• 2 Votes
    3 Messages
    223 Vues

    @violence Merci pour l’info !

  • 1 Votes
    1 Messages
    155 Vues

    La dernière version de Proton 7.0.2 va ravir ceux qui souhaitent utiliser des jeux Windows sur un système Linux. Aux côtés d’une série de corrections de bugs et de mises à niveau, une vingtaine de nouveaux titres font leur apparition dans la liste de compatibilité.

    Atelier Ayesha sous Linux avec le nouveau Proton

    Valve a libéré, ce 21 avril, Proton 7.0.2, une version de correction, permettant à de nouveaux titres d’être compatibles avec Linux via Steam Play.

    C’est quoi Proton de Valve ?

    Proton est un outil permettant au client Steam de faire tourner des jeux Windows depuis un système d’exploitation Linux. Il utilise Wine pour ce faire. En outre, il est gratuit et open source

    Quoi de neuf dans Proton ?

    La nouvelle version 7.0.2 apporte une série de mises à niveau, dont Wine Mono 7.2.0, vkd3d-proton v2.6 et dxvk-nvapi to v0.5.4. Resident Evil Revelations 2 peut désormais tourner correctement sur la Steam Deck.

    Quels sont les nouveaux jeux disponibles ?

    Proton 7.0.2 ajoute 19 nouveaux jeux à la liste de compatibilité :

    - Atelier Ayesha
    - Devil May Cry HD Collection
    - Dragon Quest Builders 2
    - A Way Out
    - Fall in Labyrinth
    - K**g of Fighters XIII
    - Montaro
    - ATRI -My Dear Moments-
    - Guilty Gear Isuka
    - INVERSUS Deluxe
    - Metal Slug 2 and 3 and X
    - One Shot and One Shot : Fading Memory
    - Call of Duty Black Ops 3
    - Saint Seiya : Soldiers’ Soul
    - Medieval Dynasty
    - Bright Memory : Infinite
    - Double Dragon Trilogy
    - Baseball Stars 2
    - Elden Ring

    Obtenir Proton de Valve

    Il est possible de télécharger les sources depuis le compte Github de Proton (Valve). Pour un paquetage prêt à l’emploi, il faut se reporter aux dépôts de votre distribution Linux. Les sources sont disponibles au format ZIP.

    Source : toolinux.com

  • 3 Votes
    1 Messages
    124 Vues

    Si vous utilisez Linux, vous connaissez forcément la commande « cat » qui permet d’afficher le contenu d’un fichier au format texte.

    Vous connaissez aussi peut-être « less » qui permet également de se balader dans un fichier texte plus facilement.

    Mais connaissez vous BAT ?

    Bat est donc un clone de « cat » qui propose pas mal de fonctionnalités super cools comme la coloration syntaxique pour un grand nombre de formats de fichiers et de langages, le support de Git qui permet de voir les modifications sur un fichier, ou encore l’affichage des caractères non imprimables grâce au paramètre -A.

    bat -A monfichier.txt

    Comme vous pouvez le voir sur les captures, il y a également la numérotation des lignes et bien sûr une pagination automatique (comme avec « less »).

    Vous pourrez aussi afficher plusieurs fichiers en même temps ou appeler bat en argument comme ceci

    curl -s https://sh.rustup.rs | bat

    Pour installer bat sous Debian / Ubuntu, pas besoin de (bat) signal mais simplement d’apt :

    sudo apt install bat

    On peut bien sûr l’installer sur tous types de distrib et même macOS avec Brew.

    Si ça vous dit, toute la doc et le code source se trouvent ici sur Github.

    Puis, quel plaisir de pouvoir faire un bat man « man bat »

    SOURCE: Korben.fr

  • 1 Votes
    3 Messages
    188 Vues

    Ou “faut pas faire chier gérard Lambert quand y répare sa mobylette”
    A la niche!

  • 0 Votes
    1 Messages
    190 Vues

    Si vous faites de la sécurité informatique et plus particulièrement de l’audit ou de l’analyse de logiciels malveillants, je vous invite aujourd’hui à jeter un œil à SSH-MITM.

    Comme son nom l’indique, SSH-MITM est un serveur Man In The Middle qui une fois installé permet de voir tout ce qui transite entre des machines dans le cadre de connexions SSH.

    L’outil gère l’authentification avec clés publiques, le détournement de sessions et la manipulation de fichiers durant les transferts SCP / SFTP.

    SSH-MITM peut être installé sous Linux avec la commande suivante, et sur les Android :

    sudo snap install ssh-mitm

    Vous pouvez également l’installer avec pip (package python) comme ceci :

    pip install ssh-mitm

    C’est évidemment à utiliser uniquement sur votre propre matériel dans un cadre de recherche.

    Ne faites rien d’illégal avec ça sinon, vous irez obligatoirement en prison. C’est sûr et certain ^^ !

    SSH-MITM est disponible ici.

    SOURCE: Korben.info

  • 1 Votes
    1 Messages
    116 Vues

    80 % des menaces liées aux brevets proviendrait des trolls

    Les trolls des brevets, ou entités d’affirmation des brevets (PAE), sont depuis longtemps un fléau pour les logiciels libres. Cependant, au fil des ans, d’autres groupes se sont levés pour les empêcher de voler les entreprises et les organisations qui utilisent réellement la propriété intellectuelle (PI) des brevets. L’un de ces groupes, Unified Patents, une organisation internationale regroupant plus de 200 entreprises, a remporté la victoire au cours des deux dernières années. Voici leur histoire à ce jour.

    Les Brevets Unifiés apportent le combat aux trolls. Il dissuade les trolls de brevets d’attaquer ses membres en rendant la victoire trop coûteuse pour le troll. Pour ce faire, le groupe examine les brevets des trolls et leurs activités dans divers secteurs technologiques (zones). La zone OSS est la plus récente de ces zones.

    da63b376-a300-4dcc-8d02-d6952d083106-image.png

    Notons que selon l’acception la plus courante, le terme troll désigne une entreprise qui ne fabrique aucun produit et dont la seule activité consiste à acquérir des brevets dans le but de les opposer à des tiers. Il semble toutefois qu’il existe autant de variantes de cette formulation de base qu’il existe d’entreprises. Que dire des grandes entreprises manufacturières qui ont des divisions spécialisées dans la constitution de portefeuilles de brevets dans le but de les faire valoir contre des tiers.

    Que dire des entreprises qui transfèrent leur portefeuille de brevets non exploités à des filiales partielles ou à part entière chargées de les opposer ensuite aux tiers ? Que dire des entreprises qui rachètent des portefeuilles de brevets à des fins défensives en obligeant du même coup d’autres sociétés à se joindre à elles pour se protéger ? Que dire des universités ? Elles ne produisent rien.

    On répondra que les universités ne sont pas concernées parce qu’elles accordent des licences à des entreprises pour fabriquer les produits couverts par leurs brevets. Mais que se passe-t-il si une université vend ses brevets à une NPE avec laquelle elle signe un accord de partage de bénéfices ?

    Comme on peut le voir, la notion de troll est très difficile à définir. Certains prétendront même que Thomas Edison, l’un des inventeurs les plus prolifiques des États-Unis d’Amérique, était un troll avant la lettre, puisqu’il cherchait à acquérir des licences sur des inventions qu’il n’avait pas l’intention de fabriquer.

    La plupart des menaces liées aux brevets, 80 % selon Unified Patents, proviennent des trolls. « Les attaques ne cessent de se multiplier. « La raison en est simple. C’est rentable. En plus de s’en prendre aux grandes entreprises, les patents trolls s’en prennent maintenant aux petites entreprises qui n’ont pas les ressources nécessaires pour les combattre ». Il serait moins coûteux pour elles de payer un chantage à la propriété intellectuelle que de les combattre en justice.

    Les litiges des trolls à l’égard des programmes open source ont atteint un niveau record de 721 cas en 2021. Il s’agit d’une augmentation de près de 22 % par rapport à 2020. Ces PAE sont notamment Sound View, Sockeye Licensing, St. Luke, MicroPairing, Level 3, Finjan, WSOU Investments et Unilco 2017.

    Les noms changent mais le jeu est toujours le même. Acheter des brevets, attendre que quelqu’un utilise ses idées pour créer un programme rentable, puis intenter un procès. Avant même le lancement officiel d’OSS Zone, Unified Patents et l’Open Invention Network (OIN), le plus grand groupe de non-agression en matière de brevets au monde, ont lancé des actions en justice contre des brevets de mauvaise qualité appartenant à PAE. La Fondation Linux et Microsoft ont fait équipe avec OIN pour soutenir OSS Zone et lutter contre ces mauvais brevets.

    Microsoft a récemment rejoint l’Open Invention Network (OIN). « Depuis sa fondation en 2005, l’OIN a été à l’avant-garde pour aider les entreprises à gérer les risques liés aux brevets et nous sommes honorés d’en faire partie.

    3748953d-e885-41c3-b2aa-35f2e34278f2-image.png

    La réaction des membres de la communauté open source à cette nouvelle a été formidable, y compris les bonnes questions qui nous ont été posées sur ce que notre adhésion signifie pour les développeurs. Nous nous sommes entretenus avec Erich Andersen, de Microsoft, pour obtenir plus de détails sur certaines des questions les plus fréquemment posées.

    Microsoft s’engage à apporter son aide à la protection de Linux et l’open source

    « Microsoft s’est engagé en faveur de l’open source et continue d’investir et de collaborer dans le vaste paysage de l’open source. En tant que bénéficiaire et participant actif de l’écosystème open-source, Microsoft s’engage à faire sa part, avec la communauté open source au sens large, pour protéger cette ressource précieuse contre les risques liés aux brevets et autres défis », David Dennis, chef de produit principal chez Microsoft.

    En outre, a poursuivi Burton Davis, vice-président et conseiller général adjoint de Microsoft. Les patent trolls et leurs « brevets de mauvaise qualité continuent de freiner l’innovation dans l’industrie du logiciel et de menacer les logiciels libres. Microsoft s’engage à faire tout ce qui est en son pouvoir pour protéger les logiciels libres des menaces liées aux brevets et pour empêcher les brevets de faible qualité de nuire à l’innovation. » Les trolls de brevets nuisent à tous ceux qui fabriquent des logiciels, pas seulement aux développeurs de logiciels libres.

    Il ne s’agit pas seulement d’un combat pour les grandes entreprises. Brevets unifiés encourage également les développeurs et les chercheurs à rechercher l’art antérieur afin de briser les mauvais brevets. Les recherches réussies rapportent à leurs gagnants 2 000 dollars. J’ai le plaisir d’annoncer que Microsoft rejoint l’OIN, une communauté dédiée à la protection de Linux et d’autres logiciels libres contre les risques liés aux brevets.

    C’est un travail très utile. Comme l’explique Jim Zemlin, directeur exécutif de la Fondation Linux, « c’est une voie utile lorsque l’invention revendiquée se trouvait déjà dans l’art antérieur, comme en témoignent les brevets existants, le code mis à la disposition du public dans des dépôts de logiciels libres ou les publications imprimées qui étaient disponibles au moment où un brevet était en cours de traitement. Il s’agit essentiellement de vérifier si un élément important a échappé à l’examinateur qui a autorisé la délivrance du brevet en tant que nouvelle invention. »

    Sources : Unified Patents, Microsoft, OIN, droit.developpez.com

  • 2 Votes
    1 Messages
    117 Vues

    Une vulnérabilité dans le noyau Linux a été découverte et relativement facile à exploiter. Elle touche plusieurs distributions Linux, ainsi qu’Android de Google.

    A l’occasion d’une analyse d’un problème soulevé par un client de l’hébergeur Ionos, un expert a découvert une faille dans le kernel Linux. Classée comme CVE-2022-0847 et un score de sévérité CVSS : 7.8. Max Kellermann, développeur au sein de Ionos a baptisé cette faille Dirty Pipe en écho à une brèche similaire nommée Dirty Cow (CVE-2016-5195), qui a été révélée en octobre 2016.

    Dans son analyse, le spécialiste a constaté « un cas surprenant de corruption » affectant les journaux d’accès au serveur web. Concrètement, la faille se situe dans le noyau Linux et donne la possibilité aux attaquants la capacité d’écraser des données dans n’importe quel fichier en lecture seule et prendre le contrôle complet des systèmes affectés.

    Un Poc (Proof Of Concept) publié

    Selon Max Kellermann, la vulnérabilité existe depuis la version 5.8 du kernel Linux et conduit à « une élévation de privilèges, car les processus non privilégiés peuvent injecter du code dans les processus racines ».

    Dans le détail, la faiblesse se situe dans la façon de gérer les pipe. Diminutif de pipeline, un pipe est un mécanisme de communication inter-processus unidirectionnel dans lequel un ensemble de processus s’enchaîne. Pour se servir de la faille, il faut selon le spécialiste : créer et remplir un pipe avec des données, vider le pipe, couper les données du fichier en lecture seule cible et écrire des données arbitraires dans le pipe.

    Il a démontré ses travaux avec un PoC de l’exploit. Les attaquants peuvent mener un certain nombre d’actions malveillantes sur un système, y compris l’altération de fichiers sensibles tels que /etc/passwd pour supprimer le mot de passe d’un utilisateur root l’ajout de clés SSH pour un accès à distance et même l’exécution de code arbitraire avec les privilèges les plus élevés.

    **Pour rendre cette vulnérabilité plus intéressante, elle ne fonctionne pas seulement sans droits d’écriture, mais aussi avec des fichiers immuables, sur des snapshots btrfs en lecture seule et sur des montages en lecture seule (y compris les montages de CD-ROM) **
    Max Kellermann.

    Des correctifs à installer d’urgence

    Le problème a été corrigé dans les versions 5.16.11, 5.15.25 et 5.10.102 de Linux à partir du 23 février 2022, trois jours après avoir été signalé à l’équipe de sécurité du noyau Linux. Google, pour sa part, a intégré les correctifs dans le noyau Android le 24 février 2022.

    Étant donné la facilité avec laquelle la faille peut être exploitée et la publication de l’exploit PoC, il est recommandé aux utilisateurs de mettre à jour les serveurs Linux immédiatement et d’appliquer les correctifs pour les autres distributions dès qu’ils sont disponibles.

    SOURCE: Le monde informatique

  • 1 Votes
    1 Messages
    212 Vues

    Si vous pratiquez cette merveilleuse discipline qu’est le Bug Bounty, vous avez surement déjà une boite à outils bien pratique. Mais si vous débutez, la bonne nouvelle c’est que le hacker éthique Kamil Vavra a compilé une « Awesome List » comme seul Github peut en héberger.

    Cette liste contient tous les outils pour faire de la reconnaissance de sous domaines, de technologies, de ports…etc et également de l’exploitation type injection de commande, injection SQL, XSS, XXE, File Inclusion…etc.

    f05c4b44-12c2-4a54-8186-8fdf27aeee7f-image.png

    Vous en aurez pour des heures à regarder et tester tout ça et je pense qu’ensuite ça vous fera gagner un max de temps.

    A découvrir ici.

    SOURCE: Korben

  • 1 Votes
    22 Messages
    2k Vues

    salut,

    en effet, je l’ai refait ce matin et rien de plus simple, merci beaucoup

  • 0 Votes
    1 Messages
    129 Vues

    CYCLop est une nouvelle initiative ouverte s’appuyant sur la technologie blockchain pour doter les différentes industries et filières métiers d’une plateforme de traçabilité des déchets.

    text alternatif

    L’entrée en vigueur de la loi anti-gaspillage pour une économie circulaire (dite loi AGEC) impose à l’écosystème de relever ce défi depuis ce 1er janvier 2022, en partageant les données de traçabilité des déchets et, notamment, des terres excavées, des sédiments et des produits de la démolition, dans un registre national des déchets.

    Le nouveau projet lancé cette semaine constitue une réponse aux évolutions réglementaires et aux besoins d’efficience de la filière dans l’industrie. CYCLop est lancée par TRACE et construite avec l’aide d’IBM Consulting, dans une démarche de sécurisation et de confidentialité des données transitant sur la plateforme, en s’appuyant notamment sur le protocole Hyperledger Fabric.

    CYCLop est une plateforme ouverte de mise en conformité des acteurs de l’économie circulaire, via un outil accessible à moindre coût. Elle vise à réunir les différents acteurs de la filière : producteurs de déchets, laboratoires d’analyse, assistants à maîtrise d’ouvrage, transporteurs, entreprises de travaux, négociants, exutoires et acteurs de la revalorisation.

    d4101462-ba48-42e6-b3b9-06dc5a048732-image.png

    La plateforme CYCLop s’appuie sur le protocole blockchain permissionné Hyperledger Fabric, open-source géré sous l’égide de la fondation Linux. IBM Consulting accompagne TRACE dans la construction de la plateforme et contribue à favoriser son adoption par l’écosystème de l’économie circulaire.

    La technologie blockchain joue le rôle de tiers de confiance numérique qui garantit l’intégrité de la donnée, porte une preuve de conformité et promeut une ambition de traçabilité de bout en bout et d’inclusivité de l’écosystème. - Vincent Fournier, Blockchain leader chez IBM France.

    Première application pilote et appel à projets

    La première application de CYCLop couvre la traçabilité des terres, des déblais et des sédiments pour le secteur de la Construction.

    Pour développer les fonctionnalités de la plateforme, CYCLop accueille tous les acteurs de l’économie circulaire souhaitant contribuer à une initiative collective pour répondre à des enjeux critiques et communs. L’initiative propose un cadre de gouvernance ouverte, multipartite et distribuée auprès des utilisateurs clés.

    Source : toolinux.com

  • 6 Votes
    4 Messages
    280 Vues

    @violence a dit dans GameBuntu : Linux Ubuntu pour les joueurs Windows :

    Si l’appli est disponible sur autre chose qu’Ubuntu, je dis banco sinon ce sera sans moi mais je n’en doutes pas 🙂

    laissons lui le temps, ca viendras surement

  • 0 Votes
    5 Messages
    284 Vues

    – Un Proof Of Concept en C ici: https://github.com/berdav/CVE-2021-4034

    – Un autre en Python ICI: https://github.com/joeammond/CVE-2021-4034

    – Pour patcher manuellement: https://gitlab.freedesktop.org/polkit/polkit/-/commit/a2bf5c9c83b6ae46cbd5c779d3055bff81ded683

    – Si vous avez un système un peu à la traine, vous pouvez en attendant utiliser cette commande pour neutraliser l’exploitation de pkexec :

    chmod 0755 /usr/bin/pkexec

    – Si vous avez un doute, vous pouvez vérifier les logs afin d’être certain que la vulnérabilité n’a pas été exploitée, cherchez les chaines suivantes dedans :

    The value for the SHELL variable was not found the /etc/shells file The value for environment variable […] contains suspicious content.

    – Tous les détails techniques ici :

    https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034

  • 5 Votes
    3 Messages
    211 Vues

    ouf y’a pas le cloud MEGA , je suis safe :ange:

  • 1 Votes
    2 Messages
    212 Vues

    Il est compatible avec le Pocophone F1. C’est justement le téléphone que j’utilise au taf. Si jamais j’en change je testerai bien cette distri pour voir ce qu’elle vaut. Mais je pense qu’on est vite limitée avec et qu’il ne faut s’en servir qu’avec un appareil dédié aux tests et autres bidouilles.

  • 2 Votes
    6 Messages
    316 Vues

    @rapace heureusement non, mais il y a 10 ans il en restait quelques unes, je ne suis même pas sûr que l’option existe encore sur les boxs actuelles pour faire ce test.

  • 3 Votes
    5 Messages
    318 Vues

    Attention, Tails est loin d’un Kali qui elle est plutôt utiliser par des Pentesters ou des gens voulant apprendre la sécurité IT par l’attaque/défense ou des gens ayant des connaissances dans les outils présents dans la distrib.

    Utiliser Kali au quotidien hors de contexte est un non sens pour moi m^me si c’ets tout à fait faisable.

    Tails est de toute façon non installable donc pas de dualboot à prévoir.