Les équipes de Qualys viennent de dévoiler une faille importante dans OpenSSH : regreSSHion. Elle permet un accès distant non autorisé pour exécuter du code. Cette découverte est numéoritée CVE-2024-6387. Elle concerne les serveurs OpenSSH sur les systèmes Linux utilisant glibc. "La vulnérabilité est une condition concurrente critique dans les serveurs OpenSSH permettant un accès distant non authorisé pour exécuter du code distant en qualité de root sur les systèmes Linux basés sur glibc. Cela représente une faille importante de sécurité. Cette faille affecte les serveur OpenSSH et leurs configurations par défaut." précise l'annonce. 

Qualys estime à 14 millions les serveurs concernés. Les versions d'OpenSSH touchées sont les versions antérieures à la 4.4p1 et les versions 8.5p1 et +. Les systèmes OpenBSD ne sont pas concernés. 

Pour plus de détails : https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server

Depuis 2023, c'est une tendance que nous observons ici et là dans les baromètres emplois : un tassement, voire, une baisse de certains salaires IT. Le Covid avait favorisé parfois de fortes hausses. Certains profils confirment des baisses, d'autres progressent selon la dernière grille des salaires IT de Silkhmon.

Les développeurs Java, Python, WinDev, Cobol, PHP, front et back JavaScript affichent des baisses allant de 9 à 15 %. La demande reste soutenue mais cela signifie un ajustement des salaires moyens même s'il ne faut pas généraliser. Globalement, les salaires moyens dans le développement restent stables. Ce sont généralement les langages et des frameworks communs où il est relativement facile de trouver des compétences. 

Les profils mobiles, Flutter ou React Native connaissent une tendance à la hausse. Cela indique que le marché est toujours tendu sur ces profils. Les développeurs .Net et C++ connaissent une légère hausse. 

Linux Mint 22 est disponible en version bêta. Mint 22 est une version LTS, supportée jusqu'à 2029. Les principales nouveautés annoncées sont :

- un meilleur support des langues et des packages langues plus nombreux évitant une connexion internet pour les récupérer

- JXL : support de Pix

- GTK4 : mise à jour des thèmes

- migration de libsoup2 à libsoup3

- amélioration du support HiDPI

- Thunderbird est toujours présent

- fin de support des apps GTK3

- Software Manager : plus rapide, évolution de l'interface

- Migration vers Matrix pour le chat réseau

- Cinnamon 6.2 intégrant de multiple corrections de bugs

- nouvelles images d'arrière-plan

Pour Mint 22, il faut au minimum : 2 Go de RAM, 20 Go sur le disque, une résolution de 1024x768. S'agissant d'une version bêta, il ne faut pas l'installer en production. 

Site : https://blog.linuxmint.com/

Il n'est pas toujours simple de trouver le bon écran pour coder. Que faut-il privilégier ? La clarté ? La lisibilité ? La taille ? Le temps de réponse ? Un de tout ? Le constructeur Benq propose plusieurs moniteurs pour la programmation : la gamme RD.

Plusieurs caractéristiques sont mises en avant :

- clarté : réglage rapide de l'écran en mode sombre ou clair. Cela permet d'avoir une précision d'affichage des polices

- raccouris accessibles via une touche dédiée développement ! Pratique.

- affichage 16:10 pour avoir plus de code à l'écran alors qu'un ratio 16:9 propose un affichage plus petit

- un affichage moins agressif pour les yeux même en lumière ambiante sombre

- position horizontale ou verticale

Plusieurs modèles sont disponibles : RD240Q et RD280U. L'un est un écran 24,1'', l'autre 28'' 4K. 

Bientôt un Resident Evil 9 ! Capcom vient de l'annoncer officiellement. On apprend aussi la sortie mi-septembre de Dead Rising Deluxe Remaster avec des graphismes améliorés et de nouveautés sur le jeu en lui-même. Resident Evil 7 est désormais sur iOS. Il faudra tout de même être patient avant de voir le 9e opus. Les détails du jeu seront annoncés dans les prochains mois... 

Plusieurs failles ont touché GitLab ces derniers mois. La plus critique est la CVE-2024-5655 donnant la possibilité d'exécuter des pipelines dans l'environnement par un autre utilisateur que le propriétaire du pipeline. L'éditeur l'a corrigé le 26 juin dernier. Le patch critique de sécurité est numéroté 16.11.5, 17.0.3 ou 17.1.1, selon la version de GitLab utilisée. Cela concerne les éditions communautaire et entreprise. 

