Hello, Je me permet de poster ici puisque j’ai perdu quelques heures à débugger ça et que c’est assez critique.
Suite au fiasco eMudhra (https://emudhra.we-have-a-problem.com/ pour ceux qui auraient raté ça), j’ai mis à jour le paquet ca-certificates sur mes serveurs Debian, dont la dernière version supprime les deux AC compromises. Et quelle ne fût pas ma surprise de découvrir qu’après la mise à jour, les AC en question étaient toujours acceptées par cURL / wget (entre autres). Après investigation, il se trouve que lorsque vous installez Debian en netboot (à ne pas confondre avec netinstall, où l’installation est amorcée via un CD-ROM ou une clé USB) en utilisant des miroirs HTTPS, l’installateur copie la totalité des certificats stockés dans son /etc/ssl/certs dans /target/usr/local/share/ca-certificates, qui est normalement destiné aux certificats utilisateurs et devrait être vide par défaut. Ces certificats n’étant pas gérés par un paquet, ils sont plus jamais touchés ensuite, y compris lors des MAJ de ca-certificates. Lorsque ca-certificate se met à jour, update-ca-certificates est appelé pour mettre à jour les liens symboliques dans /etc/ssl/certs, mais les certificats présents dans /usr/local/share/ca-certificates prennent alors le pas sur tout le reste et sont réinstallés... y compris ceux qui ont été révoqués. Pour résoudre le problème : rm -f /usr/local/share/ca-certificates/*.crt /usr/sbin/update-ca-certificates --fresh Le bug Debian lié : https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1151671 -- Jonathan Leroy _______________________________________________ Liste de diffusion du French Sysadmin Group https://www.frsag.org/
