Guide de l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) / Projet Common Voice / digiKam

La carte mini2440 est bien connue des amateurs de projets embarqués et cette année encore, c'est la cible qui a été retenue pour le concours linuxembedded 2012 [1] dont nous avons présenté les grandes lignes dans le numéro précédent : les concurrents devront développer un oscilloscope combinant précision de la numérisation temps réel de signaux analogiques et ergonomie de l'interface.

Au moment où ces lignes sont écrites, la version 9.5 de PostgreSQL est en RC, sa sortie est donc imminente. C'est un moment parfait pour vous parler d'un livre sorti tout récemment et qui vous dévoilera ce qui se passe sous le capot de cet excellent moteur de base de données.

Dans le précédent numéro, nous avions fait un tour d'horizon et pris en main la carte FriendlyARM mini2440. Certaines étapes, comme la mise à jour du bootloader, pouvaient s'avérer délicates. Certains lecteurs nous ont demandés ce qu'il était possible de faire en cas de plantage du ou des bootloader(s) pour reprendre le contrôle de la plateforme. La réponse tient en quatre lettres : JTAG.

Vous avez peut-être déjà entendu parler de circuits logiques programmables comme les CPLD ou les FPGA, des langages de description de matériel (HDL) et de la notion de processeur soft-core. Approcher ce domaine, pour un développeur ou une personne davantage versée dans la programmation que dans la conception de circuits, est toutefois assez délicat. Non seulement le domaine est très différent, mais il en va de même pour les concepts, les outils et les méthodes de développement. L'idée derrière cet article n'est pas de faire une introduction « académique » à la programmation HDL, ni même de vous fournir quelques notions de base, mais de vous faire comprendre, dans les grandes lignes, ce qu'est la description de matériel avec un objectif simple : faire fonctionner un système GNU/Linux sur une implémentation de processeur programmée dans un FPGA.

Dans la première partie, nous avons couvert les nouveautés en termes de réplication, de sécurité et de performances. Cependant, il reste plein de fonctionnalités à découvrir, ainsi qu'un changement important dont il faut tout particulièrement se méfier. Tout à la fin, nous aborderons ce qu'il faut attendre de la prochaine version de PostgreSQL.

Début octobre 2017, une vulnérabilité a été découverte par Chris Salls dans l’implémentation de l’appel système waitid [1] au sein du noyau GNU/Linux, permettant notamment d’écrire des données dans l’espace mémoire réservé au noyau. Cet article tente de retracer de façon détaillée l’étude de la cause de celle-ci ainsi que les différents obstacles rencontrés lors de son exploitation.

Qu'est-ce qui vous garanti que vous êtes à l'abri ? Ces dernières années, nous avons vu passer pas mal de failles critiques telles que la CVE-2016-5195 [1] si joliment surnommée dirtycow ou la CVE-2017-5123 [2][3] qui utilise waitid(). Toutes les deux ont deux points communs : 1) de permettre de s'échapper d'un conteneur et devenir root de l'hôte 2) le hack se fait par le biais d'un appel système. Si ces failles sont aujourd'hui corrigées, comment allez-vous vous mettre à l'abri de la prochaine ? Êtes-vous en sécurité ?