En tout, 14 failles sont corrigées dont 1 faille critique, 3 failles sévères, 9 failles moyennes et une peu critique. 

Pour en savoir plus : https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/

Les équipes d'Igalia ont annoncé la conception d'un patch qui peut potentiellement améliorer les performances des Pi 5 et aussi des architectures arm64 en général. Ce patch cible l'émulation NUMA. Selon Igalia, cette correction apporterait +18 % de performance en multicoeur et 6 % en simple coeur. Au coeur du patch, la gestion mémoire a été améliorée pour éviter les pertes de traitements et avoir une autre approche : découper la RAM en morceaux pour mieux l'utiliser et en faciliter l'allocation. Cette approche permet au contrôleur mémoire d'être plus efficace. 

NUMA = non uniform memory access

Pour pouvoir l'utiliser, il faut que le patch intègre le noyau Linux. Il s'agit d'une implémentation de l'émulation NUMA. Il est actuellement soumis pour validation.

Canonical va-t-il changer le marché des conteneurs et des images Linux pour les entreprises ? L'éditeur annonce son plan pour pouvoir proposer des conteneurs en LTS. C'est à dire avec un support long. Ce LTS concerne les images Linux. Ce support se fera par le service Everything LTS. Cela signifie que ces images auront un support sécurité de 12 ans incluant les piles open source et les dépendances. 

Les images Docker construites sans distorsion selon les spécifications du client incluent des composants en amont non packagés dans Ubuntu, et corrige les CVE critiques dans les 24 heures, avec un support sur RHEL, Ubuntu, VMware ou les K8 du cloud public sur plus de 12 ans.  L'image Docker - un format d'image de conteneur standard de l'Open Container Initiative (OCI) - fonctionne nativement sur Ubuntu ainsi que sur Red Hat Enterprise Linux (RHEL), VMware Kubernetes ou le cloud public K8s. Canonical prendra en charge ces images personnalisées sur toutes ces plateformes.

« Tout ce qui est LTS signifie la maintenance CVE pour l'ensemble des dependancies open source, y compris l'open source qui n'est pas déjà intégré en tant que deb dans Ubuntu », a déclaré Mark Shuttleworth, PDG de Canonical. « Nous livrons des images Docker sans distorsion ou basées sur Ubuntu répondant aux spécifications de nos clients, que nous prendrons en charge sur RHEL, VMware, Ubuntu ou les principaux clouds publics K8. Nos clients entreprises et ISV peuvent désormais compter sur Canonical pour répondre aux exigences réglementaires en matière de maintenance avec n'importe quelle pile open source, quelle que soit sa taille ou sa complexité, quel que soit l'endroit où ils souhaitent la déployer. »

Ce support inclut les CVE critiques. Il est possible sur les images RHEL, Ubuntu, VMware. 

Pour tout savoir : https://canonical.com/blog/canonical-offers-12-year-lts-for-any-open-source-docker-image

RStudio annonce un IDE pour les langages R et Python. L'IDE utilise Visual Studio Code. Il est disponible sur Linux, macOS et Windows. Si vous utilisez déjà VS Code, l'interface de Position ne devrait pas vous surprendre. 

L'environnement est dédié aux développeurs Python et R, tout ce qui est nécessaire est installé par défaut. Il est possible d'installer les extensions VS Code via OpenVSX. RStudio le présente plutôt comme un IDE orienté données et data science. 

Attention : l'IDE est en plein développement. Ne pas utiliser en production. 

Pour en savoir plus : https://github.com/posit-dev/positron

Un an après l'annonce de Jakarta EE 11, la version Milestone 4 est disponible. Elle est considérée comme une version RC, c'est-à-dire, une version quasi-finale. Jakarta 11 supporte Java SE 17 et 21. Les threads virtuelles sont une des nouveautés majeures. Jakarta 11 annonce des mises à jour des modules internes : Annotations, Authentification, Validation, Concurrency, Pages, Persistence, Security, Servlet, etc. De nombreuses fonctions n'auront pas d'évolutions dont Activation, Mail, Batch, Enterprise Beans, JSON... Une autre fonction à regarder : Jakarta Data 1.0.

Pour la fondation, cette version est importante dans la vie de Jakarta EE. Elle termine définitivement l'époque Oracle et une mise à niveau du support des dernières OpenJDK.

Un point sur les nouveautés:  https://medium.com/@ajaypaul_blogger/whats-new-in-jakarta-ee-11-5d4d863ed3e9

Les systèmes Z d'IBM sont les gros systèmes de type mainframe. Ils tournent sous z/OS et/ou Linux. Si vous lisez Programmez!, vous savez que les systèmes Z ont su intégrer les dernières technologies du marché. Le cloud ne fait pas exception ni AWS. Il est possible possible d'accéder aux services AWS via la CLI directement sous z/OS. Tous les services d'infrastructures sont accessibles par l'AWS CLI. Il faut au préalable installer l'outil. 

Comme le précise AWS, on peut ainsi :

- transférer des fichiers et données entre z/OS et AWS S3

- démarrer et arrêter des services AWS

- appelez une fonction Lambda AWS

- utiliser les services de machine learning et d'IA

Les prérequis sont : utiliser le port 443 (tests de connexion via un ping), configurer les crédentials AWS, installer Python 3.8 ou +. AWS précise que la version 2.x de la CLI n'est pas compatible z/OS.

La Python Software Foundation annonce l'élection des membres du bureau courant juillet. Cette année 3 sièges sont concernés. L'annonce des candidats s'est faite fin juin et le vote débute le 2 juillet, pour se cloturer le 15 juillet. Cette année, 19 candidats ont été validés et sont concernés par le vote.

Le bureau 2023-2024 était constitué de 8 responsables (officiers) et de 12 directeurs, sans compter les membres actifs au bureau. Les compétences du bureau sont larges : aider à la fondation à remplir sa mission pour promouvoir et développer Python, assurer la communication, aider à la roadmap, éthique et aspects légaux, etc. 

Quoi de neuf dans le gestionnaire de package vcpkg ? Dans la version de juin 2024, quelques changements sont annoncés :

- fixation d'un bug en utilisant un cache AWS S3

- quelques modifications sur la documentation : retrait de références multiples des fichiers CONTROL, précision sur les ABI, mention des IDE supportés officiellement dans le système de buid, etc.

- divers fix de bugs 

Pour en savoir plus : https://github.com/microsoft/vcpkg-tool/releases/tag/2024-06-10

La prochaine version de Djanbo est en développement. La bêta 1 a été publiée le 26 juin dernier. Quelques fonctionnalités à noter :

- support de Python 3.10, 3.11 et 3.12

- amélioration des templates tags

- nouveauté sur l'authentification (LoginRequiredMiddleware)

- divers améliorations et nouveautés : nouvelles options de configuration pour SQLite et PostgreSQL, meilleure accessibilité aux pages d'erreurs, nouvelles options de stockage de fichiers

Attention : la 5.1 annonce aussi des casses de compatibilité. Par exemple :

• Support for PostGIS 2.5 is removed.
• Support for PROJ < 6 is removed.
• Support for GDAL 2.4 is removed.

Vérifiez si vos projets Django sont concernés. La prochaine version va aussi retirer les fonctionnalités dépréciées dans les versions précédentes. Exemple : MariaDB 10.4 est retiré.

Note de version : https://docs.djangoproject.com/en/dev/releases/5.1/

La prochaine version de PostgreSQL se rapproche petit à petit. La bêta 2 de la v17 est disponible depuis le 27 juin. Il s'agit d'une version majeure attendue pour septembre 2024. Un important travail est fait sur les performances. La bêta 1 avait déjà annoncé des évolutions sur requêtes utilisant les CTE ou encore sur les différents index. On notera aussi la fin du support de AIX ou encore l'utilisation d'un nouveau système de build. Il y aura aussi une gestion des partitions plus flexible pour la haute disponibilité ou encore des amélioration sur la réplication logique.

La communauté annonce l'arrivée de JSON_table pour convertir des données JSON en table PostgreSQL ou encore quelques évolutions de la commande MERGE avec l'ajout de Returning. Autre nouveautée attendue, les sauvegardes incrémentales : option --incremental de pg_basebackup

Chaque bêta apporte des évolutions et nouveautés. 

Pour en savoir plus : https://www.postgresql.org/docs/17/release-17.html

La note de version de bêta 1 : https://www.postgresql.org/about/news/postgresql-17-beta-1-released-2865/

La fondation Eclipse annonce la disponibilité de Theia IDE. La fondation le présente comme une expérience de développement améliorée. L'IDE s'appuie sur la plateforme Theia. "Cette version de Theia IDE représente une nouvelle étape dans les outils de développement open source" dixit la fondation ! Il doit apporter flexibilité, innovation et ouverture. Pour mieux répondre aux défis d'un Visual Studio Code qui est flexible et ouvert ?

L'IDE intègre les dernières technologies web : Language Server Protocol, Debug Adapter Protocol, Monaco Code Editor. Et il supporte les extensions VS Code via le registre Open VSX... La fondation attend donc beaucoup de l'outil pour repositionner la fondation auprès des développeurs et une certaine perte d'usage d'Eclipse. Il supporte par exemple GitHub, GitLens, NPM, Docker, etc. De nombreux projets et acteurs technologies supportent l'IDE : Arduino, ARM, IBM, SAP, Red Hat, etc. 

Attention : l'IDE est encore en bêta. Disponible en mode cloud et desktop.

Tous les détails : https://theia-ide.org/#theiaide

Comment développer pour .Net et C# dans Visual Studio ? Depuis quelques mois, nous disposons de C# Dev Kit pour VS Code et lui apporter le support du langage et de .Net dans l'IDE. On peut aussi bénéficier de l'IntelliCode (en option). 

Basiquement, l'extension C# Dev Kit apporte :

- support Solution Explorer

- support des tests

- IntelliCode en option

L'extension C# intègre le langage et toute l'expérience de programmation qui va avec, sans licence supplémentaire. Si vous avez besoin de F#, il faut utiliser le .Net Extension Pack. 

Comment bien démarrer ? La configuration nécessaire est :

- un ordinateur compatible VS Code sous Linux, macOS ou Windows, en architecture ARM (type Apple Silicon) ou x86

- .Net SDK

- C# Dev Kit Extension+ C# Extension

1 récupérer le .Net SDK puis installez-le sur votre machine

2 Installez VS Code

3 Installez les extensions C# depuis VS Code

Une courte vidéo vous explique commet faire :-)

Une triste nouvelle pour le patrimoine informatique et son Histoire, un des musées les plus intéressants, le Living Computer Museum, ferme (sans doute) définitivement. Le musée ne s'est jamais relevé du Covid. Fondé avec le soutien action de Paul Allen, le musée existait depuis 2012 et possédait une superbe collection. Le décès de Paul Allen en 2018 n'a pas aidé le musée. Depuis cette date, le gestionnaire du patrimoine du co-fondateur de Microsoft procéde à la vente des actifs. 

Allen avait beaucoup aidé à construire une collection assez exceptionnelle avec de nombreux matériels rares, voire, uniques. Le musée s'était agrandi en 2016 et voulait intégrer les nouvelles technologies. 

Que va devenir le musée et surtout la collection ? Pour le moment, rien de bon ne semble se dessiner à court terme. Il faudrait un acheteur pour reprendre l'institution. Si aucune solution apparait, le risque est une vente pure et simple de la collection. 

Il est dommage que le patrimoine informatique intéresse si peu d'investisseurs et de mécènes. 

Elastic Security Labs annonce avoir découvert une nouvelle méthode pour exécuter du code non autorisé : Grimresource. Elle peut permettre d'exécuter du code dans la console Microsoft (mmc.exe) via un fichier MSC. 

Quelques détails donnés par l'équipe d'Elastic :

• Lorsqu'un fichier de console malveillant est importé, une vulnérabilité dans l'une des bibliothèques MMC peut conduire à l'exécution de code malveillant, y compris des malwares. Elastic Security Labs a déjà identifié une occurrence de cette nouvelle technique.
• Les attaquants peuvent combiner cette technique avec DotNetToJScript pour obtenir une exécution de code arbitraire, ce qui peut entraîner un accès non autorisé, une prise de contrôle du système et plus encore.

Aujourd'hui, de multiples vecteurs sont utilisés par les hackers pour exécuter du code même si Microsoft a désactivé les macros Office dans les documents provenant du Web. Une des clés de GrimResource est de s'appuyer sur le XSS présent dans la librairie apds.dll.

Pour tous les détails techniques : https://www.elastic.co/security-labs/grimresource

Mardi 25 juin, l’équipe de PayPal France organisait son 2e meetup orienté développeur. Malgré le football et la chaleur, il y avait du monde qui était impatient de découvrir la nouvelle session. D’entrée, il est rappelé que PayPal est connu pour le bouton de paiement, mais qu’en réalité, PayPal est une plateforme complète supportant l’ensemble des moyens de paiements et des réglementations. « On peut payer sans PayPal sur PayPal ». L’idée est d’être agnostique.

Parmi les services à venir présentés durant la session d’introduction, il y a Fastlane. Il s’agit de pouvoir payer sans ouvrir un compte PayPal, en mode invité donc. Ce service sera bientôt disponible aux États-Unis et arrivera plus tard en Europe courant 2025. Autre nouveauté que l’on ne connaît pas forcément, des outils low code / no code accessibles depuis le portail développeur. Cette approche permet de générer très rapidement le code nécessaire et de le tester directement ! Cette approche low code facile encore plus l’intégration PayPal… Pour le moment, en front, il supporte React et HTML et en back les principaux langages dont PHP, Node, Python. 

D’autre part, PayPal prépare de nouveaux SDK pour simplifier l’intégration du paiement dans les apps et sites web. 

La suite du meetup fut un retour d’expérience très intéressant : comment OVHcloud intègre PayPal comme moyen de paiement pour les clients des services cloud. OVHcloud supporte plusieurs modes de paiement et ils ne sont pas forcément identiques selon les pays. Depuis le début de l’année, plus de 240 000 clients ont utilisé PayPal pour payer les services. La récurrence via PayPal est estimée à 70 % avec un panier moyen de 99 €. 

Les équipes paiements du scaleur utilisent toujours les versions 1.x des API. Une des raisons est l’absence de SDK Go. OVhcloud utilise massivement Go et cela simplifie l’intégration. Plusieurs aspects PayPal sont intégrés par l’éditeur : les API, la tokénisation (pour la partie autorisation et paiement récurrent) le dispute (= les réclamations). La tokénisation est une partie importante du travail d’intégration, car elle permet de faire les renouvellements de services à échéance. Le token est unique à chaque client et OVHcloud ne connaît pas les détails du client qui sont côté PayPal. 

Deux équipes intègrent le paiement. Il y a tout d’abord l’équipe paiement back qui code l’intégration et l’équipe front qui intègre les SDK et API de l’équipe paiement sur les pages officielles. Le processus d’intégration type est : création du compte développeur, tests de la solution, conception du code et des flux nécessaires, écriture des tests, documentation des API et des SDK créés pour le mode de paiement. En moyenne, il faut environ 1 mois pour réaliser une nouvelle intégration. Cela n’inclut pas la partie front qui est dévolue à une autre équipe. 

La partie réclamation est une activité non négligeable. Les API PayPal Dispute sont utilisées pour unifier l’interface et faciliter le travail du support même si tout n’est pas automatisé, ces API aident beaucoup à résoudre les réclamations. Cette partie n’est pas triviale et exige du développement non négligeable. 

Quelques conseils pour intégrer un mode de paiement, typiquement PayPal :

- créer votre flux via un client REST avant toute programmation

- n’utilisez pas directement l’information du Webhook appelez l’API

- vérifier toujours la signature du webhook

- soyez attentif au race condition

- traiter les webhook dans l’ordre d’arrivée

Pour plus de détails sur PayPal : dossier spécial à paraître dans Programmez! 264

Vous ne connaissez pas GitHub CoPilot Workspace ? Une petite vidéo de présentation

Démo complète du service :

Le projet Spring a sorti une série de nouvelles versions pour les différents frameworks de la plateforme :

- Spring Boot 3.3.1 : version de maintenance avec 68 corrections de bugs et diverses améliorations. Note : https://github.com/spring-projects/spring-boot/releases/tag/v3.3.1

- Spring Modulith : deux versions ont été distribuées, les 1.1.6 et 1.21. Là aussi, il s'agit essentiellement des corrections de bugs. A noter une mise à jour du spport de Spring Boot

- Spring Framework 6.1.10 : cette version corrige des régressions constatées avec la 6.1.9

A cela se rajoute des mises à jour de Spring for GraphQL, Spring Authorization Server et Spring Session

Tous les détails sont sur le blog officiel Spring : https://spring.io/blog