Raboin Romain

Du point de vue d'un auditeur, PHP n'est finalement qu'un vecteur d'entrée parmi d'autres. Un attaquant vise, une fois l'exécution de code PHP arbitraire obtenue, à progresser dans le système d'information (vers le noyau pour élever ses privilèges, vers d'autres applications, vers le réseau interne, ...). Pour cette raison, le moteur PHP s'est doté au fil des ans de divers moyens de protection et de cloisonnement. Pour peu qu'elles soient correctement configurées, ces options peuvent empêcher toute progression vers le système d'exploitation sous-jacent. Cependant, le moteur PHP contient une classe de vulnérabilités inhérente à son architecture. Pire, exploiter ces vulnérabilités permet de s'affranchir de toutes ces protections...

S'il est une critique que l'on entend souvent à l'égard de Debian, il s’agit bien de celle des modifications réalisées lors du paquetage de logiciels par Debian qui n'ont pas été validés ou incluses en amont par les auteurs du logiciel. Il y a débat sur le sujet, mais les détracteurs disposent maintenant d'un exemple de poids : la faille publiée le 13 mai 2008 par Debian (CVE-2008-0166), qui impacte aussi les distributions Ubuntu et Knoppix, est sans doute l'une des failles dont les conséquences sur le système d'exploitation cible sont les plus importantes.