Nouvelles hebdomadaires Debian - Courriel

De : Ben Collins <bcollins@DEBIAN.ORG>
Date : Mer. 10 jan. 2001 14 h 22 ' 22 " -0500
À : BUGTRAQ@SECURITYFOCUS.COM
Sujet : Re : Exploitation locale du superutilisateur dans glibc
Répondre-à : Ben Collins <bcollins@DEBIAN.ORG>

Le mer. 10 jan. 2001 à 12 h 06 '48 " -0700, Charles Stevenson a écrit :
> Salut à tous,
>   Cela a été envoyé sur les listes vuln-dev et debian-devel. Cela
> affecte glibc >= 2.1.9x et il semble que beaucoup des systèmes
> d'exploitation, si pas tous, utilisent ces versions de glibc. Ben
> Collins a écrit : « cela n'aurait pas dû se passer, et la rustine
> actuelle corrige une virgule manquante dans la liste des variables
> d'environnement de sécurité qui auraient dues être nettoyées quand
> un programme se lance en suid ou sgid (parmi lesquelles
> RESOLV_HOST_CONF) ». L'exploitation varie d'un système à l'autre,
> mais dans notre version de développement de Yellow Dog Linux, j'ai
> pu afficher le fichier /etc/shadow en tant qu'utilisateur normal
> de la manière suivante :
>
> export RESOLV_HOST_CONF=/etc/shadow
> ssh whatever.host.com
>
>   Les autres programmes produisent le même effet, en fonction des
> paramètres par défaut du système. Je l'ai testé sur Red Hat 7.0,
> Yellow Dog Linux 2.0 (prépublication), et Debian Woody. D'autres
> ont signalé des résultats similaires sur Slackware et même sur
> une distribution GNU/Linux faite à la main.

Juste une remarque. La dernière *publication* de Debian (2.2, surnommée
Potato) n'est pas vulnérable à ce problème, puisqu'elle utilise
glibc 2.1.3. Nos distributions de test et de développement (Woody et Sid)
non publiées sont vulnérables, du moins actuellement. Les paquets corrigés
vont être envoyés, et seront sûrement sur les miroirs dans 24 ou 48 heures.

N'attendez pas d'annonce de sécurité à ce propos sur Debian, comme nous ne
le faisons que pour les distributions publiées, ce que Woody et Sid ne sont
pas.

De plus, pour donner du crédit lorsque cela doit se faire, Jakub Jelinek
a produit une rustine qui corrige ce problème particulier. J'ai dit
principalement ce que je connais (dans la citation ci-dessus).

--
 -----------=======-=-======-=========-----------=====------------=-=------
/  Ben Collins   --   ...en voyage fantastique...   --  Debian GNU/Linux   \
`  bcollins@debian.org  --  bcollins@openldap.org  --  bcollins@linux.com  '
 `---=========------=======-------------=-=-----=-===-======-------=--=---'

De : Bdale Garbee <bdale@gag.com>
Date : Mer. 17 jan. 2001 03 h 11 ' 56 " -0700
À : debian-devel@lists.debian.org, debian-ia64@lists.debian.org
Sujet : Debian sur IA-64

J'ai l'honneur de vous signaler que le système IA-64 prêté par HP à Agilent
qui est en ma possession tourne désormais sous Debian GNU/Linux en mode
natif. J'ai reçu cette machine il y a quelques semaines « pour une
évaluation » sans système d'exploitation chargé, et comme ce que je voulais
évaluer était Debian...

Cela aurait été bien plus difficile sans l'aide que j'ai reçue de Randolph
Chung. Il m'a encouragé alors que je me battais pour faire marcher ensemble
le matériel avec la version du BIOS, créé l'environnement chrooté sous
TurboLinux que nous avons utilisé pour faire le travail de préparation
du démarrage, et aidé à compiler les quelques paquets avec lesquels j'avais
des difficultés.

Je voudrais également remercier Ben Collins et Brendan O'Dea pour avoir
été sur IRC toujours au bon moment pour m'aider à me débarrasser de la
compilation de glibc et des paquets Perl. Leur patience et leur
enthousiasme m'ont aidé !

Actuellement, je démarre sur un système de fichier à 100 % sous Debian,
et je finalise les dernières choses pour « commencer » à compiler
les paquets qui pourront être envoyés. J'ai demandé la création d'une
branche binary-ia64, et j'espère l'avoir bientôt. L'envoi des paquets
devrait commencer dans le courant de la semaine prochaine. Il semble
tout à fait possible que IA-64 rejoigne l'ensemble des architectures
supportées pour Woody, mais il reste encore beaucoup de travail à
effectuer !

Avant de faire passer l'ensemble fonctionnant dans un environnement chrooté
à un vrai système de fichier Debian, nous avons compilé plus de 600 .deb,
parmi lesquels toutes les dépendances du paquet des disquettes de
démarrage. Il y a quelques bidouilles horribles qui devront être
examinées, et une série d'erreurs internes du compilateur qui se répètent
dans la version de prépublication du compilateur que nous utilisons, mais
je ne m'attends pas à ce que cela prenne du temps avant d'avoir un nombre
suffisant de paquets compilés et envoyés dans l'archive.

Je comprends qu'il y a eu des progrès pour obtenir un système IA-64 apte
à une utilisation générale par les développeurs Debian. J'espère qu'il y
aura bientôt une annonce pour cela. En même temps, je ne suis *pas*
capable de fournir des comptes pour tout le monde sur cette machine.

Bdale

Pour recevoir cette gazette chaque semaine dans votre boîte à lettres, abonnez-vous à la liste de diffusion debian-news pour la version anglaise ou à la liste de diffusion debian-news-french pour la version française.

Les dernières parutions de cette gazette sont disponibles.

Ce numéro de la Debian Weekly News a été édité par Joey Hess.
Il a été traduit par Thomas Huriaux.