Tinnès Julien

Le 3 décembre 2008, Sun a corrigé une faille, découverte et rapportée par Sami Koivu le 1er août 2008. Le rapport de Sun était laconique : « A Security Vulnerability in the Java Runtime Environment (JRE) Related to Deserializing Calendar Objects May Allow Privileges to be Escalated ». Il n'y a là pas grand-chose pour attirer l’œil, si ce n'est l'absence de référence à toute bibliothèque native et à toute corruption mémoire (telle que le classique « buffer overflow ») comme c'est le cas pour la plupart des vulnérabilités Java.

S'il est une critique que l'on entend souvent à l'égard de Debian, il s’agit bien de celle des modifications réalisées lors du paquetage de logiciels par Debian qui n'ont pas été validés ou incluses en amont par les auteurs du logiciel. Il y a débat sur le sujet, mais les détracteurs disposent maintenant d'un exemple de poids : la faille publiée le 13 mai 2008 par Debian (CVE-2008-0166), qui impacte aussi les distributions Ubuntu et Knoppix, est sans doute l'une des failles dont les conséquences sur le système d'exploitation cible sont les plus importantes.