C'est que ce sont vraiment des bugs communs [...] En clair : buffers overflows et types de données mal utilisés.
Je ne vais pas être très constructif avec ce message mais je suis réellement surpris qu'on puisse encore laisser des bugs pareils. Ils utilisent encore des strcpy() et des sprintf() au lieu de strncpy() et snprintf() ? Ca donne envie de n'utiliser que des programmes écrits par Daniel Bernstein (qmail (mailer daemon sans faille connue), djbdns (bind mais sans trous), et j'en oublie) malgré la licence un peu restrictive (on ne peut pas redistribuer du code modifié sous le nom original, seulement des patches, il faut lui soumettre pour approbation et intégration), mais il ne peut pas tout faire !
Je suis encore plus surpris et déçu par OpenSSH, dont s'occupe Theo de Raadt, pour qui la sécurité justifiait un "fork" de OpenBSD. Quand on voit les bugs/trous de sécurité trouvés dans OpenSSH ces derniers mois, je crois me souvenir qu'il y a eu des "buffer overflow".
J'ai entendu parler récemment d'un analyseur de code capable de détecter une bonne partie des fonctions douteuses et des risques de bugs de sécurité. Quelqu'un se souvient de quoi il s'agit ?
[^] # Re: Le pire...
Posté par Olivier Jeannet . En réponse à la dépêche Failles de sécurité dans openssl. Évalué à 7.
Je ne vais pas être très constructif avec ce message mais je suis réellement surpris qu'on puisse encore laisser des bugs pareils. Ils utilisent encore des strcpy() et des sprintf() au lieu de strncpy() et snprintf() ? Ca donne envie de n'utiliser que des programmes écrits par Daniel Bernstein (qmail (mailer daemon sans faille connue), djbdns (bind mais sans trous), et j'en oublie) malgré la licence un peu restrictive (on ne peut pas redistribuer du code modifié sous le nom original, seulement des patches, il faut lui soumettre pour approbation et intégration), mais il ne peut pas tout faire !
Je suis encore plus surpris et déçu par OpenSSH, dont s'occupe Theo de Raadt, pour qui la sécurité justifiait un "fork" de OpenBSD. Quand on voit les bugs/trous de sécurité trouvés dans OpenSSH ces derniers mois, je crois me souvenir qu'il y a eu des "buffer overflow".
J'ai entendu parler récemment d'un analyseur de code capable de détecter une bonne partie des fonctions douteuses et des risques de bugs de sécurité. Quelqu'un se souvient de quoi il s'agit ?