Chroniques – 2018 – Semaines 7 et 8

Avant d’entrer dans le vif de la chronique, voici un grand merci aux Magéiens qui ont aidé à la réinitialisation de tous les mots de passe après les problèmes de sécurité dont nous avons parlé la semaine dernière. Tout est revenu en ordre maintenant pour l’essentiel, mais contactez-nous par la liste de diffusion « discuss » si vous avez encore besoin d’aide.

Concernant la chronique :

Sur les deux dernières semaines, 1282 paquetages sont passés par les dépôts updates/testing – l’équipe n’a pas chômé. Et comme vous pouvez le voir, certaines mises à jour de sécurité concernent Mageia 5 également, mais attendez-vous à ce qu’on déclare la fin.


C’est réellement facile de mettre des canards en file.
La prochaine fois, dites aux gens que vous allez le faire avec des chats.
Ça pourrait prendre du temps.

Mises à jour de sécurité

  • ghostscript  – Mga 5, Mga6
  • advancecomp – Mga6
  • freetype2 – Mga6
  • mariadb – Mga5
  • jackson-databind – Mga6
  • postgresql9.4, postgresql9.6 – Mga5, Mga6
  • apache-commons-email – Mga6
  • glpi, php-zetacomponents-base – Mga6
  • kernel, kernel-userspace-headers, kmod-vboxadditions, kmod-virtualbox,
  • kmod-xtables-addons – Mga6
  • kernel-linus – Mga6
  • kernel-tmb – Mga6
  • quagga – Mga6
  • irssi – Mga6
  • qpdf, cups-filters – Mga6
  • mpv – Mga6
  • nasm – Mga6

Correctifs:

  • openbox – Mga6
  • hplip – Mga6
  • qarte – Mga6
  • pure-ftpd – Mga6
  • networkmanager – Mga6

Comme toujours, vous pouvez vérifier par vous-même sur Mageia Advisories, Mageia AppDB et PkgSubmit pour voir l’activité des dernières 48 heures,et le Bugzilla pour voir l’activité actuelle.

Rédaction de Patricia Fraser

Publié dans Chroniques, Mageia | Un commentaire

Indisponibilité programmée de l’infrastructure de Mageia

Au cas où vous auriez manqué l’annonce sur les listes de diffusion, l’infrastructure Mageia sera arrêtée pour une maintenance programmée qui débutera le :

mardi 27 février vers 10h00 UTC

(soit vers 11 heures heure de Paris).

Ceci signifie que les forums, le Wiki, Bugzilla, les listes de distribution, le site web (www.mageia.org)  et le buildsystem seront inaccessibles jusqu’à la fin de la maintenance.

Nous prévoyons de rétablir les services au plus tard le jour même, mais nous ne pouvons connaître la durée exacte avant le redémarrage. Vous pourrez vérifiez sur le Blog https://blog.mageia.org/en/, Facebook https://www.facebook.com/Mageia/ ou Twitter https://twitter.com/mageia_org le statut de la mise à jour et les annonces de reprise des services.

Publié dans Annonces, Mageia | 4 commentaires

Atteinte à la sécurité

Un utilisateur a réussi à accéder à notre base de donnée LDAP et a publié les adresses de courriel, les identifiants et apparemment les hash des mots de passe de tous ceux qui se sont enregistrés sur identity.mageia.org. Toutefois les hash publiés ne correspondent pas à ceux que nous avons enregistrés, ainsi il n’est pas certain que les mots de passe actuels aient été compromis. À titre de précaution tous les mots de passe ont été réinitialisés. De nouvelles règles ont été ajoutées pour prévenir tout accès au serveur LDAP. Les administrateurs système recherchent la façon dont on a pu accéder aux bases bien que la configuration aurait dû l’éviter.

Les mots de passe stockés sur le serveur LDAP de Mageia sont chiffrés avec hachage et sel (hash et salt), ce qui signifie que leur décryptage complet, s’il ont bien fuité, dans un format exploitable requerrait  une puissance de calcul significative pour des mots de passe sûrs et complexes. Bien que les données compromises semblent ne laisser apparaître que les noms et les adresses de courriels de identify.mageia.org, nous recommandons fortement aux utilisateurs d’être très prudents si les mots de passe de leur compte Mageia sont utilisés ailleurs, et de les changer partout où ils ont été utilisés.

Pour retrouver l’accès à votre compte Mageia, la réinitialisation du mot de passe devrait être suffisante pour tous les utilisateurs sans accès git. Le lien de réinitialisation peut être obtenu sur https://identity.mageia.org/forgot_password, après quoi vous recevrez un courriel contenant le lien.

Les utilisateurs privilégiés devront contacter un administrateur système pour retrouver leur accès.

