Je pense qu'on est en train de détourner la responsabilité de ce mini scandale. Le "salopard" en question ne fait que suivre ce qui est standard dans l'industrie de la sécurité, c'est à dire découvrir des bugs, coder l'exploit pour soi et attendre que ça tombe ailleurs. (Je connais personnellement des dizaines de personnes qui le font, moi y compris)
Par contre personne ici pour critiquer les deux raisons principales de la publicité de cet exploit:
1- il y a eu un bug qui permet d'obtenir un local root dans un premier temps
2- Lorsqu'un développeur a trouvé le bug (une écriture en dehors du buffer !!) ils ont corrigé le bug sans même créer un CVE, sans mettre le fix en quarantaine ni suivre la moindre procédure de backporting du patch. Ces personnes sont les véritables irresponsables, car un bug de sécurité a été publié dans la nature sans que le patch ne soit prêt à être déployé.
Rapporter la responsabilité de l'absence de CVE et publication de l'exploit à sd est de la mauvaise foi. La véritable responsabilité, c'est l'attitude totalement autruchienne de l'équipe de dev de linux par rapport aux bugs de sécurité. Et je suis convaincu que ce n'est pas le premier bug de sécurité publié ouvertement dans le git sans qu'il y ait le moindre CVE et backporté dans aucune distribution majeure.
[^] # Re: HAHA
Posté par Aris Adamantiadis (site web personnel) . En réponse à la dépêche Root exploit sur les noyaux linux 2.6.38 à 3.8.8. Évalué à 6.
Je pense qu'on est en train de détourner la responsabilité de ce mini scandale. Le "salopard" en question ne fait que suivre ce qui est standard dans l'industrie de la sécurité, c'est à dire découvrir des bugs, coder l'exploit pour soi et attendre que ça tombe ailleurs. (Je connais personnellement des dizaines de personnes qui le font, moi y compris)
Par contre personne ici pour critiquer les deux raisons principales de la publicité de cet exploit:
1- il y a eu un bug qui permet d'obtenir un local root dans un premier temps
2- Lorsqu'un développeur a trouvé le bug (une écriture en dehors du buffer !!) ils ont corrigé le bug sans même créer un CVE, sans mettre le fix en quarantaine ni suivre la moindre procédure de backporting du patch. Ces personnes sont les véritables irresponsables, car un bug de sécurité a été publié dans la nature sans que le patch ne soit prêt à être déployé.
Rapporter la responsabilité de l'absence de CVE et publication de l'exploit à sd est de la mauvaise foi. La véritable responsabilité, c'est l'attitude totalement autruchienne de l'équipe de dev de linux par rapport aux bugs de sécurité. Et je suis convaincu que ce n'est pas le premier bug de sécurité publié ouvertement dans le git sans qu'il y ait le moindre CVE et backporté dans aucune distribution majeure.