On Tue, Jan 22, 2019 at 09:07:02PM +0500, Lev Lamberov wrote: > -----BEGIN PGP SIGNED MESSAGE----- > Hash: SHA512 > > - --- ../../english/security/2019/dsa-4371.wml 2019-01-22 > 21:00:38.128147855 +0500 > +++ 2019/dsa-4371.wml 2019-01-22 21:00:38.364147569 +0500 > @@ -1,191 +1,192 @@ > - -<define-tag description>security update</define-tag> > +#use wml::debian::translation-check > translation="71e08055c213949d5ff125453860c7a059f8402c" mindelta="1" > maintainer="Lev Lamberov" > +<define-tag description>обновление безопасности</define-tag> > <define-tag moreinfo> > - -<p>Max Justicz discovered a vulnerability in APT, the high level package > manager. > - -The code handling HTTP redirects in the HTTP transport method doesn't > properly > - -sanitize fields transmitted over the wire. This vulnerability could be > used by > - -an attacker located as a man-in-the-middle between APT and a mirror to > inject > - -malicous content in the HTTP connection. This content could then be > recognized > - -as a valid package by APT and used later for code execution with root > - -privileges on the target machine.</p> > - - > - -<p>Since the vulnerability is present in the package manager itself, it is > - -recommended to disable redirects in order to prevent exploitation during > this > - -upgrade only, using:</p> > +<p>Макс Юстич обнаружил уязвимость в APT, высокоуровневом менеджере пакетов. > +Код для обработки перенаправлений HTTP в методе передачи по HTTP неправильно > +выполняет очистку полей, передаваемых по шине. Эта уязвимость может > использоваться
Тут не совсем "по шине", скорее "по проводам" или, я бы сказал, "по сети". Я так понимаю, что речь ведётся о передаче данных между удалёнными компьютерами, в то время как данные "по" (какой-нибудь) "шине" можно передавать и внутри одного компьютера. И вообще, "over the wire" здесь можно и не переводить, я думаю, смысл мало поменяется. > +злоумышленником между APT и зеркалом для введение вредоносного введени_я_ (или ввода, встраивания, добавления, внедрения, инъекции, ...) > +содержимого в HTTP-соединение. Это содержимое может быть распознано APT как > +корректный пакет и в дальнейшем использовано для выполнения кода с правами > +суперпользователя на целевой машине.</p> > + > +<p>Поскольку данная уязвимость имеет место в самом менеджере пакетов, то > рекомендуется > +отключить перенаправления для того, чтобы предотвратить использование этой > уязвимость в уязвимост_и_ > +ходе данного обновления. Это можно сделать с помощью следующих команд:</p> ... -- Vladimir