> il acceptait pour le debugging AUSSI des applications contenants openssl.
Il a dit "I'm in favor of removing them". Il n'a pas dit "OK, ça roule ma poule".
Il y a un autre développeur OpenSSL qui répond : On May 1, 2006 03:14 pm, Kurt Roeckx wrote:
> The code in question that has the problem are the following 2
> pieces of code in crypto/rand/md_rand.c:
>
> 247:
> MD_Update(&m,buf,j);
>
> 467:
> #ifndef PURIFY
> MD_Update(&m,buf,j); /* purify complains */
> #endif
There's your first clue, build with -DPURIFY :-)
Cheers,
Geoff
Mais le "247: MD_Update(&m,buf,j);" est devenu "/* MD_Update(&m,buf,j); */" sans que le développeur OpenSSL le savent.
> I recently compiled vanilla OpenSSL 0.9.8a with -DPURIFY=1 and on Debian
> etc
Il n'est pas développeur OpenSSL.
Le mainteneur Debian a fait une connerie. Je ne demande pas une "lapidation". Mais il a fait une connerie et ça peut arriver à toi ou à moi.
Il faut reconnaitre qu'il a fait une connerie. Je ne demande pas qu'il arrête d'être mainteneur !
Si tu ne reconnais pas qu'il y a connerie, tu ne remets pas en cause. Si tu reconnais qu'il y a une connerie, ben tu ne mets pas en place une solution. Par exemple il ne faut plus toucher au "noyau" OpenSSL sans que le patch soit approuvé en upstream (donc il doit être upstream). Etc.
Quand MS fait une connerie, on ne lui cherche pas d'excuses bidons. MS a fait une connerie, point barre. (Ici il faut évidemment distinguer "connerie" de manoeuvre volontairement mal intentionnée).
Parce qu'en gros tu nous dis "tout va bien, tout c'est passé normalement, et ça va recommencer car il n'y a pas de raison qu'on revoir notre façon de faire".
C'est inacceptable.
[^] # Re: détails techniques et exploits
Posté par IsNotGood . En réponse au journal Vulnérabilité Debian. Évalué à 1.
QU'IL NE LE FASSE PAS !
> il acceptait pour le debugging AUSSI des applications contenants openssl.
Il a dit "I'm in favor of removing them". Il n'a pas dit "OK, ça roule ma poule".
Il y a un autre développeur OpenSSL qui répond :
On May 1, 2006 03:14 pm, Kurt Roeckx wrote:
> The code in question that has the problem are the following 2
> pieces of code in crypto/rand/md_rand.c:
>
> 247:
> MD_Update(&m,buf,j);
>
> 467:
> #ifndef PURIFY
> MD_Update(&m,buf,j); /* purify complains */
> #endif
There's your first clue, build with -DPURIFY :-)
Cheers,
Geoff
Mais le "247: MD_Update(&m,buf,j);" est devenu "/* MD_Update(&m,buf,j); */" sans que le développeur OpenSSL le savent.
Regarde la version 199 :
http://svn.debian.org/wsvn/pkg-openssl/openssl/trunk/crypto/(...)
C'est :
/** Don't add uninitialised data.
MD_Update(&m,buf,j); MD_Update(&m,buf,j);
*/
Ceci n'a jamais été validé. Et c'est ça qui pose problème.
> I recently compiled vanilla OpenSSL 0.9.8a with -DPURIFY=1 and on Debian
> etc
Il n'est pas développeur OpenSSL.
Le mainteneur Debian a fait une connerie. Je ne demande pas une "lapidation". Mais il a fait une connerie et ça peut arriver à toi ou à moi.
Il faut reconnaitre qu'il a fait une connerie. Je ne demande pas qu'il arrête d'être mainteneur !
Si tu ne reconnais pas qu'il y a connerie, tu ne remets pas en cause. Si tu reconnais qu'il y a une connerie, ben tu ne mets pas en place une solution. Par exemple il ne faut plus toucher au "noyau" OpenSSL sans que le patch soit approuvé en upstream (donc il doit être upstream). Etc.
Quand MS fait une connerie, on ne lui cherche pas d'excuses bidons. MS a fait une connerie, point barre. (Ici il faut évidemment distinguer "connerie" de manoeuvre volontairement mal intentionnée).
Parce qu'en gros tu nous dis "tout va bien, tout c'est passé normalement, et ça va recommencer car il n'y a pas de raison qu'on revoir notre façon de faire".
C'est inacceptable.