Nous sommes sincèrement désolés pour tous les problèmes et dérangements que cela a pu vous causer.

Rédaction de Patricia Fraser – Traduction d’André Salaün

Publié dans Mageia, Sécurité | Commentaires fermés sur Atteinte à la sécurité

Mise à jour de l’atténuation des effets de Spectre-Meltdown

Depuis l’édition hier de la version 4.14.18 – – http://advisories.mageia.org/MGASA-2018-0125.html – nous sommes maintenant en position de réduire les effets, principalement sur la version x86_64,
Nous avons maintenant tout en place pour  Spectre v1, v2 et Meltdown.

Bien sûr pendant les semaines ou les mois qui viennent, il y aura d’autres correctifs venant de l’amont pour traiter des cas particuliers, des correctifs oubliés et des améliorations pour tout cela…

Et nous avons toujours besoin qu’Intel et AMD publient les micrologiciels  de sorte que les vendeurs de matériel puissent fournir des BIOS/EFI modifiés, et de les publier pour que nous puissions les fournir comme mise à jour dans le cas où ces mêmes vendeurs ne seraient pas en mesure de fournir des nouveaux BIOS/EFI.

Oh ! et pour ceux qui aiment vérifier 🙂 la façon officielle de vérifier le statut du  noyau est :

grep . /sys/devices/system/cpu/vulnerabilities/*

Le support de meltdown est toujours manquant pour la version 32 bits de mga6, mais maintenant (9 fév.) j’ai regroupé les correctifs proposés en amont pour cela, donc, un noyau avec ces correctifs va arriver dans le dépôt testing en fin de journée par une mise à jour vers 4.14.19.

Il manque toujours un peu de performances, mais on s’en occupe…

Merci beaucoup à tmb pour avoir pris le temps de nous fournir cette mise à jour !

Rédaction de Patricia Fraser – Traduction de Lebarhon et Yogilou

Publié dans Chroniques, Mageia | Commentaires fermés sur Mise à jour de l’atténuation des effets de Spectre-Meltdown

Fosdem 2018 – et petite chronique

Avant que nous partions au FOSDEM, une importante mise à jour nous est parvenue dans les dernière heures, ceci fait suite à l’explication de tmb de la dernière chronique :

MGASA-2018-0125 – Paquets mise à jour de noyau, correctifs de vulnérabilités de sécurité.
Date de publication : 11 Fév 2018
URL: https://advisories.mageia.org/MGASA-2018-0125.html
Type: sécurité
CVE: CVE-2017-5715, CVE-2017-5753

Description :
Cette mise à jour de noyau est basée sur la version amont 4.14.18 et ajoute des prises en charge de réduction des effets de Spectre, variant 1 (CVE-2017-5753) et comme il est compilé avec  retpoline-aware gcc-5.5.0-1.mga6, il fournit maintenant l’atténuation totale de retpoline pour Spectre, variant 2 (CVE-2017-5715). WireGuard a été mis à jour vers 0.0.20180202. Cette mise à jour corrige aussi le pilote rtl8812au qui a été cassé/oublié dans la mise à niveau vers les noyaux de la série 4.14  (mga#22524). Au sujet des autres correctifs dans cette mise à jour, lire le journal des changements cité en référence.

Merci beaucoup à tmb et aux autres développeurs pour tout le travail fourni à ce sujet !

FOSDEM

Nous reviendrons la semaine prochaine avec une chronique plus fournie, maintenant, c’est le FOSDEM, par quelqu’un qui y est allé chaque année…

Depuis la naissance de Mageia,  FOSDEM a toujours été un événement très important pour nous (NdT : salon du logiciel libre à Bruxelles). Six fois, nous y avons tenu un stand et notre assemblée générale pendant la manifestation, nous avons toujours pris le repas Mageia et il y avait à chaque fois toujours plus de plaisir à tenir la réunion.

Ce billet pourtant a failli ne jamais être écrit, car jusqu’à moins d’une semaine avant le FOSDEM, on était sûr de la présence d’un seul membre du conseil, akien. Cependant, il devait principalement être là pour un autre projet vraiment intéressant, le Godot Engine. https://godotengine.org/. A part cela, notre démarche pour obtenir un stand a été refusée (de nouveau  (https://blog.mageia.org/en/2017/01/26/mageia-meet-up-and-talk-at-fosdem-2017/}.

Six jours avant le FOSDEM, les noms ont commencé à s’ajouter sur notre page wiki du FOSDEM 2018 https://wiki.mageia.org/en/Fosdem_2018. Le lendemain, il devenait certain que ennael serait au FOSDEM et le mercredi, le nombre des membres du conseil est passé de 2 à 4. Ce ne fut qu’ensuite que nous avons essayé de trouver des volontaires pour aider à organiser les différents moyens de se rencontrer à Bruxelles.

