Bonjour,

On 03/10/2013 10:22, Baptiste Jammet wrote:
> Ça a beau être le noyau de oldstable, soyons perfectionnistes !

Tout à fait !

J'en profite pour proposer en relecture les autres annonces récentes,
que j'avais oubliées…
Merci d'avance pour vos relectures.

> P.S. Pour ne pas passer pour un "umarell" [1], dites moi si je dois
> faire des demandes d'accès au CVS, ou si cette façon de prévenir vous
> suffit.
> 
> [1] http://www.enricozini.org/2013/debian/umarells/

Tu fais des suggestions pertinentes, sous forme de patch qui plus est.
Je pense que ces deux raisons suffisent à te disqualifier d'office pour
le statut d'umarell, désolé. :)
D'ailleurs, n'hésite pas demander un accès au CVS, on n'est jamais trop
nombreux !

Amicalement,
Thomas
#use wml::debian::translation-check translation="1.1" maintainer="Thomas Vincent"
<define-tag description>Contournement de vérification de nom d'hôte</define-tag>
<define-tag moreinfo>
<p>PyOpenSSL, une enveloppe Python pour la bibliothèque OpenSSL, ne gère pas
correctement les certificats ayant des caractères NULL dans le champ <q>Subject
Alternative Name</q>.</p>

<p>Un attaquant distant, capable d'obtenir un certificat pour
<q>www.foo.org\0.example.com</q> depuis une autorité de certification en laquelle
le client a confiance, pourrait l'utiliser pour imiter <q>www.foo.org</q> et
mener des attaques de type homme du milieu entre un client utilisant PyOpenSSL
et le serveur SSL.</p>

<p>Pour la distribution oldstable (Squeeze), ce problème a été corrigé dans la version 0.10-1+squeeze1.</p>

<p>Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 0.13-2+deb7u1.</p>

<p>Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 0.13-2.1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets pyopenssl.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2763.data"
# $Id: dsa-2763.wml,v 1.2 2013/09/26 12:33:38 tvincent-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Thomas Vincent"
<define-tag description>Erreur de programmation</define-tag>
<define-tag moreinfo>
<p>Daniel P. Berrange a découvert qu'un traitement incorrect de la mémoire dans
la fonction remoteDispatchDomainMemoryStats() pourrait conduire à un déni de
service.</p>

<p>La distribution oldstable (Squeeze) n'est pas concernée.</p>

<p>Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 0.9.12-11+deb7u4.
Cette mise à jour inclut également quelques corrections de bogues non liées à la
sécurité prévues pour la mise à jour mineure Wheezy 7.2 à venir.</p>

<p>Pour la distribution unstable (Sid), ce problème sera corrigé prochainement.</p>

<p>Nous vous recommandons de mettre à jour vos paquets libvirt.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2764.data"
# $Id: dsa-2764.wml,v 1.2 2013/09/26 12:33:38 tvincent-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Thomas Vincent"
<define-tag description>Augmentation de droits</define-tag>
<define-tag moreinfo>
<p>Davfs2, un client de système de fichiers pour WebDAV, appelle la fonction
system() de façon non sûre tout en ayant le setuid root. Cela pourrait
permettre une augmentation de droits.</p>

<p>Pour la distribution oldstable (Squeeze), ce problème a été corrigé dans la version 1.4.6-1.1+squeeze1.</p>

<p>Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.4.6-1.1+deb7u1.</p>

<p>Pour la distribution testing (Jessie), ce problème a été corrigé dans la version 1.4.7-3.</p>

<p>Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.4.7-3.</p>

<p>Nous vous recommandons de mettre à jour vos paquets davfs2.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2765.data"
# $Id: dsa-2765.wml,v 1.1 2013/09/26 22:25:36 tvincent-guest Exp $
#use wml::debian::translation-check translation="1.2" maintainer="Thomas Vincent"
<define-tag description>Augmentation de droits/déni de service/fuite d'informations</define-tag>
<define-tag moreinfo>
<p>Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui
pourraient conduire à un déni de service, à une fuite d'informations ou à
l'augmentation de droits. 

Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.</p>

<ul>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2141";>CVE-2013-2141</a>

<p>Emese Revfy a fourni un correctif pour une fuite d'informations dans les
appels système tkill et tgkill. Un utilisateur local sur un système 64 bits
pourrait obtenir l'accès à des contenus sensibles de la mémoire.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2164";>CVE-2013-2164</a>

<p>Jonathan Salwan a signalé une fuite d'informations dans le pilote de CD-ROM.
Un utilisateur local sur un système ayant un lecteur CD-ROM défectueux pourrait
obtenir l'accès à de la mémoire sensible.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2206";>CVE-2013-2206</a>

<p>Karl Heiss a signalé un problème dans l'implémentation SCTP de Linux. Un
utilisateur distant pourrait causer un déni de service (plantage du
système).</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2232";>CVE-2013-2232</a>

<p>Dave Jones et Hannes Frederic Sowa ont résolu un problème dans le
sous-système IPv6. Des utilisateurs locaux pourraient causer un déni de service
en utilisant un socket AF_INET6 pour se connecter à une destination
IPv4.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2234";>CVE-2013-2234</a>

<p>Mathias Krause a signalé une fuite de mémoire dans l'implémentation des
sockets PF_KEYv2. Des utilisateurs locaux pourraient obtenir l'accès à de la
mémoire sensible du noyau.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2237";>CVE-2013-2237</a>

<p>Nicolas Dichtel a signalé une fuite de mémoire dans l'implémentation des
sockets PF_KEYv2. Des utilisateurs locaux pourraient obtenir l'accès à de la
mémoire sensible du noyau.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2239";>CVE-2013-2239</a>

<p>Jonathan Salwan a découvert de multiples fuites de mémoire dans la variante
openvz du noyau. Des utilisateurs locaux pourraient obtenir l'accès à de la
mémoire sensible du noyau.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2851";>CVE-2013-2851</a>

<p>Kees Cook a signalé un problème dans le sous-système block. Des utilisateurs
locaux ayant l'uid 0 pourraient obtenir des droits augmentés de ring 0. Ceci
n'est un problème de sécurité que pour certains systèmes spécialement
configurés.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2852";>CVE-2013-2852</a>

<p>Kees Cook a signalé un problème dans le pilote de réseau b43 pour certains
périphériques sans fil Broadcom. Des utilisateurs locaux ayant l'uid 0
pourraient obtenir des droits augmentés de ring 0. Ce n'est un problème de
sécurité que pour certains systèmes spécialement configurés.</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2888";>CVE-2013-2888</a>

<p>Kees Cook a signalé un problème dans le sous-système du pilote HID. Un
utilisateur local ayant la capacité d'attacher un périphérique pourrait causer
un déni de service (plantage du système).</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2013-2892";>CVE-2013-2892</a>

<p>Kees Cook a signalé un problème dans le pilote de périphérique pantherlord
HID. Des utilisateurs locaux ayant la capacité d'attacher un périphérique
pourraient causer un déni de service ou éventuellement augmenter leurs
droits.</p></li>

</ul>

<p>Pour la distribution oldstable (Squeeze), ce problème a été corrigé dans la version 2.6.32-48squeeze4.</p>

<p>Le tableau suivant indique la liste des paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :</p>

<div class="centerdiv">
<table cellspacing="0" cellpadding="2">
<tr>
<th>&nbsp;</th>
<th>Debian 6.0 (Squeeze)</th>
</tr>
<tr>
<td>user-mode-linux</td>
<td>2.6.32-1um-4+48squeeze4</td>
</tr>
</table>
</div>


<p>Nous vous recommandons de mettre à jour vos paquets linux-2.6 et user-mode-linux.

<p><b>Note</b>: Debian suit avec attention tous les problèmes de sécurité
connus dans chaque paquet du noyau linux pour toutes les publications
bénéficiant d'une prise en charge active de la sécurité. Cependant, étant
donnée la grande fréquence à laquelle des problèmes de sécurité mineurs sont
découverts dans le noyau et les ressources nécessaires pour faire une mise à
jour, les mises à jour pour les problèmes à faible priorité ne sont normalement
pas publiées pour tous les noyaux en même temps. Elles seront plutôt
publiées de façon échelonnée.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2766.data"
# $Id: dsa-2766.wml,v 1.2 2013/10/03 09:39:20 tvincent-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Thomas Vincent"
<define-tag description>Déni de service</define-tag>
<define-tag moreinfo>
<p>Kingcope a découvert que les modules mod_sftp et mod_sftp_pam de proftpd,
un serveur FTP/SFTP/FTPS puissant et modulaire, ne valident pas correctement
les entrées avant de faire des allocations groupées. Un attaquant peut utiliser
ce défaut pour mener des attaques par déni de service contre le système
exécutant proftpd (par épuisement de ressources).</p>

<p>Pour la distribution oldstable (Squeeze), ce problème a été corrigé dans la version 1.3.3a-6squeeze7.</p>

<p>Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.3.4a-5+deb7u1.</p>

<p>Pour les distributions testing (Jessie) et unstable (Sid), ce problème sera
corrigé prochainement.</p>

<p>Nous vous recommandons de mettre à jour vos paquets proftpd-dfsg.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2767.data"
# $Id: dsa-2767.wml,v 1.1 2013/09/29 21:41:35 tvincent-guest Exp $

Attachment: signature.asc
Description: OpenPGP digital signature

Répondre à