Re: [ddr] webwml:/security/2002/dsa-19[56].wml
Le Tue, 19 Nov 2002 16:33:33 +0100
Thomas Marteau <marteaut@tuxfamily.org> a tapoté sur son clavier :
> Bonjour à tous,
Bonsoir !
>
> On essaye de ne pas trop prendre de retard avec les DSAs mais c'est dur.
>
Voici mes relectures dans les diff attachés.
Quelques explications :
##DSA-195##
-<p>Nous recommandons de mettre à jour votre paquet Apache-PERL
+<p>Nous recommandons de mettre à jour votre paquet apache-perl
Noms des paquets en minuscules, isn't it ?
##DSA-196##
@@ -2,20 +2,20 @@
<define-tag moreinfo>
<p>[Bind version 9, le paquet bind9, n'est pas affecté par ces problèmes.]</p>
-<p>ISS X-Force a découvert plusieurs sérieuses vulnérabilités dans le
+<p>ISS X-Force a découvert plusieurs vulnérabilités sérieuses dans le
Serveur de Nom de Domaine Internet de Berkeley (BIND). BIND est l'une des
implémentations les plus communes du protocole DNS (<i>Domain Name
Service</i>), qui est utilisée par une vaste majorité des serveurs DNS
d'Internet. DNS est un protocole vital d'Internet qui maintient une base de
données de noms de domaines faciles à retenir (les noms des machines) et
-leur adresse IP numérique respective.</p>
+leurs adresses IP numériques respectives.</p>
Personnellement, je mettrais ça au pluriel...
<p>Une preuve indirecte suggère que Internet Software Consortium (ISC),
-responsables de BIND, a été prévenu de ces soucis mi-octobre.
-Les distributeurs de système d'exploitation Open Source, incluant Debian,
+responsable de BIND, a été prévenu de ces soucis mi-octobre.
+Les distributeurs de systèmes d'exploitations Open Source, incluant Debian,
ont été prévenus de ces failles par le CERT a peu près 12 heures avant
Je mettrais responsable au singulier sinon le « a été prévenu » me choque...
Yannick
--
Un journal découpé en morceaux, ça n'intéresse pas une femme.
Mais une femme découpée en morceaux, ça intéresse les journaux.
Coluche
--- dsa-195.wml 2002-11-19 17:37:37.000000000 +0100
+++ dsa-195.relu.wml 2002-11-19 18:09:15.000000000 +0100
@@ -3,22 +3,22 @@
<p>Selon David Wagner, iDEFENSE et le Projet Apache HTTP Server,
plusieurs failles exploitables à distance ont été trouvées dans le paquet
Apache, un serveur web très répandu. Une grande partie du code est
-identique dans les paquets Apache et Apache-PERL. Donc il en est de
-même avec les failles.</p>
+identique dans les paquets Apache et Apache-PERL. Donc les failles sont
+communes aux deux paquets.</p>
<p>Ces vulnérabilités permettraient à un
-attaquant de mettre hors service le serveur, d'exécuter une attaque
-via les scripts utilisés ou bien de voler des témoins
-(<i>cookie</i>) des autres utilisateurs du site web.Le projet
+attaquant de mettre hors service le serveur (<i>DOS</i>, d'exécuter une attaque
+via les scripts utilisés (<i>cross site scripting</i>) ou bien de voler des témoins
+(<i>cookie</i>) des autres utilisateurs du site web. Le projet
<i>Common Vulnerabilities and Exposures</i> (CVE) a identifié
les failles suivantes :</p>
<ol>
<li>CAN-2002-0839 : Une faille existe sur les plates-formes utilisant
les afficheurs basés sur la mémoire partagée à la System V. Cette faille
- permet à un attaquant qui peut avoir accès à l'UID d'Apache d'exploiter
- le format de cet afficheur et d'envoyer un signal à n'importe quel
- processus en tant que <i>root</i> ou de causer un déni de service ;</li>
+ permet à un attaquant d'avoir accès à l'UID d'Apache pour exécuter un programme afin
+ d'exploiter le format de cet afficheur et d'envoyer un signal à n'importe quel
+ processus en tant que <i>root</i> ou de causer un déni de service local ;</li>
<li>CAN-2002-0840 : Apache est susceptible d'être vulnérable à une
attaque sur les éléments dynamiques de la page 404 par défaut de n'importe
@@ -26,8 +26,9 @@
avec des caractères joker ;</li>
<li>CAN-2002-0843 : Il y a quelques débordements de mémoire dans
