Journal de bord 10 — Migration en urgence, failles en pagaille et retour de CSS-Tricks

Migration en urgence sur un nouveau serveur

En fin de semaine dernière, j'ai dû migrer en urgence tous mes sites et applications (blog, Nextcloud, Wallabag,...) vers un nouveau serveur. La machine que je louais depuis 10 ans chez SoYouStart (une marque d'OVH) a en effet rencontré quelques problèmes. Elle aura fait son temps ; 10 ans ça semble être une éternité quand on y pense.

D'un côté, c'est une bonne chose. J'ai enfin pu quitter le vieillissant backoffice SyS qui n'évoluait plus et qui donnait accès qu'à très peu des services proposés par OVH. Je n'avais par exemple pas la possibilité d'utiliser un vRack, qui permet de relier plusieurs services au sein d'un même réseau privé.

Mais d'un autre côté, mon nouveau serveur va me coûter plus cher : 48 € par mois contre 32 € auparavant. À cause de la pénurie de composants actuels, certaines configurations étaient indisponibles et j'ai été obligé de prendre une machine plus grosse que je ne l'aurai souhaité. Et puis elle se trouve dans un datacenter en Allemagne alors que j'aurai préféré l'avoir en France (à Roubaix ou à Gravelines), mais il n'y avait plus rien de rien donc je n'ai pas eu le choix...

Je me console en me disant que comme c'est sans engagement, je pourrais remigrer tout ça sur un serveur plus petit et mieux localisé quand l'occasion se présentera...

Puis il y a les IPv4 aussi... J'avais auparavant un bloc de 16 IPs (/28) qui ne me coûtait rien : à l'époque on payait une bonne fois pour toutes 2 € HT par adresse IP et puis basta... Maintenant c'est la même somme, mais chaque mois ! J'ai donc opté pour un bloc plus petit, un /29, soit 8 IPs (5 utilisables en pratique [1]) qui va me coûter près de 20 € TTC par mois... Clairement ça pique ! 😬

J'ai profité de cette migration pour réduire le nombre de systèmes à maintenir. Sur le précédent serveur, je faisais tourner 8 containers LXC pour mes différents sites et services. Sur le nouveau, j'ai tout regroupé dans 4 machines virtuelles. Et puis ce passage de containers LXC (CT) à des machines virtuelles (VM) m’offrira plus de souplesse et améliorera l'isolation ainsi que la sécurité de l'ensemble.

J'ai également profité de cette migration pour faire un peu de ménage dans mes sites. Globalement, j'ai conservé tous mes sites statiques, car ils ne posent aucune difficulté à héberger (et puis j'avais pas trop le temps de faire le tri sur le moment).

Pour le vieux site de mes tout aussi vieux projets (projects.flogisoft.com) je l'ai rendu statique, car il n'évolue plus... Et puis celui-ci étant encore en Python 2.7, ça ne valait pas le coup de s'embêter davantage. Pour la même raison j'ai supprimé mon vieux dépôt de code Bazaar [2] qui était, lui aussi, encore en Python 2.7... On est en 2026, il faut passer à autre chose ! 😅

Pour continuer sur les trucs que j'ai supprimés, il y a aussi mon vieux Wiki (misc.flogisoft.com) que je n'avais jamais vraiment rempli ni entretenu... Il tournait encore sur une très vieille version de DokuWiki et de PHP... Celui-ci redirige maintenant sur Web Archive, le peu de contenu qui s'y trouvait n'est donc pas perdu.

Et pour terminer, j'ai mis à jour ma page de contact et supprimé temporairement le formulaire qui s'y trouvait, le temps de redévelopper ça proprement. Ceci dit, ça risque de prendre un peu de temps, j'ai pas mal d'autres choses à faire avant et le formulaire de contact n'est pas ma priorité... 😅

Entre la migration de mon serveur perso et tous ceux que je suis en train de réinstaller au boulot, je risque d'avoir quelques articles à publier autours de ces sujets dans les prochaines semaines, vous voilà prévenus. 😉

Le rythme insoutenable des sorties de nouvelles vulnérabilités

Ces derniers jours ont été plutôt mouvementés — pour ne pas dire épuisants — dans le monde de la sécurité informatique... C'est bien simple, on a pas eu le temps de souffler ! 😮‍💨

On a en effet eu le droit à une pluie de failles de sécurité plutôt critiques. La plus grave, celle dont tout le monde a parlé : php2shell. Elle combinait deux RCE (Remote Code Execution) affectant PHP, qui permettaient à un attaquant d'exécuter du code sur n'importe quel serveur hébergeant un site écrit dans ce langage de programmation, qui est le plus répandu sur le Web ! Excusez du peu ! 😬️

Ensuite on a eu une autre RCE notée 10/10 dans GitLab qui permettait là encore d'exécuter du code arbitraire sur le serveur hébergeant la forge logicielle.

Puis on a aussi vu passer la faille dite « node2shell », aussi de type RCE, affectant Node.js. Mais contrairement à ce que son nom semble indiquer, elle n'est en rien semblable à celle ayant affecté PHP et n'est pas tout aussi critique... Ah et puis en fait elle ne se trouve pas dans Node.js non plus, mais dans Brotli, une bibliothèque de compression utilisée un peu partout. Donc oui, Node.js est bien touché, mais beaucoup d'autres logiciels le sont également, dont PHP, Python, dotNET, les distribs Linux, etc.

La semaine dernière on a aussi découvert qu'eMudhra, une autorité de certification indienne, avait généré ses clefs privées n'importe comment et que du coup n'importe qui pouvait générer des certificats TLS valides pour n'importe quel domaine, permettant ainsi d'intercepter du trafic chiffré ou d'usurper l'identité d'un site... Super ! 🫪️

Une petite dernière pour la route ? Une faille dans la pile réseau du noyau Linux permettait à un attaquant de s'échapper d'un container ou d'une machine virtuelle pour peu qu'il soit en mesure d'exécuter du code à l'intérieur... Je vous laisse imaginer les possibilités si vous la combinez avec les RCE qu'on vient d'évoquer... 😖

En résumé, les vulnérabilités s’enchaînent, les exploits arrivent de plus en plus vite, les embargos ne servent presque plus à rien et ne sont plus vraiment respectés. Certaines boîtes vont même jusqu'à faire leur marketing en communiquant sur des failles qui ne sont pas encore corrigées... On se retrouve donc avec des failles exploitées avant même que le moindre correctif ne soit disponible.

Tout s’accélère et en bout de chaîne les équipes d'admin sys peinent à suivre. Et je ne suis pas le seul à faire ce constat. Alors que je rédigeai cette note, je suis tombé sur un article en anglais qui en arrivait à la même conclusion. Comme il est mieux écrit que le mien je vous mets le lien si vous souhaitez le lire :

• This is not sustainable

Je me demande si tout ça finira par se calmer un jour... 😩️

Retour de CSS-Tricks !

J'ai vu passer la nouvelle il y a quelques jours : CSS-Tricks est de retour ! Bien qu'il n'ait jamais vraiment disparu, il s'était pas mal dégradé depuis son rachat par Digital Ocean... Jusqu'à finir dans un état de quasi-abandon... Mais le site vient de retrouver son indépendance, et c'est pour le mieux !

Pour ceux qui ne connaitraient pas, CSS-Tricks est une excellente ressource pour les développeurs Web qui font du HTML/CSS. C'est rempli de guide et d'astuces détaillées et extrêmement bien expliquées. Je n'ai pour ma part jamais arrêté de m'y référer, notamment à chaque fois que je dois toucher à des flexbox, car l'article « A Complete CSS Flexbox Layout Guide » est tout simplement le meilleur que vous pourrez trouver à ce sujet sur tout le Web [oui, j'ose l'affirmer !] ! 😄

Donc voilà, je suis super content que ce site fait par des passionnés pour des passionnés reprenne vie et j'ai hâte de lire leurs nouveaux contenus !

• Site Web css-tricks.com
• Article « Taking Back CSS-Tricks » (en anglais) expliquant davantage de quoi il en retourne

Conclusion

Voilà, c'est tout pour cette fois. Je vous retrouve la semaine prochaine avec un article technique qui parlera soit de Proxmox, soit de serveur dédié chez OVH, suivant lequel sera terminé en premier.

À bientôt ! o/