: IDS filesystem checker fcheck, Java VM japhar, XFS filesystem support kernel-patch-xfs, serpento dict server et vcr, un logiciel de capture video.

Une suggestion? voir le 4eme lien.(NDT: De la même facon, si vous trouvez ma traduction pourrie, n'hesitez pas a me mailler)

Comme l'explique la nouvelle équipe, Joey Hess n'avait plus le temps de gérer la DWN, mais certains ne voulaient pas voir s'éteindre ces news, et ont repris le flambeau, avec l'accord de Joey.

Depuis la dernière parution de ces news, la version 2.2r3 de la Debian est sortie, et corrige pas mal de bugs de sécurité (NDT: notamment l'actualisation en noyau 2.2.19: Updatez!)

Le travail sur les boot-floopies avance doucement, notamment à cause de slang et d'utf8. On cherche encore des développeurs pour que ça avance plus vite...

Plusieurs flames sur debian-devel, à propos de ALL:PARANOID dans host.deny en configuration par défaut, et dans le système de package du kernel.

CSS: l'intégrer ou ne pas l'intégrer. Cela pose plusieurs problèmes, notamment au niveau légal. La discution a dérivé sur l'intérêt de mettre les logiciels "crypto" dans main.

dpkg 1.9 est sorti, il corrige de nombreux bugs et permet d'utiliser des paquets signés.

Je mets en deuxième lien le mail de la DWN, si vous voulez les encourager. Merci de ne pas les contacter pour se plaindre de ma traduction pourrie.

Note du modérateur: je rajoute en commentaire les 2 autres nouvelles proposées à ce sujet.