[SECURITE] Linux Debian Sarge a des problèmes sérieux de gestion de la sécurité

Debian Sarge a des problèmes sérieux de gestion de la sécurité

Debian Sarge a des problèmes sérieux de gestion de la sécurité : depuis le 3 Juin (soit avant la sortie officielle de Sarge) aucune annonce, et plus grave, aucun patch concernant la sécurité de Sarge n'a été publié.

Cet état de fait était plutôt passé inaperçu jusqu'à ce qu'un magazine d'outre-Rhin ait lancé la nouvelle, et mis en cause la réputation de Debian. Depuis, cela discute ferme sur la liste sécurité de Debian...

---

Cette absence de mise-à-jour est d'autant plus étonnante qu'une série de logiciels présents dans Sarge ont des points faibles connus liés à la sécurité (SquirrelMail, SpamAssassin ou sudo, pour ne citer qu'eux).

Un magazine en-ligne très populaire outre-Rhin, Heise-Online, a bien essayé de contacter les responsables de la sécurité chez Debian, mais ceux-ci sont restés jusqu'ici aux abonnés absents...

Les journalistes ont fait des recherches et ont découvert que les mainteneurs des paquets concernés ont déjà fourni les patches, mais que ceux-ci n'ont toujours pas été validés par les responsables de Debian.

Apparemment cet article de Heise a fait des vagues et dans la security mailing list de Debian une discussion assez chaude a commencé.

À la lecture des discussions on s'aperçoit que le problème est plus important que l'on pouvait penser. A priori, on aurait pu croire qu'il ne s'agissait que d'un contretemps, mais il est vite apparu que 5 membres de l'équipe de sécurité ne sont plus du tout actifs. Ce qui a terme pourrait poser de sérieux problèmes.

Dans un autre magazine d'outre-Rhin, on accuse un membre de l'équipe de sécurité de Debian d'avoir délaissé (pour ne pas dire déserté) son poste pour une fonction équivalente chez Ubuntu...

Fin de l'histoire de Debian et ses vrais/faux problèmes ?



Hier nous abordions le problème d'effectif de Debian. Selon ZDNet, Michael Stone, membre de l'équipe sécurité de Debian, aurait précisé que les retards de sorties des mises à jour de la suite Linux seraient dues à un manque de main d'oeuvre et de cerveaux. Composée de bénévoles, l'équipe de Debian ne peut évidemment pas toujours suivre le rythme des mastodontes "concurrents", tels que Red Hat ou SuSE. Mais l'article de ZDNet que nous avons peut-être relayé un peu trop rapidement n'a pas forcément plu à tout le monde, dont évidemment les membres de Debian.

Joey Hess a d'ailleurs rapidement publié sur son blog un article tentant de clarifier certains points. Assez désagréablement surpris par l'article de ZDNet, tout comme nos lecteurs à la lecture de notre article, Joey Hess a tenu à mettre les points sur les "i" en démontrant que les rédacteurs de ZDNet avaient usé de raccourcis bien trop rapides, et que les problèmes étaient franchement surestimés. Sans compter le fait qu'ils aient inversé Martin Joey Schulze - communément appelé Joey - et Joey Hess - Joeyh - attaquer Debian sur sa sécurité a été pris comme une véritable insulte.

Debian avait certes quelques retards, dus principalement à la dernière et nouvelle architecture du build des mises à jour de sécurité, cependant la sécurité elle a bien été toujours au coeur de la préoccupation de l'équipe de Debian. Le nombre de trous de sécurités corrigés avec la version 3.1 sont d'ailleurs quatre fois moindre que sa version 3.0. Les critiques envers la Debian 3.1 étaient donc exagérées, malgré le retard concernant la mise à jour de SpamAssassin.

Il semble d'ailleurs que Debian ait été tout aussi rapide que les autres suites concernant un bug de zlib 1.2.2, un patch venant de sortir. D'ailleurs, Joey confirme l'information.

Encore une fois, nous nous excusons pour l'actualité d'hier, loin d'être proche de la complète vérité.

Merci Le Tic :-)