2.1 Changements concernant le noyau

Le p�riph�rique dump du noyau peut maintenant �tre indiqu� au d�marrage via la variable dumpdev. Il est donc maintenant possible d'obtenir des dumps de paniques se produisant durant les derni�res �tapes de l'initialisation du noyau (avant que le syst�me n'entre en mode mono-utilisateur).

Le p�riph�rique snp(4) n'est plus statique et peut maintenant �tre compil� en module.

    options DEVICE_POLLING
    options HZ=1000 # pas obligatoire mais fortement recommand�e

2.2 Security Advisories

Un bug ``off-by-one'' a �t� corrig� dans le code de multiplexage de OpenSSH. Ce bug pouvait permettre à un utilisateur distant authentifi� de faire ex�cuter du code par sshd(8) avec les privil�ges super-utilisateur ou pouvait permettre à un serveur SSH d'ex�cuter du code sur le syst�me client avec les privil�ges de l'utilisateur du client. (Consultez l'avis de s�curit� FreeBSD-SA-02:13.)

Une erreur de programmation dans zlib pouvait conduire à essayer de lib�rer le m�me bloc m�moire plusieurs fois. Les routines malloc(3)/ free(3) utilis�s dans FreeBSD ne sont pas vuln�rables à cette erreur, mais les applications recevant des blocs sp�cialement con�us dans ce but ou des donn�es compress�es invalides pouvaient ne plus fonctionner correctement ou s'interrompre. Ce bug de zlib a �t� corrig�. Pour les solutions et savoir comment comment contourner le probl�me, consultez l'avis de s�curit� FreeBSD-SA-02:18.

Des bugs dans les impl�mentations du cache SYN (``syncache'') et du cookie SYN (``syncookie'') de TCP, qui pouvait faire planter une machine avec un traffic TCP/IP tout à fait correct, ont �t� corrig�s. Pour les patches et savoir comment contourner ce probl�me, consultez l'avis de s�curit� FreeBSD-SA-02:20.

Une perte m�moire dans la table de routage, qui pouvait permettre à un attaquant distant d'�puiser les ressources m�moires d'une machine cible, a �t� corrig�. Les patches et le moyen de contourner ce probl�me sont disponibles dans l'avis de s�curit� FreeBSD-SA-02:21.

Un bug concernant les Entr�es/Sorties "mapp�es" en m�moire, qui pouvait provoquer un crash du syst�me, a �t� corrig�. Pour plus d'informations à propos de la solution, consultez l'avis de s�curit� FreeBSD-SA-02:22.

Un trou de s�curit�, gr�ce auquel les programmes SUID pouvaient lire ou �crire des fichiers incorrects en manipulant leurs descripteurs de fichier d'Entr�es/Sorties standards, a �t� corrig�. La solution est disponible dans l'avis de s�curit� FreeBSD-SA-02:23.

[4.6.2] La premi�re correction pour l'avis de s�curit� SA-02:23 (qui visait l'utilisation des descripteurs de fichiers par les programmes en SUID ou en SGID) contenait une erreur. Il �tait toujours possible pour les syst�mes utilisant procfs(5) ou linprocfs(5) d'exploiter ce bug. Cette erreur a maintenant �t� corrig�e; une nouvelle version de l'avis de s�curit� FreeBSD-SA-02:23 contient plus de d�tails.

Un comportement inattendu pouvait se produire avec k5su(8) parce qu'il ne v�rifiait pas que l'utilisateur �tait membre du groupe wheel lorsqu'il essayait de passer en super-utilisateur (c'est le cas avec su(1)). Pour �viter cette situation, k5su(8) est maintenant install� en non-SUID par d�faut (ce qui le rends inutilisable). Plus d'informations sont disponibles dans l'avis de s�curit� FreeBSD-SA-02:24.

Plusieurs vuln�rabilit�s ont �t� d�couvertes dans l'utilitaire bzip2(1), qui pouvait conduire à l'�crasement de fichiers sans avertissement ou permettre à des utilisateurs locaux d'acc�der à des fichiers prot�g�s. Ces probl�mes ont �t� corrig�s avec la mise à jour de bzip2. Pour plus d'informations, consultez l'avis de s�curit� FreeBSD-SA-02:25.

Un bug a �t� corrig� dans l'impl�mentation du cache SYN de TCP (``syncache''), qui pouvait permettre à un attaquant distant d'interdire l'acc�s à un service lorsque les filtres d'acc�s (voir accept_filter(9)) �taient utilis�s. Ce bug a �t� corrig�; pour plus d'informations, consultez l'avis de s�curit� FreeBSD-SA-02:26.

A cause d'un bug dans l'utilisation des caract�res sp�ciaux du shell dans rc(8), les utilisateurs pouvaient supprimer le contenu de n'importe quel fichier si /tmp/.X11-unix n'existait pas et que le syst�me �tait relanc�. Ce bug a �t� corrig� (consultez l'avis de s�curit�FreeBSD-SA-02:27).

[4.6.2] Un d�bordement de tampon m�moire dans le r�solveur, qui pouvait �tre exploit� par un serveur de nom de domaines ou par un attaquant envoyant des messages DNS, a �t� corrig�. Consultez l'avis de s�curit� FreeBSD-SA-02:28 pour plus de d�tails.

[4.6.2] Un d�bordement de tampon m�moire dans tcpdump(1), qui pouvait �tre exploit� via des paquets NFS mal form�s, a �t� corrig�. Consultez l'avis de s�curit� FreeBSD-SA-02:29 pour plus de d�tails.

[4.6.2] ktrace(1) ne peut plus tracer les op�rations des processus pr�c�demment privil�gi�s; cela emp�che la fuite d'informations sensibles que le processus pouvait avoir obtenu avant d'abandonner ses privil�ges. Pour une discussion sur ce probl�me, consultez l'avis de s�curit� FreeBSD-SA-02:30 pour plus de d�tails.

[4.6.2] Une "race condition" dans pppd(8), qui pouvait �tre utilis�e pour changer les permissions d'un fichier quelconque, a �t� corrig�e. Pour plus d'informations, consultez l'avis de s�curit� FreeBSD-SA-02:32.

[4.6.2] Plusieurs d�bordements de tampon m�moire dans OpenSSL ont �t� corrig�s gr�ce à la mise à jour de la version incluse dans le syst�me de base. Plus de d�tails sont disponibles dans l'avis de s�curit� FreeBSD-SA-02:33.

[4.6.2] Un d�bordement du tas m�moire dans le d�codeur XDR a �t� corrig�. Pour plus de d�tails, consultez l'avis de s�curit� FreeBSD-SA-02:34.

[4.6.2] Un bug qui pouvait permettre aux utilisateurs locaux de lire et d'�crire des blocs quelconques d'un syst�me de fichiers FFS a �t� corrig�. Plus de d�tails sont disponibles dans l'avis de s�curit� FreeBSD-SA-02:35.

[4.6.2] Un bug dans le code du serveur NFS, qui pouvait permettre une attaque distante de type d�ni de service, a �t� corrig�. Avis de s�curit� FreeBSD-SA-02:36 has more details.

[4.6.2] Un bug qui pouvait permettre aux utilisateurs locaux de provoquer une panique du syst�me en utilisant le m�canisme kqueue(2) a �t� corrig�. Plus d'informations sont disponibles dans l'avis de s�curit� FreeBSD-SA-02:37.

2.3 Changements dans les programmes utilisateurs

Ajout de atacontrol(8) pour contr�ler divers aspects du driver ata(4).

Pour les lecteurs CDROM ATAPI, cdcontrol(1) supporte maintenant une commande speed afin d'indiquer la vitesse maximale à utiliser avec le lecteur.

ctags(1) ne cr�� plus un fichier de tags corrompu si le fichier source utilise des commentaires // (style C++).

dump(8) donne maintenant une indication sur sa progression dans le titre du processus, ce qui peut �tre utile pour surveiller les sauvegardes automatiques.

/etc/rc.firewall et /etc/rc.firewall6 n'ajoutent plus leurs propres r�gles dans les cas o� le fichier de r�gles est indiqu� dans la variable firewall_type ou si le type de firewall n'existe pas (la motivation pour cette modification est d'�viter de faire des suppositions sur la politique de s�curit� d'un site). De plus, le firewall de type closed fonctionne d�sormais tel que document� dans la page de manuel rc.firewall(8).

Les fonctionnalit�s de /etc/security ont �t� d�plac�es vers un ensemble de scripts dans le cadre de periodic(8), de mani�re à faciliter les personnalisations et à les rendre plus simple à maintenir. Ces scripts sont maintenant situ�s dans /etc/periodic/security/.

La famille d'adresse ether de ifconfig(8) a �t� modifi�e au profit de la famille link plus g�n�rique (ether est toujours accept� pour conserver la compatibilit�).

fsdb(8) supporte maintenant une commande blocks afin de lister les blocs allou�s par un inode particulier.

ispppcontrol(8) a �t� supprim� et ses fonctionnalit�s ont �t� ajout�es dans spppcontrol(8).

k5su(8) n'est plus install� par d�faut en tant que SUID root. Les utilisateurs qui ont besoin de cette fonction peuvent soit changer manuellement les permissions sur l'ex�cutable k5su(8) ou ajouter ENABLE_SUID_K5SU=yes dans le fichier /etc/make.conf avant une mise à jour via les sources.

ldd(1) peut maintenant s'utiliser avec les librairies partag�es, en plus des ex�cutables.

last(1) supporte d�sormais une option -y qui permet d'inclure l'ann�e dans la date de d�but de session.

libstand supporte d�sormais le chargement de noyaux et modules de taille importante partag�s entre plusieurs p�riph�riques.

libusb a �t� renomm� en libusbhidpour suivre les conventions de nommage de NetBSD.

lpd(8) reconnait maintenant l'option -s en tant qu'�quivalent à l'option -p (ces options indiquent à lpd(8) de ne pas ouvrir de socket pour les travaux d'impression en r�seau).

lpd(8) dispose maintenant d'une nouvelle option printcap rc. Lorsqu'elle est sp�cifi�e dans une file d'impression pour un h�te distant, cette option indique à lpd(8) de r�envoyer le fichier de donn�es pour chaque copie demand�e par l'utilisateur via la commande lpr -#n.

ls(1) accepte d�sormais l'option -h, qui lorsqu'elle est combin�e avec l'option -l, permet d'afficher l'unit� utilis�e pour les tailles des fichiers choisi de fa�on à ce que le nombre de chiffres affich�s soit inf�rieur à quatre.

m4(1) accepte maintenant l'option -s qui permet d'�mettre les directives #line pour une utilisation avec cpp(1).

mergemaster(8) supporte d�sormais deux nouvelles options. L'option -p indique un mode ``pre-buildworld'' pour comparer les fichiers essentiels à la r�ussite des �tapes buildworld et installworld de la mise à jour du syst�me. L'option -C, utilis� apr�s une premi�re utilisation r�ussie de mergemaster(8), compare les options de /etc/rc.conf avec les options par d�faut de /etc/defaults/rc.conf.

ngctl(8) supporte maintenant une commande write pour envoyer un paquet de donn�es à travers une redirection donn�e.

patch(1) accepte maintenant une option -i pour lire un patch depuis un fichier plut�t que depuis l'entr�e standard.

[4.6.2] pam_opie(8) n'envoie plus de faux "challenges" lorsque la variable no_fake_prompts est sp�cifi�e.

[4.6.2] Ajout d'un module pam_opieaccess(8).

[4.6.2] Mise à jour de pam_radius(8), pam_ssh(8) et pam_tacplus(8) avec les versions de FreeBSD -CURRENT du 3 Juillet 2002.

Un module pam_ssh(8) a �t� ajout� afin de permettre l'utilisation des mots de passe et des clefs SSH pour l'authentification. Ce module prends �galement en charge la gestion des sessions en utilisant ssh-agent(1).

[4.6.2] pam_unix(8) a �t� synchronis� avec la version de FreeBSD -CURRENT du 9 Mars 2002 (pre-OpenPAM).

pr(1) supporte maintenant les options -f et -p pour interrompre la sortie vers le terminal.

L'option -W de ps(1) (pour extraire des informations à partir d'un p�riph�rique de swap sp�cifique) est inutile depuis d�jà quelque temps; elle a �t� supprim�e.

reboot(8) accepte maintenant une option -k pour sp�cifier le noyau lors du prochain d�marrage.

sshd(8) n'�mets plus un faux challenge S/Key pour les utilisateurs qui n'ont pas activ� S/Key. Le comportement ant�rieur pouvait pr�ter à confusion en envoyant une invite inutile de mot de passe à utilisation unique avec certains clients SSH r�cents lors d'une connexion à un syst�me FreeBSD.

sysinstall(8) a maintenant un support rudimentaire pour retrouver les paquetages depuis le bon volume d'une installation faites à partir de plusieurs volumes (comme une distribution sur plusieurs CD).

tftp(1) et tftpd(8) supportent d�sormais IPv6.

Ajout de usbhidctl(1) pour la manipulation des p�riph�riques d'interfaces homme-machine USB.

uuencode(1) et uudecode(1) acceptent d�sormais une option -o pour indiquer leurs fichiers de sortie. uuencode(1) peut maintenant coder en base64 gr�ce à l'option -m, et uudecode(1) peut maintenant automatiquement d�coder les fichiers base64.

watch(8) dispose maintenant d'une option -f pour sp�cifier le p�riph�rique snp(4) à utiliser.

Les noms de locales de la forme *.EUC ont �t� renomm�s en *.euc??. Par exemple, ja_JP.EUC est devenu ja_JP.eucJP. Cela permet d'am�liorer la compatibilit� des noms de locales avec FreeBSD CURRENT, X11R6 et plusieurs autres versions d'UNIX.

Le support de la localisation a �t� mis à jour avec FreeBSD -CURRENT. Ce changement apporte un support des cat�gories LC_NUMERIC, LC_MONETARY, et LC_MESSAGES, plusieurs am�liorations à strftime(3), une r�vision des d�finitions de locales, et une am�lioration de la localisation pour de nombreux programmes du syst�me de base.

    XFREE86_VERSION=3

2.4 Int�gration et cr�ation des versions

XFree86 4.2.0 est maintenant la version par d�faut de X Window support� par sysinstall(8). Il installe XFree86 comme un ensemble de paquetages binaires standards et donc les utilitaires habituels d�di�s aux paquetages comme pkg_info(1) peuvent �tre utilis�s afin d'examiner/de manipuler ses composants.

[4.6.2] Un bug qui donnait un r�pertoire /usr/share/examples incomplet sur les nouvelles installations a �t� corrig�.