[ddr2] webwml:/security/2003/dsa-288,289,290.wml
Bonsoir,
Merci à Olivier pour ses relectures.
Merci de vos relectures, Thomas.
PS: La distinction entre mise à jour et mise à niveau a l'air d'être
trop subtil pour moi. Est-ce que le lexique est là pour expliquer la
différence entre apt-get upgrade et update ?
<define-tag description>Conversion de caractère en entier</define-tag>
<define-tag moreinfo>
<p>Michal Zalewski a découvert un dépassement de tampon, déclenché par une
conversion de caractère en entier, dans le parseur d'adresse de
<i>sendmail</i>, un agent de transport de messages électroniques
couramment utilisé, puissant, efficace et extensible. Ce problème
est potentiellement exploitable à distance.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 8.12.3+3.5Wbeta-5.4</p>
<p>Pour l'ancienne distribution stable (<i>Potato</i>), ce problème a été
corrigé dans version 8.9.3+3.2W-25</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 8.12.9+3.5Wbeta-1</p>
<p>Nous vous recommandons de mettre à jour vos paquets sendmail-wide.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-290.data"
# $Id: dsa-290.wml,v 1.1 2003/04/17 13:58:53 joey Exp $
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Redimensionnement mémoire incorrect</define-tag>
<define-tag moreinfo>
<p>Sam Hocevar a découvert un problème de sécurité dans <i>rinetd</i>, un
serveur de redirection de connexion IP. Quand la liste de connexion est
pleine, rinetd redimensionne la liste pour y mettre de nouvelles connexions
à établir. Cependant, ceci n'est pas fait proprement causant un déni de
service et potentiellement l'exécution de n'importe quel code.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 0.61-1.1.</p>
<p>Pour l'ancienne distribution stable (<i>Potato</i>), ce problème a été
corrigé dans version 0.52-2.1.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 0.61-2</p>
<p>Nous vous recommandons de mettre à jour votre paquet rinetd.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-289.data"
# $Id: dsa-289.wml,v 1.1 2003/04/17 13:14:03 joey Exp $
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Plusieurs failles de sécurité</define-tag>
<define-tag moreinfo>
<p>Des chercheurs ont découvert deux défauts dans OpenSSL, une bibliothèque
<i>Secure Socket Layer</i> (SSL) et des outils cryptographiques liés.
Les applications qui sont liées avec cette bibliothèque sont
généralement vulnérables aux attaques qui pourraient récupérer la clé
privée du serveur ou qui rendaient les sessions encryptées décryptables
autrement. Le projet <i>Common Vulnerabilities and Exposures</i> (CVE)
a identifié les failles de sécurité suivantes :</p>
<dl>
<dt><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0147";>CAN-2003-0147</a></dt>
<dd>
OpenSSL n'utilise pas le camouflage RSA par défaut, ce qui permet à des
attaquants locaux et distants d'obtenir la clé privée du serveur.</dd>
<dt><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0131";>CAN-2003-0131</a></dt>
<dd>
Le SSL permet à des attaquants distants de réaliser des opérations
non-autorisées sur la clé RSA privée. Ainsi, OpenSSL fait fuir de
l'information vu la relation entre le texte chiffré et le texte en clair
associé.</dd>
</dl>
<p>Pour la distribution stable (<i>Woody</i>), ces problèmes ont été corrigés
dans la version 0.9.6c-2.woody.3.</p>
<p>Pour l'ancienne distribution stable (<i>Potato</i>), ces problèmes ont été
corrigés dans version 0.9.6c-0.potato.6.</p>
<p>Pour la distribution instable (<i>Sid</i>), ces problèmes ont été corrigés
dans la version 0.9.7b-1 de <i>openssl</i> et la version 0.9.6j-1 de
<i>openssl096</i>.</p>
<p>Nous vous recommandons de mettre à jour vos paquets openssl immédiatement et
de redémarrer les applications qui utilisent OpenSSL.</p>
<p>Malheureusement, le camouflage RSA n'est pas sûr en mode <i>thread</i> et
causera des problèmes pour les programmes qui utilisent les threads et
OpenSSL comme <i>stunnel</i>. Cependant, étant donné que le correctif proposé
changerait l'interface binaire (ABI), les programmes qui sont liés
dynamiquement contre OpenSSL ne fonctionneront plus. C'est un dilemme
que nous ne pouvons pas résoudre.</p>
<p>Vous devrez décider entre la mise à niveau de la sécurité qui n'est pas
sûre d'un point de vue des threads et devoir recompiler toutes les applications
qui apparemment échouent après la mise à jour, ou bien récupérer les paquets
source additionnels disponibles en fin d'annonce, le recompiler et utiliser
une bibliothèque OpenSSL de nouveau sûre pour les threads mais aussi
recompiler toutes les applications qui en font usage (comme apache-ssl,
mod_ssl, ssh etc.).</p>
<p>Cependant, étant donné que très peu de paquets utilisent les threads et
se lient contre la bibliothèque OpenSSL, la plupart des utilisateurs
seront capables d'utiliser les paquets avec cette mise à jour sans
aucun problème.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-288.data"
# $Id: dsa-288.wml,v 1.2 2003/04/18 10:14:15 kaare Exp $
#use wml::debian::translation-check translation="1.2" maintainer="DFS Task Force"
Reply to: