[ddr] webwml:/security/2003/dsa-256,7,8,9 et 260,1.wml
Bonsoir,
Avec ça, on est à 100 % de traduction pour 2003.
Merci à Frédéric et Joël pour leurs relectures.
Manque plus que 2000 :-)
Merci de vos relectures, Thomas.
<define-tag description>Fichier temporaire non sécurisé</define-tag>
<define-tag moreinfo>
<p>Un problème a été découvert dans <i>adb2mhc</i> contenu dans le paquet
mhc-utils. Le répertoire temporaire par défaut utilise un nom prévisible.
De plus, il existe une faille de sécurité qui permet à un attaquant local
n'importe quel fichier sur lequel l'utilisateurs a le droit d'écrire.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 0.25+20010625-7.1.</p>
<p>L'ancienne distribution stable (<i>Potato</i>) n'est pas affectée par ce
problème.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 0.25+20030224-1.</p>
<p>Nous vous recommandons de mettre à jour votre paquet mhc-utils.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-256.data"
# $Id: dsa-256.wml,v 1.3 2003/03/10 12:13:03 alfie Exp $
#use wml::debian::translation-check translation="1.3" maintainer="DFS Task Force"
<define-tag description>Exploitation à distance</define-tag>
<define-tag moreinfo>
<p>Mark Dowd de ISS X-Force a trouvé un bogue dans les routines parsant
les en-têtes de <i>sendmail</i>&nbs;: il pouvait dépasser un tampon quand
elles rencontraient des adresses avec de très longs commentaires. Vu que
<i>sendmail</i> parse aussi les en-têtes quand il fait suivre des courriels
cette faille de sécurité peut toucher les serveurs qui ne délivrent le
courriel aussi.</p>
<p>Ceci a été corrigé dans la version originale 8.12.8,
dans la version 8.12.3-5 du paquet pour Debian
GNU/Linux 3.0/<i>Woody</i> et dans la version 8.9.3-25 du paquet
pour Debian GNU/Linux 2.2/<i>Potato</i>.</p>
<p>DSA-257-2 : Des paquets mis à jour de <i>sendmail-wide</i> sont
disponibles dans la version 8.9.3+3.2W-24 pour
Debian 2.2 (<i>Potato</i>) et dans la version 8.12.3+3.5Wbeta-5.2
pour Debian 3.0 (<i>Woody</i>).</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-257.data"
#use wml::debian::translation-check translation="1.2" maintainer="DFS Task Force"
<define-tag description>Faille de sécurité utilisant le format de chaîne de caractères</define-tag>
<define-tag moreinfo>
<p>Georgi Guninski a découvert un problème dans <i>ethereal</i>, un analyseur
de trafic réseau. Le programme contient une faille de sécurité utilisant le
format de chaîne de caractères qui pouvait probablement mener à l'exécution de
n'importe quel code.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 0.9.4-1woody3.</p>
<p>L'ancienne distribution stable (<i>Potato</i>) n'est pas affectée par ce
problème.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 0.9.9-2.</p>
<p>Nous vous recommandons de mettre à jour votre paquet ethereal.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-258.data"
# $Id: dsa-258.wml,v 1.2 2003/03/10 16:03:19 kaare Exp $
#use wml::debian::translation-check translation="1.2" maintainer="DFS Task Force"
<define-tag description>Usurpation des droits de l'utilisateur <i>mail</i></define-tag>
<define-tag moreinfo>
<p>Florian Heinz <email heinz@cronon-ag.de> a posté à la liste de diffusion de
Bugtraq une exploitation pour <i>qpopper</i> basé sur un bogue dans
l'implémentation de <code>vsnprintf</code>. L'exploitation donnée en exemple
demande juste un compte utilisateur valide et son mot de passe. Elle fait
dépasser la taille d'une chaîne de caractères dans la fonction
<code>pop_msg()</code> pour obtenir les privilèges de l'utilisateur <i>mail</i>
et un interpréteur de commande sur le système. Vu que la fonction
<code>Qvsnprintf</code> est utilisée autre part dans <i>qpopper</i>, d'autres
exploitations sont possibles.</p>
<p>Le paquet qpopper dans Debian 2.2 (<i>Potato</i>) n'inclut pas
l'implémentation vulnérable de <code>snprintf</code>. Pour Debian 3.0
(<i>Woody</i>) un paquet à jour est disponible dans la
version 4.0.4-2.woody.3. Les utilisateurs utilisant une version autre
que celle de Debian devraient mettre à jour avec la version 4.0.4-9 ou
plus récente. Nous vous recommandons de mettre à jour votre paquet qpopper
immédiatement.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-259.data"
# $Id: dsa-259.wml,v 1.1 2003/03/13 13:04:56 alfie Exp $
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Dépassement de tampon</define-tag>
<define-tag moreinfo>
<p>
iDEFENSE a découvert une faille de sécurité due à un dépassement de tampon
dans le parseur du format ELF dans la commande <i>file</i>. Elle peut être
utilisée pour exécuter n'importe quel code avec les privilèges de l'utilisateur
exécutant la commande. La faille de sécurité peut être exploitée par un binaire
dont le ELF sera modifié et passé à <i>file</i>. Ceci pouvait être
accompli en laissant le binaire sur le système de fichiers et en attendant
que quelqu'un utilise <i>file</i>ou via un service qui se sert de <i>file</i>
pour classifier son entrée. (Par exemple, certains filtres d'imprimante
utilisent <i>file</i> pour déterminer comment traiter les fichiers envoyés à
l'imprimante).</p>
<p>Des paquets corrigés sont disponibles dans la version 3.28-1.potato.1
pour Debian 2.2 (<i>Potato</i>) et dans la version 3.37-3.1.woody.1
pour Debian 3.0 (<i>Woody</i>). Nous vous recommandons de mettre à jour
votre paquet file immédiatement.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-260.data"
# $Id: dsa-260.wml,v 1.1 2003/05/26 22:22:14 barbier Exp $
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Boucle infinie</define-tag>
<define-tag moreinfo>
<p>Un problème a été découvert dans <i>tcpdump</i>, un outil puissant pour
surveiller un réseau et récupérer les trames. Un attaquant était capable
d'envoyer un paquet réseau RADIUS spécialement conçu pour faire entrer
<i>tcpdump</i> dans une boucle infinie.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 3.6.2-2.4.</p>
<p>L'ancienne distribution stable (<i>Potato</i>) ne semble pas être affectée
par ce problème.</p>
<p>La distribution instable (<i>Sid</i>) n'est pas affectée par ce
problème.</p>
<p>Nous vous recommandons de mettre à jour votre paquet tcpdump.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-261.data"
# $Id: dsa-261.wml,v 1.1 2003/05/26 22:22:14 barbier Exp $
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
Reply to: