[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

[RFR] wml://security/2016/dla-44{0,1,2,3,4,5}.wml

Bonjour,

Voici quelques traductions de dla adaptées de :
DLA	DSA
443	3504

Merci d'avance pour vos relectures.

Amicalement.

--
Jean-Paul

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Comme décrit dans <a href="./dla-437">DLA-437-1</a>, clamav a été mis à
jour vers la plus récente version de lâ??amont, la version 0.99. En raison dâ??un
changement dans le soname de libclamav, les paquets dépendant de libclamav ont
besoin dâ??être recompilés pour fonctionner avec le récent paquet libclamav7. Au
moment de lâ??envoi de DLA-437-1, les paquets à jour nâ??étaient pas disponibles.
</p>

<p>Une mise à jour pour dansguardian a maintenant été envoyée, et les paquets
seront bientôt disponibles. La recommandation dans DLA-437-1 de ne pas mettre
à niveau clamav si utilisé avec dansguardian nâ??est plus dâ??actualité.</p>

<p>La mise à niveau de clamav et dansguardian est recommandée pour les raisons
décrites dans DLA-437-1.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-440.data"
# $Id: dla-440.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Zero Day Initiative dâ??HP a identifié une vulnérabilité affectant le paquet
pcre3. Lâ??identifiant ZDI, ZDI-CAN-3542, lui a été assigné. Un identifiant CVE
nâ??a pas encore été assigné.</p>

<p>PCRE Regular Expression Compilation Stack Buffer Overflow Remote Code
Execution Vulnerability.</p>

<p>PCRE ne validait pas que la gestion du verbe (*ACCEPT) se produisait à
lâ??intérieur des limites du tampon de pile de cworkspace, menant à un
dépassement de tampon de pile.</p>

<p>Pour Debian 6 <q>Squeeze</q>, ces problèmes ont été corrigés dans la
version 8.02-1.1+deb6u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets pcre3.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-441.data"
# $Id: dla-441.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2013-6441";>CVE-2013-6441</a>

<p>Le script de modèle lxc-sshd avait lâ??habitude de se monter lui-même comme
/sbin/init dans le conteneur en utilisant un <q>bind-mount</q> modifiable.</p>

<p>Cette mise à jour résout le problème en utilisant un <q>bind-mount</q>
uniquement lisible, empêchant toute forme de dommage accidentel éventuel.</p>
</li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-1335";>CVE-2015-1335</a>

<p>Lors du démarrage du conteneur, lxc règle lâ??arbre du système de fichiers
initial du conteneur en créant beaucoup de montages, en se guidant sur le
fichier de configuration.</p>

<p>La configuration du conteneur est entre les mains de lâ??administrateur ou de
lâ??utilisateur sur lâ??hôte, aussi nous nâ??essayons pas de protéger contre des
entrées mauvaises. Cependant, puisque la cible de montage est dans le
conteneur, il est possible que lâ??administrateur du conteneur pourrait
rediriger le montage avec des liens symboliques. Cela pourrait contourner le
propre démarrage du conteneur (c'est-à-dire, le confinement dâ??un conteneur de
lâ??administrateur par la politique restrictive dâ??AppArmor, en redirigeant
lâ??écriture requise vers /proc/self/attr/current), ou contourner la politique
dâ??AppArmor (basée sur les chemins) en redirigeant, par exemple, /proc vers
/mnt dans le conteneur.</p>

<p>Cette mise à jour implémente une fonction safe_mount() empêchant lxc de
réaliser des montages sur des liens symboliques.</p></li>

</ul>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-442.data"
# $Id: dla-442.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Une vulnérabilité dâ??exécution de code à distance a été découverte dans
BeanShell, un interpréteur de source Java intégrable avec des caractéristiques
de langage objet de script.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-2510";>CVE-2016-2510</a>:

<p>Une application incluant BeanShell dans son classpath peut être vulnérable
si une autre partie de lâ??application utilise la sérialisation Java ou XStream
pour la désérialisation des données à partir dâ??une source non fiable. Une
application vulnérable pourrait être exploitée pour lâ??exécution de code à
distance, y compris lâ??exécution de commandes dâ??interpréteur arbitraires.</p>
</li>

</ul>

<p>Pour Debian 6 <q>Squeeze</q>, ces problèmes ont été corrigés dans la
version 2.0b4-12+deb6u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets bsh.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-443.data"
# $Id: dla-443.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-2305";>CVE-2015-2305</a>

<p>Un dépassement dâ??entier dans lâ??implémentation de regcomp dans la
bibliothèque BSD dâ??expressions rationnelles dâ??Henry Spencer (c'est-à-dire,
rxspencer) version alpha3.8.g5 sur les plateformes 32 bits, telle quâ??utilisée
dans NetBSD jusquâ??à la version 6.1.5 et dâ??autres produits, pourrait permettre,
en fonction du contexte, à des attaquants dâ??exécuter du code arbitraire à
l'aide d'une large expression rationnelle, conduisant à un dépassement de
tas.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-2348";>CVE-2015-2348</a>
<p>Lâ??implémentation de move_uploaded_file dans ext/standard/basic_fonctions.c
de PHP versions avant 5.4.39, 5.5.x avant 5.5.23 et 5.6.x avant 5.6.7, tronque
un nom de chemin si un caractère \x00 est rencontré. Cela permet aux
attaquants distants de contourner les restrictions voulues dâ??extension et
créer des fichiers avec des noms inattendus à l'aide d'un second argument
contrefait.</p>

<p><b>Note</b>: cette vulnérabilité existe à cause dâ??un correctif incomplet
pour <a href="https://security-tracker.debian.org/tracker/CVE-2006-7243";>CVE-2006-7243</a>.</p></li>
<li>CVE-2016-tmp, Bogue n° 71039
<p>Fonctions dâ??exécution ignorant la longueur mais recherchant une
terminaison NULL</p></li>

<li>CVE-2016-tmp, Bogue n° 71089
<p>Absence de vérification de double de zend_extension</p></li>

<li>CVE-2016-tmp, Bogue n° 71201
<p>Erreur de segmentation pour round() dans les constructions 64 bits</p></li>

<li>CVE-2016-tmp, Bogue n° 71459
<p>Dépassement dâ??entier dans iptcembed()</p></li>

<li>CVE-2016-tmp, Bogue n° 71354
<p>Corruption de tas dans lâ??analyseur tar/zip/phar</p></li>

<li>CVE-2016-tmp, Bogue n° 71391
<p>Déréférence de pointeur NULL dans phar_tar_setupmetadata()</p></li>

<li>CVE-2016-tmp, Bogue n° 70979
<p>Plantage lors de requête SOAP incorrecte</p></li>

</ul>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-444.data"
# $Id: dla-444.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Le correctif rétroporté pour résoudre
<a href="https://security-tracker.debian.org/tracker/CVE-2016-2569";>CVE-2016-2569</a>
donnait des échecs dâ??assertion, conduisant à un plantage de squid3 lors de la
fermeture de connexions. Le correctif pour ce CVE repose fortement sur la
gestion dâ??exceptions présente dans les versions plus récentes de squid3, que
je nâ??ai pas repérée dans la mise à jour précédente. Jâ??ai repris le correctif
pour un fonctionnement plus sûr, en prenant en compte le fait que les
utilisateurs de Squeeze devraient migrer vers une version prise en charge par
Debian. Cette mise à jour postérieure à la fin de vie est voulue pour garder
un paquet squid3 fonctionnel dans lâ??archive.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-445.data"
# $Id: dla-445.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
Reply to: