Ubuntu Hired Security Research Firm After Rust Re-writes Raised Serious Concerns
La sortie d’Ubuntu 26.04 est marquée par l’échec partiel du remplacement des GNU coreutils par des réécritures en Rust, avec 113 problèmes de sécurité graves découverts par un audit externe, forçant Canonical à reporter les commandes critiques cp, mv et rm à la ...
SYNTHÈSE STRUCTURÉE
Contexte : l’initiative « purposefully oxidizing Ubuntu »
Canonical avait annoncé son intention de remplacer progressivement les GNU coreutils (outils fondamentaux comme cp, mv, rm) par des réécritures en Rust, dans le cadre d’une stratégie nommée « purposefully oxidizing Ubuntu ». L’objectif affiché était de sécuriser la chaîne logicielle en migrant vers un langage réputé plus sûr que le C. L’intervenant résume son scepticisme : « The idea was to replace as much existing shipping tested code with untested Rust code. Why that’s the choice that they’re making, I don’t know. »
Un audit externe commandé après des alertes internes
Face aux doutes soulevés par les équipes de sécurité internes, Canonical a mandaté un cabinet de recherche externe pour auditer les réécritures Rust. L’intervenant salue cette décision : « That alone is actually a good thing. That is one of the only smart moves that Canonical made in all of this. » L’audit a révélé 113 problèmes significatifs, dont 40 à 50 CVEs, avec des vulnérabilités jugées trop critiques pour être expédiées.
Les commandes cp, mv et rm exclues de la version 26.04
Les réécritures Rust de cp, mv et rm contenaient un grand nombre de failles de type TOCTOU (time-of-check to time-of-use), créant des conditions de course exploitables. L’intervenant précise : « The issues with CP, MV and RM were simply too severe even for the Ubuntu engineers to ship. » Ces trois commandes ne sont donc pas incluses dans Ubuntu 26.04, malgré la politique interne tolérant des bugs pour les composants réécrits en Rust.
Un calendrier jugé irréaliste pour la version 26.10
Canonical maintient son objectif de remplacer 100 % des GNU coreutils par des équivalents Rust dans la version 26.10, prévue dans six mois. L’intervenant ironise : « They’ve got four months to get it out the door. » Il critique l’ambition démesurée du projet : « Shoot for the moon, right? We’re going to do a ridiculous amount of work for 10 years, but we’re going to do it in 6 months and it’s going to be great. »
Transparence saluée malgré les erreurs d’ingénierie
L’intervenant reconnaît le mérite de Canonical d’avoir publié les détails de l’audit, même si cela expose des décisions techniques contestables : « It’s hard to publish things that make your decisions look bad. That takes a certain amount of guts and courage and a commitment to transparency that I admire. » Il regrette néanmoins que la version LTS sorte avec des vulnérabilités connues non corrigées.
CONCEPTS CLÉS
- TOCTOU (Time-of-check to time-of-use) : Vulnérabilité classique où l’état d’une ressource (fichier, socket) change entre le moment où elle est vérifiée et celui où elle est utilisée, créant une fenêtre d’exploitation pour des attaques par condition de course.
- GNU coreutils : Ensemble d’outils en ligne de commande fondamentaux (cp, mv, rm, ls, cat, etc.) fournis par le projet GNU, écrits en C et largement testés depuis des décennies.
- CVE (Common Vulnerabilities and Exposures) : Identifiant unique attribué à une vulnérabilité de sécurité publique, permettant son suivi et sa correction coordonnée.
CONCLUSION
Cette analyse montre que la migration massive vers Rust, bien que motivée par des objectifs de sécurité louables, a été mal calibrée : un calendrier trop serré, un périmètre trop large et un manque de tests amont ont conduit à expédier une version LTS avec des failles connues non corrigées. L’intervenant résume bien le paradoxe : « The fact that you pushed forward with a long-term support release with so many unknown problems… that didn’t raise any red flags for you to just pump the brakes. » La leçon pour tout administrateur système est claire : la sécurité d’un langage ne garantit pas celle d’une implémentation, et la prudence doit primer sur l’ambition dans les environnements de production.