Faille de sécu SSL: ipcop touchée ?

par **PengouinPdt** » 15 Mai 2008 10:20

Bonjour,

Est-ce que la faille de sécurité SSL, sur Debian-Like telle IPCop (si je ne me trompe pas), touche aussi justement IPCop ?

Cdlt.

par **gemoussier** » 15 Mai 2008 11:59

Bonjour,
Je ne voudrais pas dire de bétises mais il me semble que IPCop n'est plus basé sur Debian, mais sur Linux From Scratch. Autrement dit une distribution à partir de zéro. Après ça n'empêche pas de creuser la question, mais je ne peux pas t'aider plus que ça...

par **Corsicabia** » 15 Mai 2008 15:36

Bonjour

De plus "callé" que mois confirmeront ou pas, mais sur IPCop, la version utilisée de openssl est :
- openssl to 0.9.7m CVE2007-5135

Hors sur l'advisory Debian : The first vulnerable version, 0.9.8c-1, was uploaded to the unstable distribution on 2006-09-17

Donc en théorie on devrait être tranquille. Mais je ne suis pas rassuré tout à fait !!!

Amitiés de Corse

par **antolien** » 15 Mai 2008 15:37

IPcop n'a jamais été basé sur Debian, c"était basé sur Redhat à une époque mais est en lfs depuis.

par **PengouinPdt** » 15 Mai 2008 15:40

antolien a écrit:IPcop n'a jamais été basé sur Debian, c"était basé sur Redhat à une époque mais est en lfs depuis.

Merci de la précision ...

PS : Et, une "urban legend" HS !
PS 2 : Parce apparemment, j'étais pas le seul à avoir compris la filiation Debian ...

par **Judicator** » 15 Mai 2008 16:23

PengouinPdt a écrit:PS 2 : Parce apparemment, j'étais pas le seul à avoir compris la filiation Debian ...

De souvenir cette erreur d'affiliation viens du fait qu'il y avait le paquet ipcop disponible dans un des repository debian (il y a 5/8 ans pour la derniere fois ou je l'ai vu).

Je n'ai jamais trop compris pourquoi il y etait sachant que c'etait une distrib entiere ............. il est possible que, du temps ou ipcop etait basé sur redhat des petit nerveux ont separe les scripts de la distrib pour l'appliquer a debian ....... (de noyeau 2.4 on parle .... pas de noyeau 2.6)

Autre detail d'importance : je crois qu'ils utilisent debian comme plateforme de dev .... ou certain d'entre eux ont des plateforme debian. Mais la plateforme de dev ne definis jamais la plateforme du client

Pour info ipcop cela a ete : redhat / smoothwall puis lfs . Le projet est sur le point de supprimer les derniers bouts de code de smoothwall d'ailleur.

par **leso** » 17 Mai 2008 08:48

Ipcop est entièrement basé sur lfs, mais effectivement beaucoup de développeurs construisent les isos avec debian / ubuntu. Par contre ca peut trés bien se compiler sur redhat/gentoo ou autre vu que c est du lfs , c est indépendant de l'hote.

par **Gesp** » 17 Mai 2008 21:53

Est-ce que la faille de sécurité SSL, sur Debian-Like telle IPCop (si je ne me trompe pas), touche aussi justement IPCop ?

Non, c'est un patch malheureux dans debian.

Dans IPCop, il n'y qu'un patch sur openssl-0.9.7 et il vient du svn d'openssl comme indiqué dans le patch (svn openssl - Check-in [16642] )

On est pas autant patché que Debian et on préfère suivre la version courante sans patch quand c'est raisonnable.

Par contre j'ai regardé ce que l'on pourrait faire suite à ce message sur lklm
http://lkml.org/lkml/2008/5/15/30
On peut certainement s'améliorer coté remplissage du bassin à entropie ;-)

et ce sera certainement nécessaire en noyau 2.6 surtout si IRQF_SAMPLE_RANDOM est retiré des drivers réseaux.
Cela veut dire supporter les RNG matériels inclus dans le noyau et surtout mettre en place un palliatif quand justement il n'y a pas de RNG disponible.

Faille de sécu SSL: ipcop touchée ?

Faille de sécu SSL: ipcop touchée ?

Qui est en ligne ?