Reprise du message précédent :
l'histoire de xz ça me fait penser qu'il faudrait surement avoir un static link des binaires sensibles d'un système.
ça permettrait d'avoir un meilleur contrôle du code injecté dans des services critiques comme SSH.
SSH n'a surement pas besoin d'avoir la dernière feature edge d'une librairie annexe.  
Et si c'est le cas ça doit passer par un filtrage et par un code review puis mergé dans le code de ssh lui-même.

pas tout le temps, il y a des ssh chroot/jail/docker etc... qui sont un peu verrouillés. Même si ça peut s'échapper avec un peu d'effort ou via d'autre failles.
 
après il faut arriver à ne pas se faire detecter quand tu fais "ce que tu veux", donc il ne faut pas abuser de l'attaque pour rester sous le radar. sinon la faille est découverte et patchée aussi rapidement.

Bien sûr, mais les auteurs de cette attaque savent ce qu'ils font.

A ce stade, les vraies questions intéressantes, c'est:
- qui se cache derrière le compte incriminé ? d'après l'article de Dan Goodin, plusieurs personnes sont suspectes. Par exemple, comment ce patch a pu être accepté et mergé, alors que l'auteur n'avait jamais fait de PR auparavant ? Ca n'a aucun sens.
- combien de projets critiques sont maintenus par une seule (ou deux) personnes, tels libarchive ? Il semble que des acteurs malicieux s'attaquent à ce genre de projet. On apprenait l'an dernier qu'un projet aussi critique que OpenSSH n'avait qu'un seul mainteneur. Ces projets sont des targets particulièrement fragiles.

Dans la vidéo que j'ai mis dans mon précédent post, le gars pense que c'est un état parce que l'origine du compte et de l'attaque remonte à 2021. Il ne pense pas qu'un particulier aurait eu la patience d'attendre 3 ans pour voir le résultat de l'attaque.

Sauf que ici c’était des patch de distro, le projet openssh a jamais été consulté.
 
De ce que j’ai compris certaines distros utilisant systemd voulaient que sshd soit intégré avec pour notifier systemd de trucs divers et variés, ce qui est louable (?).
 
Pour faire cette intégration ils ont patché openssh pour lier contre libsystemd, ce que systemd ne recommande pas (c’est absolument pas nécessaire pour participer à systemd-notify).
 
Et libsystemd lie liblzma, j’ai pas trop compris pourquoi mais je présume que c’est pour interagir avec journald (ça lie aussi contre liblz4 et libzstd qui semblent être des formats de compression possibles pour journald)

C'est presque sûr que c'est un groupe et probablement un état, oui. Il n'y a pas qu'un seul compte suspect.

 
+1000 : on peut pas rendre les règles publiques (ou les gens chercheraient à baiser le système avec du contenu de merde tout le temps. Non pas qu'ils ne le fassent pas, mais la nature cachée des règles rend ça moins trivial). Après même si t'as un système opaque, si tes règles marchent c'est testable, tu verras jamais un consultant en SEO parler proprement de tests A/B C'est moins cher de parler de "bonnes pratiques" et de vendre des audits SEO où 95% du doc est écrit à l'avance
 

(et comme d'hab, Dan Goodin is the man quand il s'agit d'aller dans le détail des news de sécu, crypto, etc)

Et voilà encore des propos masculinistes    

Le patch est un liblzma_blabla.o, donc un link statique de la lib de compression sur sshd. La surface d'attaque de sshd est le code source de sshd ET de toutes les lib linkées en statique ou dynamique.

Pour réduire cette surface d'attaque, il faudrait limiter les dépendances et importer dans OpenSSH et sshd le code strictement nécessaire. C'est personnellement ce qu'il m'est arrivé de faire quand je pouvais le faire et que ça ne viole pas les licences libres.

Bon les experts, bosser en norvège en 2024, bonne ou mauvaise idée ? Combien de kr pour être à l'aise financièrement, considérant que ma femme ne pourrait pas travailler au moins pendant un an ?

Faut beaucoup de blé la bas, j'ai du y claquer 5k€+ en un mois en plein covid avec frontières fermées et prix largement réduits.

Je suis pas du genre dépensier

oui, enfin un .o peut aller dans du statique ou du dynamique.
le truc c'est effectivement pas de linker statique ou dynamique mais de linker avec du code externe a la lib au lieu de linker avec du code local au projet et audité (il y a un problème potentiel de licence effectivement). Mais ça rajoute une surcharge enorme sur le mainteneur du dit projet qui doit faire un travail important d'integration de code externe.

Heureusement qu'on peut compter sur toi pour veiller au grain.
__alt s'est embourgeoisé

 
Plus généralement d'ailleurs vous faites comment pour estimer le coût de la vie dans un pays (sans y vivre 6 mois) ? Ya des sites pour ça ?

Faut suivre shitter, threads, mastodon et bluesky, ça fait de grosses journées  

Ecoutez j'ai un bug de prod avec un problème d'ownership sur les assets alors vos petits problèmes de minorités opprimées là

T’es con

la recherche youtube est tellement pourrie que quelqu'un a fait un service payant de recherche youtube    
 
https://www.eduhunt.be/

c'est un language codé pour dire que ta femme te trompe ?  

Une relation monogame c'est bien un truc de droitards ça  

Tu vas sur les sites de location
Vu que le loyer est la dépense principale dans pleins de pays (tous ?), ça donne déjà une bonne première indication imho. Après t'as pleins de critères secondaires pour affiner en fonction des cas:
- le taux d'imposition, les cotisations retraites/santé, toussa.
- selon les besoins de déplacement, le coût des transports en commun ou d'une voiture (je sais par exemple qu'ici -Canada- pas mal de gens sont surpris du prix des assurances les premières années)
- si t'as des enfants, tous les coûts associes comme pour la scolarité ou leurs loisirs
- le coût des "forfaits" (internet haut débit, téléphone portable, services bancaires etc...)

Oublie pas de mettre a jour la blacklist sur master quand t'as fini

Oui, c'est vraiment devenu de la merde depuis de nombreux mois.

Quand tu penses que t'es censé avoir dans l'effectif parmi les meilleurs devs / pm, tu te dis que c'est vraiment du foutage de gueule.

C'est vraiment un bonheur de chercher une recette d'oeufs florentine et de te retrouver avec des vidéos de ski en suggestion

Il y a une équipe qui est sur un dark launch et le référent DEI ne répond pas, on ne sait pas si c'est kasher  

Rho la vache la pub YouTube pour une formation pour permettre à des praticiens d'avoir plus de patients, j'ai regardé un peu pour voir, les témoignages c'est hypnothérapeute, sophrologue et neurotrainer

Tu voulais sans doute parler de la blocklist sur la branche main  ?
 

 
Alors que t’appelles ça Skunkworks et hop, plus aucun soucis
 

 
La startup nation

 
Tu as raison nous n'avons pas encore fait le changement sur le slave

 
Vous allez pas lui piquer son jogging à 3 bandes quand même ?    

J'ai quand même le souci du sens du mot, qui est différent  

Dans 99% des cas où je l’ai vu utilisé, c’était totalement galvaudé et prétentieux

Même gemini gratos suit mieux que toi

Sergio Tacchini, toi même tu sais  

 
 
Mais non enfin malheureux, tu parlais des slaves  

Oubliez le bug de l'an 2000 ou 2038, personne ne l'avait vu venir, celui-la.
 
https://arstechnica.com/science/202 [...] -on-forms/

Garnement !
On ne va pas lancer un débat sur l'équilibre à venir de la sécurité sociale alors qu'alt explique très clairement qu'il a énormément de travail

c'est posté le 2 avril, j'arrive pas à savoir si c'est un poisson ou pas  

Non non, c'est juste les stazunis, c'est normal.

Reste un entretien mais c'est parti pour un salaire à 7 chiffres.

En euros ou en zlotys?