NR Technologies

Google vs Oracle : quelles seront les conséquences pour les développeurs si Google est reconnu... Après six années de bataille juridique, Google et Oracle sont encore loin de mettre fin à leur différend qui pourrait avoir un impact sérieux sur l’activité des développeurs et des entreprises de haute technologie.À titre de rappel, à l’origine de ce conflit, Oracle a accusé Google d’avoir utilisé d...

La fondation Node.js, par la voix d’un de ses responsables notamment Rod Vagg, vient d’annoncer la découverte de deux failles critiques sur son célèbre framework de développement d’applications web.
Ces deux failles dénommées CVE-2015-8027 et CVE-2015-6764 présentent respectivement des scores CVSS de 7,5 et 4,4. La première faille est d’un niveau de sévérité plus élevé que la seconde.
Selon Rod Vagg, la faille CVE-2015-8027 pourrait être exploitée par des personnes mal intentionnées grâce à des attaques par déni de service. Rod précise que les versions de Node.js affectées par cette vulnérabilité sont :
les versions 0.12.x ;
les versions 4.x, incluant LTS Argon ;
et les versions 5.x.
Les détails relatifs à cette première vulnérabilité ne seront pas divulgués avant le 2 décembre prochain, date à laquelle les mises à jour de sécurité seront disponibles en téléchargement.
La faille CVE-2015-6764 quant à elle est considérée comme moins grave avec un score CVSS de 4,4. Selon Rod Vagg, cette vulnérabilité est liée au moteur JavaScript de Google V8 et affecte les versions de Node.js suivantes :
les versions 4.x, incluant LTS Argon ;
et les versions 5.x.
Face à ces deux vulnérabilités, la fondation Node.js affirme que des correctifs sont en préparation et devraient être disponibles le 2 décembre prochain.
Source : blog node.js

La famille Raspberry Pi s’est récemment agrandie avec un nouveau modèle au prix officiel de 5 $. Cela pourrait bien évidemment accroître le nombre d’utilisateurs à rejoindre les millions de personnes qui ont déjà utilisé le matériel depuis 2012, comme le revendique Eben Upton, fondateur de Raspberry Pi.

Si le nano-ordinateur enrôle de plus en plus d’utilisateurs dans le monde entier, c’est le moment de commencer à anticiper les éventuels problèmes de sécurité avant qu’il ne devienne une cible pour les attaquants.

Une faille de sécurité a été signalée dans Raspbian, le système d'exploitation libre et gratuit fondé sur GNU/Linux/Debian et optimisé pour fonctionner sur un Raspberry Pi. La faille entraîne la génération de clés d’hôte SSH prévisibles. Les clés SSH peuvent en effet être devinées par un attaquant s’il connaît l’état dans lequel le Raspberry Pi se trouvait lors de son premier démarrage : souris connectée, câble réseau branché ou autres périphériques USB connectés, etc. Plus de détails sur la faille sont fournis sur le site de Raspberry Pi.
En portant votre jugement sur cette faille de sécurité, il ne faut surtout pas omettre les nombreux cas d’utilisations possibles de ce matériel qui a pourtant un prix bon marché.

Un Raspberry Pi peut en effet être utilisé comme un serveur, que ça soit pour héberger des sites web, stocker des données ou héberger un service qui doit être accessible depuis n’importe quel emplacement. Il peut également faire office de média center, offrant ainsi un système informatique venant se greffer à une télévision. Ce système pourra permettre de compléter les services basiques de la télévision, avec une interface plus conviviale, un accès internet, la possibilité de stocker et de lire de la musique, des images, des vidéos, etc. Le Raspberry Pi peut encore être utilisé dans la domotique, pour gérer différents équipements d’une maison, ou tout simplement comme un ordinateur. Dans le dernier cas, il cible en particulier les utilisateurs n’ayant pas besoin de puissance de calcul exceptionnelle.

Pour les utilisateurs avertis, Raspberry Pi peut aussi être exploité dans le cadre des projets basés sur des systèmes embarqués. Cette variété d’utilisations possibles de Raspberry Pi peut donc augmenter l’ampleur de la gravité d’une faille de sécurité.

Dans une discussion dédiée à la vulnérabilité sur le site de Raspberry Pi, un patch a été publié avant d’être aussitôt retiré par un modérateur. Ce dernier a exprimé un doute en ce qui concerne la fiabilité du patch. Il estime qu’une analyse est nécessaire avant de dire si le correctif est sûr ou non. Dans un autre message posté hier, l’un des contributeurs de Raspberry Pi explique que le problème n’est pas lié à Raspbian/Raspberry Pi, mais affecte toutes les distributions Linux. Il précise encore que le problème est connu par la communauté Linux et qu’il existe des mitigations. Toutefois, ces mitigations ne sont pas possibles avec Raspbian. « Chaque utilisateur doit donc évaluer la menace en fonction du cas d'utilisation de son Raspberry Pi », a-t-il ajouté. Aux utilisateurs avertis qui exigent plus de sécurité et de confidentialité, il est suggéré d’activer le RNG du matériel et de régénérer les clés SSH.

Source : Raspberry Pi