[RFR] wml://security/2016/dla-{382,387,433}.wml​

[jean-pierre giraud <jean-pierregiraud@neuf.fr>]

Bonjour,
voici trois traductions de dla. La dla-382 est la copie conforme de la
dsa-3440 et la dla-387 de la 3446 et la dla-433 de la dsa-3493. Merci
d'avance pour vos relectures.
Amicalement,
jipege

#use wml::debian::translation-check translation="1.2" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Quand sudo est configuré pour permettre à un utilisateur d'éditer des
fichiers dans un répertoire où il peut déjà écrire sans utiliser sudo, il
peut en réalité éditer (lire et écrire) des fichiers arbitraires. Daniel
Svartman a signalé qu'une configuration telle que celle-ci pourrait être
introduite involontairement si les fichiers à éditer sont indiqués avec
l'utilisation de caractères de remplacement, par exemple :</p>
<pre>
operator ALL=(root) sudoedit /home/*/*/test.txt
</pre>

<p>Le comportement par défaut de sudo a été modifié de telle manière qu'il
ne permet pas d'éditer un fichier dans un répertoire où l'utilisateur peut
écrire, ou qui est atteint en suivant un lien symbolique dans un répertoire
où l'utilisateur peut écrire. Ces restrictions peuvent être désactivées,
mais cela est fortement déconseillé.</p>

<p>Pour la distribution oldoldstable (Squeeze), ces problèmes ont été
corrigés dans la version 1.7.4p4-2.squeeze.6.</p>

<p>Pour la distribution oldstable (Wheezy) et la distribution stable
(Jessie), ces problèmes seront corrigés prochainement.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-382.data"
# $Id: dla-382.wml,v 1.1 2017/06/19 12:12:36 jipege1-guest Exp $

#use wml::debian::translation-check translation="1.2" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>L'équipe Qualys Security a découvert deux vulnérabilités dans le code
d'itinérance du client OpenSSH, une implémentation du protocole SSH.</p>

<p>L'itinérance de SSH permet à un client, dans le cas d'une déconnexion
imprévue, de se reconnecter plus tard, à condition que le serveur le
permette aussi.</p>

<p>Le serveur OpenSSH ne prend pas en charge l'itinérance, à la différence
du client OpenSSH (même si cela n'est pas documenté) et cela est activé par
défaut.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-0777";>CVE-2016-0777</a>

<p>Une fuite d'informations (divulgation de mémoire) peut être exploitée
par un serveur SSH véreux pour forcer un client divulguer de données
sensibles à partir de la mémoire du client, y compris, par exemple, des
clés privées.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-0778";>CVE-2016-0778</a>

<p>Un dépassement de tampon (menant à une fuite de descripteur de fichier),
peut aussi être exploité par un serveur SSH, mais à cause d'un autre bogue
dans le code, cela peut éventuellement ne pas être exploitable, et
seulement dans certaines conditions (pas dans la configuration par défaut),
lors de l'utilisation de ProxyCommand, ForwardAgent ou ForwardX11.</p></li>

</ul>

<p>Cette mise à jour de sécurité désactive complètement le code
d'itinérance du client OpenSSH.</p>

<p>Il est aussi possible de désactiver l'itinérance en ajoutant l'option
(non documentée) <q>UseRoaming no</q> au fichier global /etc/ssh/ssh_config,
à la configuration de l'utilisateur ~/.ssh/config, ou en passant
l'instruction -oUseRoaming=no en ligne de commande.</p>

<p>Les utilisateurs avec des clés privées sans phrase de passe,
particulièrement dans des configurations non interactives (tâches
automatiques utilisant ssh, scp, rsync+ssh etc.) devraient mettre à jour
leurs clés s'ils se sont connectés à un serveur SSH non fiable.</p>

<p>Plus de détails sur la manière d'identifier une attaque et les moyens de
la réduire sont disponibles dans l'annonce de Qualys Security.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-387.data"
# $Id: dla-387.wml,v 1.1 2017/06/19 12:12:36 jipege1-guest Exp $

#use wml::debian::translation-check translation="1.2" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Gustavo Grieco a découvert que xerces-c, une bibliothèque d'analyse et de
validation de XML pour C++, ne gère pas correctement certains types de
documents d'entrée malformés, menant à des dépassements de tampon pendant le
traitement et à un rapport d'erreur. Ces défauts pourraient conduire à un
déni de service dans les applications utilisant la bibliothèque xerces-c ou,
éventuellement, à l'exécution de code arbitraire.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-433.data"
# $Id: dla-433.wml,v 1.1 2017/06/19 12:12:36 jipege1-guest Exp $