URL: https://linuxfr.org/news/quoi-de-neuf-cote-linuxfr-org Title: Quoi de neuf côté LinuxFr.org Authors: Benoît Sibaud ZeroHeure, patrick_g et Nils Ratusznik Date: 2015年06月04日T09:54:01+02:00 License: CC By-SA Tags: dlfp, moteur_de_recherche, administration_système, heartbleed, shellshock, rmll et elasticsearch Score: 85 La dernière dépêche de cette catégorie LinuxFr.org qui ne soit pas une dépêche récurrente type « Les meilleurs journaux du mois » ou « Les prix du mois » ou « Les statistiques de l'année » remonte à [mai 2014](//linuxfr.org/news/mise-a-jour-du-serveur-principal-gruik-de-linuxfr-org) pour une mise à jour du serveur. Voici donc, à l'aube de l'été, quelques actualités de type « en coulisses ». ---- ---- ## Suppression du spam dans les contenus et commentaires Il est possible que beaucoup d'entre vous ne le remarque jamais ou rarement, mais l'équipe de modération supprime très régulièrement du spam dans les contenus et commentaires. Certains se donnent du mal pour ennuyer les autres, que cela passe par des bots créant des comptes et postant des contenus générés automatiquement, des humains payés pour faire la chose manuellement et des pénibles en SEO venant établir des liens vers leurs sites. ## Mises à jour de sécurité suite aux différentes failles Une autre partie de l'activité récurrente concerne les mises à jour de serveur, et en particulier celles suite aux diverses failles touchant la cryptographie (Heartbleed, POODLE, BEAST, etc.) ou même le reste (Shellshock). Bref, il y a régulièrement de l'apt dans l'air pour les mises à jour, et aussi des configurations à revoir pour supprimer des protocoles ou des algorithmes de crypto obsolètes par exemple. Dans la catégorie mise à jour, on peut aussi citer le passage en Jessie du serveur zobe (non critique) courant mai, qui s'est bien déroulée jusqu'au redémarrage. Il est pour l'instant indisponible jusqu'à une prochaine intervention au datacenter. ## Faille ElasticSearch sur juin/juillet 2014 Le texte qui suit a été écrit en août 2014, mais n'avait pas été publié jusqu'ici. Début juin 2014 (*), les deux serveurs web de test et de production du site LinuxFr.org ont été victime d'une attaque, ayant permis l'exécution de processus arbitraires par un compte non privilégié. Plusieurs tentatives d'élévation de privilèges ont eu lieu, sans succès, et le compte concerné n'a pas eu accès aux données utilisateur du site. Seuls deux containeurs LXC sont concernés et l'attaque n'a touché ni les autres conteneurs, ni les deux serveurs physiques. Les conteneurs attaqués ont malheureusement été utilisés pour un déni de service. Le service concerné (elasticsearch, utilisé pour le moteur de recherche interne du site, dans une configuration non sécurisée) a été arrêté dès l'identification du problème de sécurité. (*) pour autant que l'on puisse être sûr dans ce genre de circonstances. L'erreur de configuration vient de la fonction de scripts dynamiques, ouverte par défaut (voir [Scripting and Security](http://www.elasticsearch.org/blog/scripting-security/) le 9 juillet 2014, précédemment sur [Scripting](http://www.elasticsearch.org/guide/en/elasticsearch/reference/current/modules-scripting.html)). Cette intrusion est