• [^] # Re: Difficulté de créer un bon générateur de nombres aléatoires (ou

    Posté par . En réponse à la dépêche Découverte d'une faille de sécurité critique dans OpenSSL de Debian. Évalué à 3.

    Voici le patch vraiment appliqué :
    Index: debian/changelog
    ===================================================================
    --- debian/changelog (révision 140)
    +++ debian/changelog (révision 141)
    @@ -23,6 +23,9 @@
    - Make use of invoke-rc.d
    * Add comment to README.Debian that rc5, mdc2 and idea have been
    disabled (since 0.9.6b-3) (Closes: #362754)
    + * Don't add uninitialised data to the random number generator. This stop
    + valgrind from giving error messages in unrelated code.
    + (Closes: #363516)

    -- Kurt Roeckx <kurt@roeckx.be> Thu, 6 Apr 2006 20:34:07 +0200

    Index: rand/md_rand.c
    ===================================================================
    --- rand/md_rand.c (révision 140)
    +++ rand/md_rand.c (révision 141)
    @@ -271,7 +271,10 @@
    else
    MD_Update(&m,&(state[st_idx]),j);

    +/*
    + * Don't add uninitialised data.
    MD_Update(&m,buf,j);
    +*/
    MD_Update(&m,(unsigned char *)&(md_c[0]),sizeof(md_c));
    MD_Final(&m,local_md);
    md_c[1]++;
    @@ -465,7 +468,10 @@
    MD_Update(&m,local_md,MD_DIGEST_LENGTH);
    MD_Update(&m,(unsigned char *)&(md_c[0]),sizeof(md_c));
    #ifndef PURIFY
    +/*
    + * Don't add uninitialised data.
    MD_Update(&m,buf,j); /* purify complains */
    +*/
    #endif
    k=(st_idx+MD_DIGEST_LENGTH/2)-st_num;
    if (k > 0)