Nous regrettons profondément cela, nous sommes conscients que probablement plus de magéiens auraient aimé être là, si les choses avaient été mieux organisées et plus tôt.

La réunion informelle « non- assemblée générale »

Au bout du compte il y eut au moins 14 magéiens au FOSDEM. Nous n’avons pas vraiment pu nous rencontrer, mais la plupart ont participé à une réunion informelle (l’Assemblée Générale doit se tenir en ligne avec Mumble http://madb.mageia.org/package/show/name/mumble dans quelque temps, afin que davantage de membres du conseil/bureau/association puissent participer.

La plupart des choses dites pendant la réunion informelle seront redites durant l’AG, sauf celles de Karine qui est trop nouvelle contributrice (elle deviendra officiellement contributrice lors de la tenue du CA   ;-))  et suite à une remarque faite par tmb après que ennael nous ait dit  qu’un grand nombre de contributeurs avaient aussi des soucis de santé. Il a dit quelque chose du genre « Magéia, la distribution aux soucis de santé ». Nous avons bien ri, mais il y avait du vrai dans cette remarque : les contributeurs qui ont des soucis de santé sont les bienvenus à Magéia, tout autant que ceux en bonne santé.

Mageia n’aurait jamais existé si elle avait été crée uniquement par des personnes en pleine santé (pas plus que si elle avait été crée uniquement par des personnes en mauvaises santé d’ailleurs, bien entendu  😉 ). D’ailleurs, si vous souhaitez contribuer mais vous vous demandez si vous êtes suffisamment en bonne santé pour être bienvenu, votre contribution sera aussi bien accueillie que celle de quiconque. Il n’y a pas de minimum de travail requis, alors tâchez de rejoindre une équipe https://wiki.mageia.org/en/Contribuer-fr et une tâche http://www.mageia.org/contribute/
et contribuez quand vous vous sentez pour le faire.

Mageia : le  repas  du samedi

Sans avoir fait de réservation, et après une longue marche en  longeant de nombreux restaurants, nous en cherchions un qui ait assez de place pour nous tous et huit d’entre nous ont eu un agréable repas dans un restaurant halal, « une première » pour la plupart d’entre nous. C’est devenu une tradition d’aller ensuite dans un autre restaurant pour savourer une gaufre. En fait ce n’est pas forcément la meilleure tradition, étant donné la taille du ventre de certains.

Mageia : l’événement bière (le déjeuner) du dimanche

Pendant la réunion informelle, akien proposa ce qui pourrait devenir une nouvelle tradition : se rencontrer à midi autour d’une bière. Pour certains ce fut plus déjeuner que boire de la bière, mais de toute façon, c’était bien agréable d’être ensemble, parce que sans le stand Mageia, il n’y a pas d’endroit pour se rencontrer.

Fosdem

Il semble que chaque année le FOSDEM devienne de plus en plus fréquenté et de plus en plus de présentations attirent toujours plus de visiteurs que la pièce puisse contenir. L’un des magéiens trouva le FOSDEM très difficile : « à cause de la foule de gens j’ai raté les ‘importantes interventions auxquelles je souhaitais assister car il fallait se pousser et perturber l’intervention précédente pour avoir quelque chance de la suivre avant que la salle ne ferme. Dans une salle la qualité du son retransmis était si mauvaise que je ne pouvais rien entendre.  À cause de ces désagréments je n’y reviendrai pas. Je suis vraiment déçue et frustrée de perdre ainsi mon temps. Cela a été pointé au FOSDEM et ils ont été critiqués, le fait que j’ai adoré vous y rencontrer ainsi que d’autres n’a rien à voir avec cela. »

Beaucoup de conférences en vidéo ici : https://video.fosdem.org/2018/  et là :  https://www.youtube.com/user/fosdemtalks/videos.

Mageia : les rendez-vous futurs

Parce que le FOSDEM est si couru, au point que qu’on ne puisse pas entrer dans une salle ou avoir un stand, cela a été vraiment difficile aux magéiens de se voir. Peut-être nous faut il réfléchir à un autre point de rencontre – pour le moins moins fréquenté et avec des conférences mieux organisées, ou même des conférences à l’extérieur ?  Vos conseils seront précieux à ce propos – merci d’apporter vos commentaires ci-dessous, donner de la voix dans les forum et sur les listes de diffusion.

Un grand merci à Marja d’avoir écrit tout cela ! on aurait aimé y inclure quelques photos, mais les magéiens qui en ont pris sont si timides – alors peut-être la semaine prochaine…

Rédaction de Patricia Fraser – Traduction de Yogilou et Lebarhon

Publié dans Non classé | 3 commentaires