arrivée au pire moment possible (loi de Murphy) : un admin dans les cartons d'un déménagement et sans accès internet correct, un autre en vacances hors ligne, un autre en surchauffe, etc. le tout autour du pont du 14 juillet (ce qui a laissé perduré le premier diagnostic d'un simple problème réseau), dans la torpeur estivale post-RMLL. Une analyse post-mortem a été faite par précaution, avec une comparaison de deux fois 75 Go de sauvegardes et une comparaison avec une réinstallation. La fonctionnalité de recherche interne n'a cependant pas été remise en service. Liens : * [Lecture suggérée de configuration ES](https://www.found.no/foundation/elasticsearch-security/) * [Retour d'expérience sécurité sur 11 ans de LinuxFr.org lors des RMLL 2009](//linuxfr.org/news/retour-dexp%C3%A9rience-s%C3%A9curit%C3%A9-sur-11-ans-de-linuxfrorg) * [Elasticsearch dynamic scripting vulnerability exploit](http://www.vanimpe.eu/2014/07/09/elasticsearch-vulnerability-exploit/) * [Insecure default in Elasticsearch enables remote code execution (15/05/2014)](http://bouk.co/blog/elasticsearch-rce/) * [Attackers install DDoS bots on Amazon cloud, exploiting Elasticsearch weakness (28/07/2014)](http://www.pcworld.com/article/2458740/attackers-install-ddos-bots-on-amazon-cloud-exploiting-elasticsearch-weakness.html) * [CVE-2014-3120 Arbitrary Java Code Execution Vulnerability](http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2014-3120) * [Exploiting Elasticsearch](http://www.505forensics.com/exploiting-elasticsearch/) * [Une faille d'Elasticsearch permet à des hackers d'installer des bots DDoS sur Amazon EC2](http://www.lemondeinformatique.fr/actualites/lire-une-faille-d-elasticsearch-permet-a-des-hackers-d-installer-des-bots-ddos-sur-amazon-ec2-58195.html) Chronologie reconstituée : * Lundi 09/06 plus ancienne trace connue d'une intrusion * Jeudi 10/07 premières lenteurs constatées * Vendredi 11/07 10:18 [entrée de suivi parlant de lenteur](//linuxfr.org/suivi/lenteurs-et-problemes-d-acces), la charge était alors normale * Samedi 12/07 12:00 premières identifications de pertes de paquets dans l'entrée de suivi * Samedi 12/07 12:20 courriel d'un admin à team@ parlant de pertes de paquets depuis 2 ou 3 jours * Samedi 12/07 12:50 un modérateur parle de ralentissements depuis hier, sur la tribune de modération * Samedi 12/07 13:34 demande au NOC Free.org. Multiplication des signalements de lenteurs/pertes de paquets * Lundi 14/07 (fête nationale française) 14:03 [nouvelle entrée de suivi sur un ralentissement du site](//linuxfr.org/suivi/linuxfr-ralentissement) * Mardi 15/07 : réponse du NOC Free.org avec courbes de trafic à 120k paquets/s et 85 Mbit/s * élimination des processus suspects (dont un nommé "[FreeBSD]", avec les crochets façon noyau) * constats de flood depuis alpha et prod, via ElasticSearch (fonction et compte désactivés le temps du post-mortem) et retour au calme niveau réseau * Mardi 15/07 21:58 [entrée de suivi sur la recherche interne en erreur](//linuxfr.org/suivi/la-recherche-retourne-systematiquement-une-erreur) * Jeudi 17/07 [journal virulent](//linuxfr.org/users/papatte3/journaux/de-l-approche-ultra-legere-de-la-securite-sur-linuxfr) * Lundi 21/07 [entrée de