Salut,

J'avais juste une question, un serveur ssh même s'il contient des failles, tant que personne ne connaît aucun login et aucun mot de passe il peut accéder à rien non ?

Bin si un logiciel contient une faille majeure, on peut exécuter du code avec les droits de l'utilisateur qui fait tourner le logiciel.

Et dans le cas de sshd, il est typiquement lancé par root...

Ceci dit l'option "UsePrivilegeSeparation" (dans sshd_config) si elle est activée permet d’exécuter autant de code que possible en tant qu'utilisateur sans privilèges, il me semble que ça concerne tout ce qui se passe avant une authentification réussie, donc effectivement ça devrait protéger d'une faille tant qu'on ne peut pas se logger.

pseudo-edit (ce forum....) :
...sous réserve qu'on ne donne pas des droits à tout le monde sur des fichiers important ; comme par exemple droit d'écriture sur les clés d'authentification. Dans ce cas une faille pourrait permettre de les modifier, pour ensuite se logger sans problème.
Si je dis pas de bêtises l'option "StrictModes" (tj dans sshd_config) permet de vérifier que ces autorisations sont convenables et stoppe sshd si c'est pas le cas.

J'avais juste une question, un serveur ssh même s'il contient des failles, tant que personne ne connaît aucun login et aucun mot de passe il peut accéder à rien non ?

Non, tu peux avoir une faille qui va justement servir à te connecter sans avoir le couple id/mdp, voici un exemple avec telnet :

http://blog.ombrepixel.com/post/2007/02/14/3-cve-2007-0882

edit : enfin ici on a besoin de connaitre le nom d'utilisateur... mais bon c'est root en même temps

Étrange, il me semblait avoir lu failles buffer-overflow... Ma réponse concerne donc que ce type de faille. Désolé pour l'erreur.