-- .~. Nicolas Bertolissio /V\ [EMAIL PROTECTED] // \\ /( )\ ^`~'^ Debian GNU/Linux
#use wml::debian::translation-check translation="1.1" maintainer="Nicolas Bertolissio"
<define-tag description>Débordement de mémoire tampon</define-tag> <define-tag moreinfo> <p> Chris Evans a découvert un débordement de mémoire tampon dans le code de gestion des espaces de couleurs de l'interpréteur de PostScript et de PDF Ghostscript. Cela peut entraîner l'exécution de code arbitraire si un utilisateur est trompé et traite un fichier mal formé. </p> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), ce problème a été corrigé dans les versions 8.01-6 de gs-gpl et 7.07.1-9sarge1 de gs-esp. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans les versions 8.54.dfsg.1-5etch1 de gs-gpl et 8.15.3.dfsg.1-1etch1 de gs-esp. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème sera corrigé prochainement. </p> <p> Nous vous recommandons de mettre à jour vos paquets gs-esp et gs-gpl. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1510.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans libicu, les composants internationaux pour l'Unicode. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants : </p> <ul> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4770">CVE-2007-4770</a> <p> Dans les versions 3.8.1 et antérieures des composants internationaux pour l'Unicode, libicu tente de traiter des références arrières vers le groupe de capture zéro (ou \0) qui n'existe pas. Cela peut permettre à un attaquant dépendant du contexte de lire, ou d'écrire, à des emplacements de mémoire hors limites. Cela est lié à la corruption de REStackFrames. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4771">CVE-2007-4771</a> <p> Un débordement de mémoire tampon basé sur un bloc de mémoire du système dans la fonction doInterval de regexcmp.cpp dans les versions 3.8.1 et antérieures des composants internationaux pour l'Unicode libicu permet à un attaquant dépendant du contexte de générer un déni de service (par consommation de la mémoire) et a peut-être d'autres impacts inconnus par l'intermédiaire d'une expression rationnelle qui écrirait une grande quantité de données dans la pile de recherche arrière. </p> </li> </ul> <p> Pour la distribution stable (<em>Etch</em>), ces problèmes ont été corrigés dans la version 3.6-2etch1. </p> <p> Pour la distribution instable (<em>Sid</em>), ces problèmes ont été corrigés dans la version 3.8-6. </p> <p> Nous vous recommandons de mettre à jour votre paquet libicu. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1511.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Chaîne de formatage</define-tag> <define-tag moreinfo> <p> Ulf Härnhammar a découvert qu'Evolution, la suite de courriels et de travail collaboratif, avait une vulnérabilité de chaîne de formatage lors de l'analyse de messages électroniques chiffrés. Si l'utilisateur ouvre un message conçu spécialement, une exécution de code est possible. </p> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), ce problème a été corrigé dans la version 2.0.4-2sarge3. Certaines architectures n'ont pas encore terminé la construction de la mise à jour du paquet pour Sarge, elles seront ajoutés dès qu'elles seront disponibles. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 2.6.3-6etch2. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème a été corrigé dans la version 2.12.3-1.1. </p> <p> Nous vous recommandons de mettre à jour votre paquet evolution. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1512.data"
#use wml::debian::translation-check translation="1.1" maintainer="Nicolas Bertolissio" <define-tag description>Divulgation d'informations</define-tag> <define-tag moreinfo> <p> On a découvert que lighttpd, un serveur pour la Toile ayant une empreinte mémoire minimale, pouvait afficher le code source de scripts CGI si leur exécution échouait dans certaines circonstances. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 1.4.13-4etch5. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème sera corrigé prochainement. </p> <p> Nous vous recommandons de mettre à jour votre paquet lighttpd. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1513.data"
#use wml::debian::translation-check translation="1.3" maintainer="Nicolas Bertolissio" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans MoinMoin, un clone en Python de WikiWiki. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants : </p> <ul> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2423">CVE-2007-2423</a> <p> Une vulnérabilité de script intersite a été découverte dans la gestion des fichiers joints. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2637">CVE-2007-2637</a> <p> Les listes de contrôle d'accès pour les calendriers et les inclusions n'étaient pas suffisamment bien appliquées. Cela peut conduire à divulguer des informations. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0780">CVE-2008-0780</a> <p> Une vulnérabilité de script intersite a été découverte dans le code de connexion. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0781">CVE-2008-0781</a> <p> Une vulnérabilité de script intersite a été découverte dans la gestion des fichiers joints. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0782">CVE-2008-0782</a> <p> Une vulnérabilité de traversée de répertoires dans la gestion des cookies peut conduire à un déni de service local par écrasement de fichiers. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1098">CVE-2008-1098</a> <p> Une vulnérabilité de script intersite a été découverte dans le moteur de formatage de l'éditeur de l'interface utilisateur et dans le code de suppression de pages. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1099">CVE-2008-1099</a> <p> Le code macro ne valide pas suffisamment les listes de contrôle d'accès. Cela peut conduire à divulguer des informations. </p> </li> </ul> <p> L'ancienne distribution stable (<em>Sarge</em>) ne sera pas mise à jour à cause des nombreuses modifications que cela impliquerait et car la gestion des Sarge s'arrête à la fin de ce mois quoi qu'il advienne. Vous êtes vivement invité à faire la mise à jour vers la version stable si vous utilisez moinmoin. </p> <p> Pour la distribution stable (<em>Etch</em>), ces problèmes ont été corrigés dans la version 1.5.3-1.2etch1. Cette mise à jour comprend également une correction concernant le chiffrement des courriels de rappel des mots de passe. Cela n'a pas d'impact de sécurité. </p> <p> Nous vous recommandons de mettre à jour votre paquet moin. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1514.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans libnet-dns-perl. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants : </p> <ul> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3377">CVE-2007-3377</a> <p> On a découvert que libnet-dns-perl générait dans identifiants de transaction très faibles lors de l'envoi des requêtes. Cette mise à jour passe la génération des identifiants de transaction au générateur de nombres aléatoires de Perl ce qui rend les attaques par prédiction plus difficiles. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3409">CVE-2007-3409</a> <p> Les boucles de compression dans les noms de domaines entraînaient une boucle sans fin dans l'extracteur de noms de domaines écrit en Perl. Le paquet de Debian utilise un extracteur écrit en C par défaut, mais cette vulnérabilité est tout de même signalée. </p> </li> <li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6341">CVE-2007-6341</a> <p> Le décodage d'enregistrements A mal formés peut conduire à un plantage (par l'intermédiaire d'une exception Perl non interceptée) de certaines applications utilisant libnet-dns-perl. </p> </li> </ul> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), ces problèmes ont été corrigés dans la version 0.48-1sarge1. </p> <p> Pour la distribution stable (<em>Etch</em>), ces problèmes ont été corrigés dans la version 0.59-1etch1. </p> <p> Nous vous recommandons de mettre à jour votre paquet libnet-dns-perl. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1515.data"
#use wml::debian::translation-check translation="1.3" maintainer="Nicolas Bertolissio" <define-tag description>Augmentation des privilèges</define-tag> <define-tag moreinfo> <p> Avant cette mise à jour, la configuration par défaut de Dovecot utilisée par Debian faisait fonctionner les démons serveurs avec les droits du groupe mail. Cela signifie que les utilisateurs ayant un accès en écriture à leur répertoire de courriels sur le serveur (par exemple à travers une connexion SSH) pouvaient lire et aussi supprimer par l'intermédiaire d'un lien symbolique des boîtes à lettres détenues par d'autres utilisateurs pour lesquels ils n'avaient pas d'accès direct( <a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1199">CVE-2008-1199</a>). De plus, un conflit d'interprétation interne dans la gestions des mots de passe a été corrigé de manière proactive, même s'il n'est peut-être pas exploitable (<a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1218">CVE-2008-1218</a>). </p> <p> Veuillez noter que cette mise à jour nécessite une action manuelle : le paramètre de configuration <q>mail_extra_groups = mail</q> a été remplacé par <q>mail_privileged_group = mail</q>. La mise à jour affichera un conflit dans le fichier de configuration /etc/dovecot/dovecot.conf. Nous vous recommandons de conserver le fichier actuellement installé et de modifier manuellement la ligne affectée. Pour information, la configuration d'exemple (sans vos modifications locales) est écrite dans /etc/dovecot/dovecot.conf.dpkg-new. </p> <p> Si votre configuration actuelle utilise <code>mail_extra_groups</code> avec une valeur différente de <q>mail</q>, vous devez recourir à la directive de configuration <code>mail_access_groups</code>. </p> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), aucune mise à jour n'est fournie. Nous vous invitons à faire la mise à jour vers la distribution stable. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 1.0.rc15-2etch4. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème a été corrigé dans la version 1.0.13-1. </p> <p> Nous vous recommandons de mettre à jour votre paquet dovecot. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1516.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Erreur de programmation</define-tag> <define-tag moreinfo> <p> Don Armstrong a découvert que ldapscripts, un ensemble d'outils pour manipuler les comptes utilisateurs dans LDAP, envoyait le mot de passe en argument en ligne de commande lors de l'appel à des programmes LDAP. Cela peut permettre à un attaquant local de lire ce mot de passe à partir de la liste des processus. </p> <p> L'ancienne distribution stable (<em>Sarge</em>) ne contient pas de paquet ldapscripts. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 1.4-2etch1. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème a été corrigé dans la version 1.7.1-2. </p> <p> Nous vous recommandons de mettre à jour votre paquet ldapscripts. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1517.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Erreur de programmation</define-tag> <define-tag moreinfo> <p> Micha Lenk a découvert que backup-manager, un outil de sauvegarde en ligne de commande, envoyait le mot de passe en argument en ligne de commande lors de l'appel à un client FTP. Cela permet à un attaquant local de lire ce mot de passe (qui donne l'accès à tous les fichiers sauvegardés) à partir de la liste des processus. </p> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), ce problème a été corrigé dans la version 0.5.7-1sarge2. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 0.7.5-4. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème a été corrigé dans la version 0.7.6-3. </p> <p> Nous vous recommandons de mettre à jour votre paquet backup-manager. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1518.data"
#use wml::debian::translation-check translation="1.2" maintainer="Nicolas Bertolissio" <define-tag description>Vérification d'entrées manquante</define-tag> <define-tag moreinfo> <p> On a découvert que l'environnement d'applications sur la Toile Horde permettait l'inclusion de fichiers arbitraires par un attaquant distant par l'intermédiaire du paramètre de préférences <code>theme</code>. </p> <p> Pour l'ancienne distribution stable (<em>Sarge</em>), ce problème a été corrigé dans la version 3.0.4-4sarge7. </p> <p> Pour la distribution stable (<em>Etch</em>), ce problème a été corrigé dans la version 3.1.3-4etch3. </p> <p> Pour la distribution instable (<em>Sid</em>), ce problème a été corrigé dans la version 3.1.7-1. </p> <p> Nous vous recommandons de mettre à jour votre paquet horde3. </p> </define-tag> # ne pas modifier la ligne suivante #include "$(ENGLISHDIR)/security/2008/dsa-1519.data"
signature.asc
Description: Digital signature