Le "salopard" en question ne fait que suivre ce qui est standard dans l'industrie de la sécurité, c'est à dire découvrir des bugs, coder l'exploit pour soi et attendre que ça tombe ailleurs. (Je connais personnellement des dizaines de personnes qui le font, moi y compris)
Ce genre de personne que tu décris est bien un salopard, pas besoin de mettre des guillemets.
Et non, ce n'est pas standard dans l'industrie de la sécurité, il y en a pas mal qui découvrent des bugs, codent l'exploit pour démontrer aux autres qu'il y a un réel problème, démonstration soit privée (responsible disclosure, la personne attend le patch puis se fais la pub, si ça tarde trop hop en public pour forcer le patch), soit en public lors des meeting de sécurité, et parfois empochent quelques milliers de $ en remerciement, soit un bon gros plaisir sadique de faire du 0-day (irresponsible disclosure).
2- Lorsqu'un développeur a trouvé le bug (une écriture en dehors du buffer !!) ils ont corrigé le bug sans même créer un CVE
Le développeur ne savait peut-être pas que ça posait un problème utilisable de sécurité. Si il faut faire un CVE pour chaque patch…
Ces personnes sont les véritables irresponsables, car un bug de sécurité a été publié dans la nature sans que le patch ne soit prêt à être déployé.
C'est à ma connaissance la politique de Linus depuis le début, ton irresponsable a quand même un CV en béton.
Libre à toi de critiquer cette façon de faire, libre à eux de considérer que l'industrie s’accommode très bien de cette façon de faire et de t'envoyer chier. Il te reste à démontrer que ta façon de faire est viable et meilleure. Eux démontrent, pas toi.
Et je suis convaincu que ce n'est pas le premier bug de sécurité publié ouvertement dans le git sans qu'il y ait le moindre CVE et backporté dans aucune distribution majeure.
Tant que ce n'est pas exploité, ça ne pose aucun problème. Sans compter que la plupart du temps, c'est non exploitable.
[^] # Re: HAHA
Posté par Zenitram (site web personnel) . En réponse à la dépêche Root exploit sur les noyaux linux 2.6.38 à 3.8.8. Évalué à 8.
Ce genre de personne que tu décris est bien un salopard, pas besoin de mettre des guillemets.
Et non, ce n'est pas standard dans l'industrie de la sécurité, il y en a pas mal qui découvrent des bugs, codent l'exploit pour démontrer aux autres qu'il y a un réel problème, démonstration soit privée (responsible disclosure, la personne attend le patch puis se fais la pub, si ça tarde trop hop en public pour forcer le patch), soit en public lors des meeting de sécurité, et parfois empochent quelques milliers de $ en remerciement, soit un bon gros plaisir sadique de faire du 0-day (irresponsible disclosure).
Le développeur ne savait peut-être pas que ça posait un problème utilisable de sécurité. Si il faut faire un CVE pour chaque patch…
C'est à ma connaissance la politique de Linus depuis le début, ton irresponsable a quand même un CV en béton.
Libre à toi de critiquer cette façon de faire, libre à eux de considérer que l'industrie s’accommode très bien de cette façon de faire et de t'envoyer chier. Il te reste à démontrer que ta façon de faire est viable et meilleure. Eux démontrent, pas toi.
Tant que ce n'est pas exploité, ça ne pose aucun problème. Sans compter que la plupart du temps, c'est non exploitable.