- l'utilitaire ApacheBench (ab) qui pourraient être utilisé par un serveur
- malveillant ;</li>
+ l'utilitaire ApacheBench (ab) qui pourraient être utilisés par un serveur
+ malveillant. Néanmoins, les binaires de ce programme ne sont pas inclus
+ dans le paquet apache-perl ;</li>
<li>CAN-2002-1233 : Une condition d'exécution dans les programmes
htpasswd et htdigest permet à un utilisateur local de lire voire même
@@ -38,13 +39,13 @@
<li>CAN-2001-0131 : htpasswd et htdigest dans Apache 2.0a9, 1.3.14
et autres permettent aux utilisateurs locaux d'écraser des fichiers de
- manière arbitraire par une attaque à base de liens symboliques.Cependant,
+ manière arbitraire par une attaque à base de liens symboliques. Cependant,
les binaires de ces programmes ne sont pas inclus dans le paquet
apache-perl ;</li>
-<li>NO-CAN : Plusieurs débordements de tampon ont été trouvé dans
+<li>NO-CAN : Plusieurs débordements de tampon ont été trouvés dans
l'utilitaire ApacheBench (ab) qui pourraient être exploités par un serveur
- distant en renvoyant des chaînes de caractère très longues. Cependant,
+ distant en renvoyant des chaînes de caractères très longues. Cependant,
les binaires de ces programmes ne sont pas inclus dans le paquet
apache-perl ;</li>
</ol>
@@ -52,10 +53,10 @@
<p>Ces problèmes ont été corrigés dans la version 1.3.26-1-1.26-0woody2
pour l'actuelle distribution stable (<i>Woody</i>), dans
celle 1.3.9-14.1-1.21.20000309-1.1 pour l'ancienne distribution stable
-(<i>Potato</i>)stribution (potato) et dans celle 1.3.26-1.1-1.27-3-1
+(<i>Potato</i>) et dans celle 1.3.26-1.1-1.27-3-1
pour la distribution instable (<i>Sid</i>).</p>
-<p>Nous recommandons de mettre à jour votre paquet Apache-PERL
+<p>Nous recommandons de mettre à jour votre paquet apache-perl
immédiatement.</p>
</define-tag>
--- dsa-196.wml 2002-11-19 17:37:45.000000000 +0100
+++ dsa-196.relu.wml 2002-11-19 18:22:29.000000000 +0100
@@ -2,20 +2,20 @@
<define-tag moreinfo>
<p>[Bind version 9, le paquet bind9, n'est pas affecté par ces problèmes.]</p>
-<p>ISS X-Force a découvert plusieurs sérieuses vulnérabilités dans le
+<p>ISS X-Force a découvert plusieurs vulnérabilités sérieuses dans le
Serveur de Nom de Domaine Internet de Berkeley (BIND). BIND est l'une des
implémentations les plus communes du protocole DNS (<i>Domain Name
Service</i>), qui est utilisée par une vaste majorité des serveurs DNS
d'Internet. DNS est un protocole vital d'Internet qui maintient une base de
données de noms de domaines faciles à retenir (les noms des machines) et
-leur adresse IP numérique respective.</p>
+leurs adresses IP numériques respectives.</p>
<p>Une preuve indirecte suggère que Internet Software Consortium (ISC),
-responsables de BIND, a été prévenu de ces soucis mi-octobre.
-Les distributeurs de système d'exploitation Open Source, incluant Debian,
+responsable de BIND, a été prévenu de ces soucis mi-octobre.
+Les distributeurs de systèmes d'exploitations Open Source, incluant Debian,
ont été prévenus de ces failles par le CERT a peu près 12 heures avant
la sortie publique des annonces du 12 novembre. Cette notification ne
-contenait aucun détail qui nous a permis d'identifier le code vulnérable et
+contenait aucun détail nous permettant d'identifier le code vulnérable et
encore moins de préparer à temps un correctif.</p>
<p>Malheureusement, ISS et ISC ont sorti leurs annonces de sécurité avec juste
@@ -38,7 +38,7 @@
versions 8.3.3 et antérieures permet à un attaquant distant
d'exécuter du code arbitraire via une certaine réponse DNS du serveur
contenant des enregistrements de ressources de type SIG. Ce dépassement de
- tampon peut être exploité pour obtenir accès à la machine visée sous
+ tampon peut être exploité pour obtenir un accès à la machine visée sous
l'identité faisant fonctionner BIND, généralement <i>root</i> ;</li>
<li>CAN-2002-1220 : BIND 8 versions 8.3.x jusqu'à 8.3.3
Reply to: