Merci à Simon Paillard pour sa relecture. Pas d'autres commentaires ? (je ne renvoie que les fichiers qui ont été modifiés). -- Thomas Huriaux
#use wml::debian::weeklynews::header PAGENAME="Courriel" #use wml::debian::translation-check translation="1.2" maintainer="Thomas Huriaux" <a name="1"></a> <pre> De : Ben Collins <bcollins@DEBIAN.ORG> Date : Mer. 10 jan. 2001 14 h 22 ' 22 " -0500 À : BUGTRAQ@SECURITYFOCUS.COM Sujet : Re : Exploitation locale du superutilisateur dans glibc Répondre-à : Ben Collins <bcollins@DEBIAN.ORG> Le mer. 10 jan. 2001 à 12 h 06 '48 " -0700, Charles Stevenson a écrit : > Salut à tous, > Cela a été envoyé sur les listes vuln-dev et debian-devel. Cela > affecte glibc >= 2.1.9x et il semble que beaucoup des systèmes > d'exploitation, si pas tous, utilisent ces versions de glibc. Ben > Collins a écrit : « cela n'aurait pas dû se passer, et la rustine > actuelle corrige une virgule manquante dans la liste des variables > d'environnement de sécurité qui auraient dues être nettoyées quand > un programme se lance en suid ou sgid (parmi lesquelles > RESOLV_HOST_CONF) ». L'exploitation varie d'un système à l'autre, > mais dans notre version de développement de Yellow Dog Linux, j'ai > pu afficher le fichier /etc/shadow en tant qu'utilisateur normal > de la manière suivante : > > export RESOLV_HOST_CONF=/etc/shadow > ssh whatever.host.com > > Les autres programmes produisent le même effet, en fonction des > paramètres par défaut du système. Je l'ai testé sur Red Hat 7.0, > Yellow Dog Linux 2.0 (prépublication), et Debian Woody. D'autres > ont signalé des résultats similaires sur Slackware et même sur > une distribution GNU/Linux faite à la main. Juste une remarque. La dernière *publication* de Debian (2.2, surnommée Potato) n'est pas vulnérable à ce problème, puisqu'elle utilise glibc 2.1.3. Nos distributions de test et de développement (Woody et Sid) non publiées sont vulnérables, du moins actuellement. Les paquets corrigés vont être envoyés, et seront sûrement sur les miroirs dans 24 ou 48 heures. N'attendez pas d'annonce de sécurité à ce propos sur Debian, comme nous ne le faisons que pour les distributions publiées, ce que Woody et Sid ne sont pas. De plus, pour donner du crédit lorsque cela doit se faire, Jakub Jelinek a produit une rustine qui corrige ce problème particulier. J'ai dit principalement ce que je connais (dans la citation ci-dessus). -- -----------=======-=-======-=========-----------=====------------=-=------ / Ben Collins -- ...en voyage fantastique... -- Debian GNU/Linux \\ ` bcollins@debian.org -- bcollins@openldap.org -- bcollins@linux.com ' `---=========------=======-------------=-=-----=-===-======-------=--=---' </pre> <hr> <a name="2"></a> <pre> De : Bdale Garbee <bdale@gag.com> Date : Mer. 17 jan. 2001 03 h 11 ' 56 " -0700 À : debian-devel@lists.debian.org, debian-ia64@lists.debian.org Sujet : Debian sur IA-64 J'ai l'honneur de vous signaler que le système IA-64 prêté par HP à Agilent qui est en ma possession tourne désormais sous Debian GNU/Linux en mode natif. J'ai reçu cette machine il y a quelques semaines « pour une évaluation » sans système d'exploitation chargé, et comme ce que je voulais évaluer était Debian... Cela aurait été bien plus difficile sans l'aide que j'ai reçue de Randolph Chung. Il m'a encouragé alors que je me battais pour faire marcher ensemble le matériel avec la version du BIOS, créé l'environement chrooté sous TurboLinux que nous avons utilisé pour faire le travail de préparation du démarrage, et aidé à compiler les quelques paquets avec lesquels j'avais des difficultés. Je voudrais également remercier Ben Collins et Brendan O'Dea pour avoir été sur IRC toujours au bon moment pour m'aider à me débarasser de la compilation de glibc et des paquets Perl. Leur patience et leur enthousiasme m'ont aidé ! Actuellement, je démarre sur un système de fichier à 100 % sous Debian, et je finalise les dernières choses pour « commencer » à compiler les paquets qui pourront être envoyés. J'ai demandé la création d'une branche binary-ia64, et j'espère l'avoir bientôt. L'envoi des paquets devrait commencer dans le courant de la semaine prochaine. Il semble tout à fait possible que IA-64 rejoigne l'ensemble des architectures supportées pour Woody, mais il reste encore beaucoup de travail à effectuer ! Avant de faire passer l'ensemble fonctionnant dans un environnement chrooté à un vrai système de fichier Debian, nous avons compilé plus de 600 .deb, parmi lesquels toutes les dépendances du paquet des disquettes de démarrage. Il y a quelques bidouilles horribles qui devront être examinées, et une série d'erreurs internes du compilateur qui se répètent dans la version de prépublication du compilateur que nous utilisons, mais je ne m'attends pas à ce que cela prenne du temps avant d'avoir un nombre suffisant de paquets compilés et envoyés dans l'archive. Je comprends qu'il y a eu des progrès pour obtenir un système IA-64 apte à une utilisation générale par les développeurs Debian. J'espère qu'il y aura bientôt une annonce pour cela. En même temps, je ne suis *pas* capable de fournir des comptes pour tout le monde sur cette machine. Bdale </pre> #use wml::debian::weeklynews::footer translator="Thomas Huriaux"
#use wml::debian::weeklynews::header PAGENAME="Courriel"
#use wml::debian::translation-check translation="1.3" maintainer="Thomas Huriaux"
<pre>
De : Anthony Towns <ajt@debian.org>
Date : Dim 1. juil. 2001 11 h 04 ' 48 " +1000
À : debian-devel-announce@lists.debian.org
Sujet: Début du gel de Debian 3.0 (Woody)
Salut tout le monde, et bienvenue dans une nouvelle semaine, un nouveau
mois et une nouvelle phase du cycle de développement de Woody.
Bienvenue dans le gel de Woody.
Comme cela a été précédemment proposé, le gel aura lieu en quatre phases :
tout d'abord, la charte sera gelée, suivie par le système de base. Ensuite
viendront les installations standards, et enfin le reste de Debian. L'objectif
de cette première partie du gel est de finaliser nos attentes sur la
publication (ce à quoi nous voulons que nos paquets ressemblent, quelles
sont les architectures qui seront intégrées) et de nous préparer au gel
du système de base en nous assurant que celui-ci est publiable.
Veuillez noter que cela n'inclut *pas* encore le gel des paquets de
développement : les corrections de bogue et les nouvelles fonctionnalités
sont toujours les bienvenues, et continueront à être ajoutées à Woody
de la manière classique. Cela signifie juste que vos paquets seront
bientôt gelés, donc qu'il est probablement temps de vous limiter dans
l'introduction de nouvelles fonctionnalités en ne conservant que celles
qui ont été fortement testées en amont, et de corriger les bogues.
En détails, les objectifs pour cette phase sont :
* Finaliser la charte de Debian : toutes les propositions sur ce que
les paquets de Woody doivent intégrer sont acceptées ; il faudra
s'assurer que le document -policy est utile pour les personnes
travaillant sur l'assurance qualité.
Date limite : la version finale de debian-policy doit être envoyée
dans l'archive le 21 juillet.
* Finaliser les architectures intégrées. De la même manière que pour
alpha, arm, i386, m68k, powerpc et sparc, nous avons l'occasion
d'intégrer ia64 (la nouvelle architecture 64bit Itanium d'Intel), hppa
(l'architecture PA-RISC d'HP), mips and mipsel (machines SGI et
Decstation). Les conditions pour l'inclusion dans Woody sont assez
simples et sont satisfaites, ou proches de l'être, par toutes ces
architectures. En tant que référence, il s'agit de : un ensemble
d'utilitaires fonctionnant et relativement stables, un système
utilisable (incluant toute la base et les standards ; et suffisamment
d'autres choses optionnelles), et une installation qui fonctionne.
(Pour les gens du Hurd, voyez ci-dessous.)
Date limite : quelqu'un de chaque architecture qui désire publier
doit envoyer un mail -release avec le statut actuel et un
compte-rendu d'installation réussie avant le 24 juillet.
* Determiner si les logiciels cryptographiques doivent être déplacés
de non-US/main vers main. Ben Collins (le chef du projet) est
en train d'investiguer cela.
Date limite : un avis légal doit être obtenu avant le 21 juillet.
* S'assurer que le système de base est publiable sur toutes les
architectures : cela signifie qu'il faut s'assurer que nous
connaissons de quels paquets consiste exactement le système de base
pour chaque architecture ; et corriger tous les bogues critiques
pour la publication (c'est-à-dire, avec une gravité critique, grave
ou sérieuse) dans ces paquets.
Date limite : les paquets de la base ne doivent plus contenir de
bogues critiques pour la parution le 21 juillet.
Si tout va bien, la phase suivante commencera le 1er août. Si tout va
terriblement bien, nous publierons en Novembre. Ha ha ha.
Le risque principale qui pourrait affecter l'entrée dans la phase suivante
est la possibilité de trouver des bogues critiques pour la publication dans
le système de base qui prendraient un temps non négligeable à corriger.
Comme vous l'avez remarqué en analysant la ligne du sujet, Woody sera
numérotée Debian 3.0, pour mettre en évidence le nombre de changements
depuis Potato. Il s'agit, pour que les choses soient claires, d'une
décision controversée, mais j'ai dû la prendre. Personnellement,
je suis assez content de l'évolution de Woody, et je pense qu'au moment
de la publication, il sera plus facile d'accepter ce numéro -- et je
pense au « 3 », pas au « .0 ».
Au sujet des décisions controversées, une que je ne prendrai pas
aujourd'hui est le nom de la publication après Woody. Elle sera prise
lorsque Woody sera publiée et qu'une nouvelle distribution de test sera
lancée à partir de Woody. Avant cela, il faudra que je pense à regarder
une nouvelle fois Toy Story.
Bien que je ne m'inquiète pas pour le nom de la prochaine publication,
j'ai quelques idées sur la façon dont elle devrait être gérée. Mon objectif
principal pour cette publication était de réussir à avoir un gel court et
contrôlé, ce que nous pouvons faire en quelques mois, plutôt que de
laisser traîner pendant 7 mois sans en voir la fin, mais cela nécessite
de laisser durer un peu plus longtemps le cycle de développement : dix mois
et demi, en l'état des choses. Pour le prochain cycle (si l'on considère
que le gel sera court et contrôlé), je pense qu'il serait intéressant de
voir si nous pouvons refaire la même chose, avec un cycle court (2 ou 3 mois)
de développement, pour un cycle de publication de 5 à 7 mois.
Cela signifierait que vous n'auriez pas besoin de trop vous inquiéter
si vous n'arrivez pas à inclure dans Woody quelques nouvelles
fonctionnalités, si ça peut servir de consolation.
Et pour finir, je suis disposé à penser qu'il vaut mieux que le Hurd se
prépare pour le prochain gel (dans, disons, six à huit mois à partir
d'aujourd'hui). En particulier, le Hurd est actuellement difficile
à porter (et a donc une quantité limitée de logiciels, comparé aux
ports Linux de Debian), et n'est pas capable de s'installer tout seul.
En bref, le gel commence. Préparez-vous.
Cordialement,
aj
--
Anthony Towns <ajt@debian.org>
Gestionnaire de publication de Debian
</pre>
#use wml::debian::weeklynews::footer translator="Thomas Huriaux"
Attachment:
signature.asc
Description: Digital signature