URL: https://linuxfr.org/users/thom/journaux/petite-prevision-pour-l-avenir-oracle Title: Petite prévision pour l'avenir. Oracle ! Authors: Thom Date: 2015年08月11日T16:46:07+02:00 License: CC By-SA Tags: oracle, fud et rétro-ingénierie Score: 39 Plop, Petite news rigolote à propos d'Oracle qui avec un peu de cynisme représente assez bien l'entreprise. Au départ, la lecture du billet assez abrasif sur leur blog m'avait juste fait sourire. Mais maintenant qu'il n'est plus disponible, je me dis que c'est dommage de ne pas en faire profiter la communauté. https://web.archive.org/web/20150811052336/https://blogs.oracle.com/maryanndavidson/entry/no_you_really_can_t En gros, Oracle parle du fait que c'est mal et qu'il ne faut pas s'essayer à la rétro-ingénierie sur leur code. Les problèmes de sécurités sont réglés de leur côté. Si jamais vous tombez dessus par rétro-ingénierie, ils le régleront mais ne vous attendez pas à des remerciements de leur part. D'ailleurs en tant que client, ce n'est pas votre boulot.> A customer can’t analyze the code to see whether there is a control that prevents the attack the scanning tool is screaming about (which is most likely a false positive)> A customer can’t produce a patch for the problem – only the vendor can do that> A customer is almost certainly violating the license agreement by using a tool that does static analysis (which operates against source code)> Q. What does Oracle do if there is an actual security vulnerability?> A. I almost hate to answer this question because I want to reiterate that customers Should Not and Must Not reverse engineer our code. However, if there is an actual security vulnerability, we will fix it. We may not like how it was found but we aren’t going to ignore a real problem – that would be a disservice to our customers. We will, however, fix it to protect all our customers, meaning everybody will get the fix at the same time. However, we will not give a customer reporting such an issue (that they found through reverse engineering) a special (one-off) patch for the problem. We will also not provide credit in any advisories we might issue. You can’t really expect us to say "thank you for breaking the license agreement." > I do not need you to analyze the code since we already do that, it’s our job to do that, we are pretty good at it, we can – unlike a third party or a tool – actually analyze the code to determine what’s happening and at any rate most of these tools have a close to 100% false positive rate so please do not waste our time on reporting little green men in our code." Nous n'avons pas besoin d'analyser leur code. Ce sont des bons, c'est leur boulot, ils savent de quoi ils parlent. L'histoire aurait pu s'arrêter là... après tout c'est leurs droits, leurs logiciels... et oui, ils ne doivent pas être si mauvais... Peu de temps après leur communiqué et alors qu'il demande d'arrêter l'utilisation de logiciel d'analyse comme [veracode](http://www.veracode.com/) pour l'analyse de la sécurité de leur application internet, une belle petite faille est découverte. On peut exécuter du code javascript sans problème dans leur champ de saisie d'url lors de la publication d'un commentaire. https://twitter.com/thegrugq/status/631056841670135808 ![twitter](https://pbs.twimg.com/media/CMHntJmXAAAm-Bc.png) Bref, la classe.