mais cela ne change rien au fait qu'un bug de securité, c'est à dire un bug qui est exploitable hein sinon c'est pas un problème de sécurité
Et c'est là ou ça devient subtil. "qui est exploitable", peux tu me définir cette notion?
Parceque typiquement, aujourd'hui qu'est ce qui te permet de dire qu'un bug va être exploitable ou pas? Genre un overflow quelconque. Souvent, c'est "bah ça dépend, on sait pas trop, à priori y'a des défenses, ou ptet le compilo qu'a sanitizé l'array, mais faut voir, et y'a de l'aslr donc si y'a pas de leak ça devrait être inexploitable, sauf si etc etc...". J'ai vu des vulns totalement inexploitables (le compilo qui ajoute un abort() si tu débordes), du coup, on dit que c'est pas un bug de sécurité puisqu'inexploitable? mais du coup, faut tagger la vuln en sécu ou pas? Et si quelqu'un compile différemment?
J'ai déjà vu pas mal de bulletins microsoft qui t'annoncent un bug avec exploitability index très bas, en mode, "balek frr, va pas arrêter ta prod pour ça, c'est clairement inexploitable" puis 15j après un sploit public sort, et là "oulala, patchez vite, on remonte l'index".
quelque chose qui doit être clairement marqué, histoire que les gens puissent évaluer si cela les concerne, si ils doivent patcher vite, etc...
si on reprend l'idée des caméras USB, ouais t'as intérêt d'être vite mis au courant, mais c'est être mis au courant des bugs au sens large.
[^] # Re: N'importe quoi...
Posté par octane . En réponse au journal L'entreprise est-elle responsable des fuites de données dans le cadre du télétravail ?. Évalué à 3.
Et c'est là ou ça devient subtil. "qui est exploitable", peux tu me définir cette notion?
Parceque typiquement, aujourd'hui qu'est ce qui te permet de dire qu'un bug va être exploitable ou pas? Genre un overflow quelconque. Souvent, c'est "bah ça dépend, on sait pas trop, à priori y'a des défenses, ou ptet le compilo qu'a sanitizé l'array, mais faut voir, et y'a de l'aslr donc si y'a pas de leak ça devrait être inexploitable, sauf si etc etc...". J'ai vu des vulns totalement inexploitables (le compilo qui ajoute un abort() si tu débordes), du coup, on dit que c'est pas un bug de sécurité puisqu'inexploitable? mais du coup, faut tagger la vuln en sécu ou pas? Et si quelqu'un compile différemment?
J'ai déjà vu pas mal de bulletins microsoft qui t'annoncent un bug avec exploitability index très bas, en mode, "balek frr, va pas arrêter ta prod pour ça, c'est clairement inexploitable" puis 15j après un sploit public sort, et là "oulala, patchez vite, on remonte l'index".
si on reprend l'idée des caméras USB, ouais t'as intérêt d'être vite mis au courant, mais c'est être mis au courant des bugs au sens large.