Quoi ! NuFW troué ? INL, société éditrice de NuFW, a choisi la transparence : les bugs corrigés pouvant affecter la sécurité sont marqués « correctif de sécurité ». Voici l'ensemble des bulletins de sécurité depuis la naissance du projet (~5 ans) :
Seul un bug est exploitable : celui qui permet d'outrepasser les règles de filtrage basées sur le temps. Il faut comprendre ce que ça implique : si on bloque les connexions entre 22h et 5h, et bien un utilisateur pourra quand même se connecter la nuit. Mon dieu, c'est horrible ! Sauf que pour ouvrir une connexion, l'utilisateur doit déjà être authentifié et NuFW doit accepter son paquet (càd que l'admin autorise explicitement le flux, ce qui n'est pas autorisé est bloqué par défaut).
Il ne faut penser que la sécurité d'un logiciel repose sur le nombre de bulletins de sécurité. Beaucoup d'éditeurs (allez, citons Microsoft au pif) corrigent silencieusement des bugs (parfois critiques) dans des mises à jour sans en informer l'utilisateur. Sauf qu'avec une analyse différentielle, on peut retrouver ce genre de magouille... Et il y a toujours un grand débat entre « bug » et « vulnérabilité ». Relisez l'histoire du dernier bug IPv6 pour vous poiler :-)
[^] # Re: Intéressant !
Posté par Victor STINNER (site web personnel) . En réponse à la dépêche Sortie d'OpenBSD 4.2. Évalué à 5.
http://secunia.com/advisories/17754/ - NuFW Packet Parsing Denial of Service Vulnerability (2005年11月29日) => DoS
http://secunia.com/advisories/19046/ - NuFW TLS Socket Handling Denial of Service (2006年02月28日) => DoS
http://secunia.com/advisories/26546/ - NuFW Time Based Filtering Rules Security Bypass (2007年08月21日) => troué
http://secunia.com/advisories/27442/ - NuFW "samp_send()" Buffer Overflow Vulnerability (2007年10月30日) => Dos
Seul un bug est exploitable : celui qui permet d'outrepasser les règles de filtrage basées sur le temps. Il faut comprendre ce que ça implique : si on bloque les connexions entre 22h et 5h, et bien un utilisateur pourra quand même se connecter la nuit. Mon dieu, c'est horrible ! Sauf que pour ouvrir une connexion, l'utilisateur doit déjà être authentifié et NuFW doit accepter son paquet (càd que l'admin autorise explicitement le flux, ce qui n'est pas autorisé est bloqué par défaut).
Il ne faut penser que la sécurité d'un logiciel repose sur le nombre de bulletins de sécurité. Beaucoup d'éditeurs (allez, citons Microsoft au pif) corrigent silencieusement des bugs (parfois critiques) dans des mises à jour sans en informer l'utilisateur. Sauf qu'avec une analyse différentielle, on peut retrouver ce genre de magouille... Et il y a toujours un grand débat entre « bug » et « vulnérabilité ». Relisez l'histoire du dernier bug IPv6 pour vous poiler :-)