suivi sur la recherche interne en erreur](//linuxfr.org/suivi/page-d-erreur-lors-de-la-recherche-d-un-terme) * Lundi 28/07 [entrée de suivi sur la recherche interne en erreur](//linuxfr.org/suivi/rediriger-la-recherche-provisoirement-sur-duckduckgo) * Samedi 09/08 entrées de suivi sur la recherche interne en erreur [1](//linuxfr.org/suivi/bug-barre-de-recherche) et [2](//linuxfr.org/suivi/recherches-sur-le-site) * Dimanche 10/08 [entrées de suivi sur la recherche interne en erreur](//linuxfr.org/suivi/recherche-ne-fonctionne-pas) Quelques traces laissées : ``` /tmp/linux64 (binaire 64 bits statique, DDOS/amplification trojan) MD5SUM a4eecf76f4c90fb8065800d4cad391df SHA1SUMee6e21332b77fd5ff45e6dd84c0ab670b09c47d7 Modify (alpha): 2014年06月16日 18:50:24.000000000 +0200 Change (alpha): 2014年07月01日 00:04:19.212510027 +0200 Modify (prod): 2014年06月16日 18:50:24.000000000 +0200 Change (prod): 2014年07月01日 02:31:31.368760889 +0200 Changt (prod, version précédente) : 2014年06月28日 15:53:43.477456943 +0200 Changt (alpha, version précédente): 2014年06月28日 15:53:07.431067208 +0200 /tmp/linux64.1 (le même sans les droits d'exécution) Modify (alpha,prod): 2014年06月16日 18:50:24.000000000 +0200 Change (alpha): 2014年07月01日 00:04:13.784431599 +0200 Change (prod): 2014年07月01日 02:31:26.332687560 +0200 /tmp/2618.c (code d'exploit) SHA1SUM3b9ebf99ec0c331a4f98f46f7724d42b287ee0c9 MD5SUM aa0a0fea5d681acca154a37125252db9 Modify (alpha,prod): 2014年07月08日 18:20:21.000000000 +0200 Change (alpha): 2014年07月09日 03:54:48.727879711 +0200 Change (prod): 2014年07月09日 03:54:52.427932224 +0200 /tmp/zero.pl (script perl pour avoir un shell via le réseau) SHA1SUM 7d77d06d1e3d9ce7aed43e6d5a7a75f9af310daa MD5SUM c3fd28831d9fc683000273643b5bef12 Modify: 2014年07月05日 23:41:31.000000000 +0200 Change (alpha): 2014年07月09日 03:54:46.831852803 +0200 Change (prod): 2014年07月09日 03:54:54.695964414 +0200 /tmp/32.out (exploit 64 bits statique, connu comme Unix.Exploit.Fsheep) SHA1SUM 0e76f4c72295fe851b775dac8c49ec53108f1df6 MD5SUM ff1e9d1fc459dd83333fd94dbe36229a Modify (alpha,prod): 2014年07月08日 15:04:42.000000000 +0200 Change (alpha): 2014年07月09日 03:55:51.760774344 +0200 Change (prod): 2014年07月09日 03:55:22.968365680 +0200 /tmp/12.txt (contient "1233", présent depuis le 23 mai dans des exploits sur des sites asiatiques) SHA1SUM 416f8f6e105370e7b9d0fd983141f00b613477f8 MD5SUM e034fb6b66aacc1d48f445ddfb08da98 Modify (alpha): 2014年07月12日 02:30:42.084255080 +0200 Chang (alpha): 2014年07月12日 02:30:42.084255080 +0200 Modify (prod): 2014年07月12日 00:55:14.060062158 +0200 Change (prod): 2014年07月12日 00:55:14.060062158 +0200 Modif. (prod, version précédente): 2014年06月07日 10:34:30.280153412 +0200 Changt (prod, version précédente): 2014年06月09日 20:03:34.372893780 +0200 Modif. (alpha, version précédente) : 2014年06月07日 20:15:05.675547255 +0200 Changt (alpha, version précédente) : 2014年06月09日 20:00:16.113258887 +0200 /tmp/bins (identique à zero.pl) Modify (alpha,prod): 2014年07月05日 23:41:31.000000000 +0200 Change (alpha): 2014年07月11日 13:47:50.492585215 +0200 Change (prod): 2014年07月12日 05:53:16.175681015 +0200 /tmp/mempodipper.c (fichier vide) SHA1SUM 271a0a0e06d67f285fdc4d5c7e535255ead28880 MD5SUM 4206e8b780cf3758baa76b1002e61792 Modify (alpha): 2014年07月11日 13:47:59.220714584 +0200 Change (alpha): 2014年07月11日 13:47:59.220714584 +0200 Modify (prod): 2014年07月12日 05:53:19.935737099 +0200 Change (prod): 2014年07月12日 05:53:19.935737099 +0200 /tmp/2618 (prod seulement; exploit 32 bits, a priori non issu du .c à côté) MD5SUM 17b2ee66918319a3ac9435aef7c5e2dc SHA1SUM 3942d8cf47800e3595194cdaf6b645fc6c8c8e71 Modify (prod): 2013年03月31日 21:25:08.000000000 +0200 Change (prod): 2014年07月12日 05:53:24.559806071 +0200 /tmp/269 (prod seulement, exploit 32 bits) MD5SUM a3e718751e600c4e8503ac6836b84aba SHA1SUM ec22fac0510d0dc2c29d56c55ff7135239b0aeee Modify (prod): 2014年07月11日 16:50:42.000000000 +0200 Change (prod): 2014年07月12日 05:53:25.067813648 +0200 /tmp/2632 (prod seulement; exploit 32 bits) MD5SUM 29f8b6e0ed968e0bf32a24835a7b386f SHA1SUM 5faf7d6c41e79c20e1551588c74df9bf72293c12 Modify (prod): 2014年07月11日 16:50:22.000000000 +0200 Change (prod): 2014年07月12日 05:53:25.715823314 +0200 /tmp/.Linux_time_y_2015 (exploit 32 bits) Modify (alpha): 2014年07月11日 13:48:14.292937981 +0200 Change (alpha): 2014年07月11日 13:48:14.292937981 +0200 Modify (prod): 2014年07月12日 05:53:38.992021336 +0200 Change (prod): 2014年07月12日 05:53:38.992021336 +0200 ``` ## Gestion d'une plainte pour harcèlement et usurpation d'identité Le site LinuxFr.org a été utilisé (parmi d'autres, dont tous les sites de réseaux sociaux, de diffusion de vidéos, Wikipédia ainsi que plusieurs hébergeurs web gratuits) par une personne menant visiblement une campagne de harcèlement en ligne tendance « _revenge porn_ ». Une plainte ayant été déposée pour harcèlement et usurpation d'identité, nous avons échangé par téléphone et courriel avec les autorités compétentes et avons fourni les informations en notre possession. C'est le premier cas dans l'histoire du site (et de l'association LinuxFr) où nous sommes concernés par une plainte formelle (même si ici nous ne sommes pas directement concernés mais simplement un « _service de communication au public en ligne édité à titre non professionnel au sens de l'article 6, III, 2° de la loi 2004-575 du 21 juin 2004._ »). Jusqu'ici, le seul cas nous concernant directement et présentant un aspect formel est la [mise en demeure de mai 2013](//linuxfr.org/news/mise-en-demeure-suite-et-fin). ## Stand LinuxFr.org aux RMLL 2015 Beauvais LinuxFr.org aura un stand aux RMLL 2015 à Beauvais. Cela sera l'occasion de venir discuter avec des membres de l'équipe, voire de signer des clés GPG ou d'obtenir des accréditations CAcert. ## Changement de certificat X.509 et d'autorité de certification Le certificat utilisé par LinuxFr.org arrive à échéance dans le 5 juin 2015. Nous utilisions jusqu'ici l'autorité de certification communautaire CAcert. Suite aux [retraits des certificats racine des distributions libres](//linuxfr.org/suivi/changer-d-autorite-de-certification), l'assemblée générale de l'association LinuxFr du 6 mai 2015 a décidé d'opter pour une autre autorité de certification (la société Gandi). Les différentes pages d'aide sur X.509/SSL/TLS ont été mises à jour ([1](//linuxfr.org/aide#aide-certificatssl), [2](//linuxfr.org/aide#aide-autrecertificatssl) et [3](//linuxfr.org/aide#aide-imgcertificatssl)).

AltStyle によって変換されたページ (->オリジナル) /