Hebeh.com, hebergement professionnel de sites internet www.hebeh.com

epsylon · Inscrit le: Apr 28, 2005 Messages: 11824 75573 points Lieu de résidence

Bonjour,
Une importante faille de sécurité a été mise en évidence ce week-end
sur l'ensemble des noyaux Linux 2.6.XX que vous pouvez utiliser chez
Ovh (et pas seulement). Aucun patch de sécurité (grsecurity, PaX,
Openwall, etc) ne bloque ce bug. La seule possibilité de fixer le
bug est de mettre à jour votre kernel vers la dernière version de
Linux 2.6.24.2 (mis à jour hier soir à 21H51 !!).

Ce bug est TRÈS dangereux: n'importe quel utilisateur du serveur
permet d'avoir les droits de root en moins de 10 secondes !! Très très
simplement. En suite c'est foutu car il fait réinstaller le serveur.
Même si vous ne proposez pas de shell/bash sur vos serveurs, à travers
les scripts php, cgi etc on peut avoir l'accès root sur la machine.

Ne remettez pas à demain ou à ce soir cette mise à jour ! Il y a 1h
environ, on vient de bloquer le 1er serveur hacké avec cette méthode.
Et avec ce bug, c'est la sécurité du réseau qui est en dangers. Nous
n'allons donc pas hésiter 1 seconde de bloquer votre serveur s'il est
hacké. Prenez donc 10 minutes là pour exécuter ces quelques commandes
simples.

Ovh propose des noyaux patchés, verifiés et sécurisés contre ce bug
de sécurité. Aussi, le nouveau noyau supporte mieux les cartes réseaux
utilisés sur le hardware chez Ovh, l'iSCSI, ainsi qu'une tonne de
petits bugs du Kernel.

Comment mettre à jour le noyau en moins de 5 minutes ? Très simplement.
Même si vous n'avez jamais fait, vous allez réussir cette mise à jour

1.)
Connectez vous sur le serveur en SSH et tapez (copier coller):
# wget -q ftp://ftp.ovh.net/made-in-ovh/dedie/...3ware-sysfs.sh -O - | /bin/bash
# wget -q ftp://ftp.ovh.net/made-in-ovh/rtm/install_rtm.sh -O - | /bin/bash
Ceci met à jour votre RTM, le patch sysfs, 3ware. Une sécurité de plus
avant le reboot.

2.)
Dans le manager, choisissez "netboot" et puis "ipv4", puis la version
"32bits" ou "64bits" (ça dépend la distribution que vous utilisez)
Par exemple "bzImage-xxxx-std-ipv4-32"
En suite reconnectez sur sur le serveur en SSH et tapez
# reboot
Attendez le redémarrage du serveur (entre 2 et 5 minutes en fonction du
serveur) puis reconnectez-vous sur le serveur en SSH puis tapez:
# uname -a
La commande doit vous renvoyer la version 2.6.24.2. Par exemple:
# uname -a
Linux oles2.ovh.net 2.6.24.2-xxxx-std-ipv4-32 #1 SMP Mon Feb 11 14:51:26

Si vous n'utilisez pas le netboot, vous pouvez telecharger nos noyaux
sur ftp://ftp.ovh.net/made-in-ovh/bzImage
bzImage-2.6.24.2-xxxx-std-ipv4-32
bzImage-2.6.24.2-xxxx-std-ipv4-32-hz1000
bzImage-2.6.24.2-xxxx-std-ipv4-64-hz1000
bzImage-2.6.24.2-xxxx-std-ipv6-32
bzImage-2.6.24.2-xxxx-std-ipv4-32-filer
bzImage-2.6.24.2-xxxx-std-ipv4-64
bzImage-2.6.24.2-xxxx-std-ipv4-64-rescue
bzImage-2.6.24.2-xxxx-std-ipv6-64

Les noyaux GRSecurity ne sont pas encore disponible. Le patch sera dispo
sous quelques jours.

Si vous compilez vous-même le noyau, vous pouvez trouver notre .tar.gz
ainsi que les .config sur ftp://ftp.ovh.net/made-in-ovh/bzImage

Si vous avez des problèmes, merci d'utiliser le forum ou la mailing list
afin qu'on vous aide très directement. N'oubliez pas mettre le nom de
votre serveur dédié dans vos messages (chaque message). Sur le

Merci à tous et bon patch !

Les clients qui ont pris l'option sécurité totale sont en cours de mise
à jour (déjà).

Source OVH

Cyril · Inscrit le: Apr 26, 2005 Messages: 12906 112324 points Lieu de résidence

bien vu epsy, et merci pour la transmission de l'information Smile

epsylon · Inscrit le: Apr 28, 2005 Messages: 11824 75573 points Lieu de résidence

pas de quoi Smile

Helger · Inscrit le: Feb 03, 2006 Messages: 2548 30138 points Lieu de résidence

Hello.

Arf !
Avant que les questions ne pleuvent, seuls ceux qui sont en serveur(s) dédié(s) (Et qui ont la possibilité de contrôler leur(s) serveur(s) de A à Z) peuvent effectuer cette manipulation.
Pour les autres, inutile d'essayer, (Et heureusement d'ailleurs, imaginez le bin's si chacun pouvait s'amuser à tripatouiller le noyau ou autre fichiers de config sur des serveurs mutualisés. Rolling Eyes

), l'herbergeur s'en chargera.

Wink

peintclopat · Inscrit le: Nov 10, 2005 Messages: 232 5469 points Lieu de résidence

Hello,
Ma question est certainement bête, mais je la pose quand-même.
J'ai mon site sur OVH, sur le serveur de OVH, je crois que cela ne concerne pas mon site vu que vous parlez de serveur et non d'espace pour site...

Helger · Inscrit le: Feb 03, 2006 Messages: 2548 30138 points Lieu de résidence

Hello.

Vu ta description, cela ne te concerne pas.
Par contre, OVH si.

Ne t'en fais pas, ceux qui sont concernés (Et j'espère que OVH est assez professionnel pour le faire) a averti ses clients qui doivent faire eux-même la manip. Wink

Cyril · Inscrit le: Apr 26, 2005 Messages: 12906 112324 points Lieu de résidence

c'est vrai que les gens confondent, ça m'avait échappé aussi Sad

mais effectivement un hébergé n'a pas ce type de soucis et entre nous ... c'est très bien Smile

seuls les gens qui s'hébergent ou les hébergeurs peuvent avoir ce type de travail à faire - enfin mettre à jour un kernel ( s'il s'avère réellement que c'est nécessaire ) ce n'est pas la mer à boire ( en toute logique )

enfin celui qui a un OS type linux a un système de mise à jour embarqué qui lui dit ( en toute logique )
et si on est loveur linux on suis le site

Lien externe:

Les liens externes ne sont consultables que par nos utilisateurs enregistrés, vous pouvez dès à présent créer un compte gratuitement

de près

le kernel 2.6.24.2 est dispo depuis le 11-02-2008 il y a certainement des raisons, dont une a été mise en avant

regardez bien on en est à la version 2.6.25-rc1 déjà Smile

peintclopat · Inscrit le: Nov 10, 2005 Messages: 232 5469 points Lieu de résidence

Bonjour,
Merci, ça me rassure dans le sens où je suis plutôt client chez OVH et en espérant qu'il aura fait le necessaire... Je ne voudrais pas devoir tout recommencer chez un autre hébergeur concernant mon site, maintenant qu'il tourne fin bien... Je commence même à avoir des amateurs pour l'étude du dessin...
A+ Patrick