Qui a parlé d’attendre ?

Désolé, c’est peut-être moi qui me suis mal exprimé. J’avais compris que l’on sait tous les deux qu’une faille est dangereuse à partir du moment où elle existe. Ce n’est pas parce que l’on a aucune preuve de son exploitation qu’elle ne l’a pas été. (on trouvera toujours quelques exceptions à cette règle, mais en général c’est ça)



Mais tu semble dire que l’auteur de la news ne l’a pas compris. L’auteur, ou Mozilla, du reste. Et c’est sur ce point que je ne suis pas d’accord avec toi :)

Pour moi, dans la news, la formule : “Elle colmate une importante vulnérabilité, déjà exploitée donc dangereuse.” n’insinue pas que l’auteur de la news pense qu’elle n’aurai pas été dangereuse si elle n’était pas déjà exploitée.



Peut-être qu’il pourrait y avoir une meilleur formulation ? Mais elle n’est pas fausse.



Après on peut discuter sur le degré ou sur l’urgence de cette dangerosité en fonction du fait que son exploitation est connue. C’est peut-être ce que veux souligner la news. La différence entre une faille 0-day avérée et une faille dont on a pas encore connaissance d’une exploitation. Mais pour moi ça n’insinue pas que sinon, tout va bien.

 

Heu… je te rappel qu’on te dit depuis, le début, qu’il n’y a que toi qui a compris ça.

 Et effectivement ça n’a aucun sens.



Par contre le fait que ce soit une 0-day (exploitation active détectée de la faille avant correction) rend plus urgente cette dangerosité.

 

 Je n’ai pas d’expertise particulière dans le domaine.

Mais il me semble que quand une exploitation active d’une faille est détectée, qui plus est, alors qu’elle n’est pas encore corrigée, c’est beaucoup plus urgent et dangereux que quand cette même faille n’a apparemment pas encore été exploitée.



Cela dépend de pleins de choses, et en particulier de la nature de la faille. C’est sans doute rare, mais certaines doivent pouvoir être exploitée très activement a l’insu de tout le monde, alors que d’autres si elles ont été exploitée ont forcément laissé des traces (crash spécifique, activité réseau atypique, etc…).



Mais quand l’exploitation devient publique, elle peut se répandre comme une traînée de poudre. Ce n’est pas tant la dangerosité potentielle de la faille d’un seul Firefox qui change. Mais le risque qu’un individu lambda (qui n’est pas une cible militaire, politique, économique, etc… particulière) se fasse toucher par une attaque qui utiliserai la faille en question.

Le fait qu’une méthode d’exploitation d’une faille soit connue, veut dire qu’elle peut être étudiée, copiée, améliorée et automatisée, et donc atteindre beaucoup plus de gens et beaucoup plus vite.

Là encore ça dépend de la méthode. Certaines même connues, peuvent poser tellement de problèmes pour leur mise en pratique que ce n’est pas très dangereux.



Si par contre tu fait partis des cibles militaires, politiques économiques, etc… intéressantes pour un pirate et/ou avec des ennemis compétent et possédant les moyens de la mettre en pratique. A chaque faille corrigée, même celles qui n’ont pas eu d’exploitation active connue avant leur correction. Tu as intérêt a comprendre la faille, ses implications et est-ce que tu n’aurai pas les traces d’une exploitation de cette faille dans ton système. On sait jamais.



Mais pour un lecteur lambda (ce n’est pas forcément ton cas) de Next INpact tant qu’il n’y a pas d’exploitation connue d’une faille, comme le dit Mihashi d’une façon claire et concise (je suis admiratif :) ) la dangerosité est potentielle.



Je ne sais toujours pas si mon point de vue est plus clair ?

Si tu as un trou dans ton toit (la faille), c’est potentiellement dangereux. Si on annonce un orage de grêle (l’exploitation active de la faille) c’est donc dangereux.

Ça aurai pu être tourné différemment dans la new, par exemple en parlant d’urgence, mais ce n’est pas faux. Et ça n’implique pas que la faille avant la connaissance de cet exploitation n’était pas dangereuse.



(j’espère que tu n’est pas un troll … )