[ddr] webwml:/security/2003/dsa-3346,7,8,9.wml
Bonsoir à tous,
Bon, c'était pas la fête nationale pour tout le monde. Donc, j'essaie de
combler le retard.
Merci de vos relectures, Thomas.
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Dépassement de tampon</define-tag>
<define-tag moreinfo>
<p>Le code inscrivant les évènements dans les journaux d'activité dans
<i>nfs-utils</i> contient un dépassement de tampon si on ajoute
un retour à la ligne à la chaîne de caractères qui va être inscrite. Cette
faille de sécurité permetait à un attaquant d'exécuter n'importe quel code
ou de causer un déni de service en envoyant certaines requêtes RPC.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 1:1.0-2woody1.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 1:1.0.3-2.</p>
<p>Nous vous recommandons de mettre à jour votre paquet nfs-utils.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-349.data"
#use wml::debian::translation-check translation="1.2" maintainer="DFS Task Force"
<define-tag description>Dépassements d'entier et de tampon</define-tag>
<define-tag moreinfo>
<p><i>traceroute-nanog</i>, une version améliorée du classique traceroute,
contient un bogue de dépassement d'entier qui pouvait être exploité pour
exécuter n'importe quel code. <i>traceroute-nanog</i> est à accès aux
privilèges de <i>root</i> mais il les relâche immédiatement après avoir obtenu
les sockets ICMP et IP en brut. Ainsi, l'exploitation de ce bogue ne donne
seulement accès à ces sockets et pas aux privilèges de <i>root</i>.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 6.1.1-1.3.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème va être corrigé
bientôt. Allez voir le
<a href="http://bugs.debian.org/200875";>bogue #200875</a> de Debian.</p>
<p>Nous vous recommandons de mettre à jour votre paquet traceroute-nanog.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-348.data"
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Injection SQL</define-tag>
<define-tag moreinfo>
<p><i>teapop</i>, un serveur POP-3, inclut des modules pour l'authentification
des utilisateurs via une base de données PostgreSQL ou MySQL. Ces modules
ne protège pas bien les chaînes de caractères entrées par les utilisateurs
avant de les introduire dans les requêtes SQL. Cette faille de sécurité
pouvait être exploitée pour exécuter n'importe quel requête SQL avec les
privilèges de l'utilisateur de la base de données qui a été reconnu par
<i>teapop</i>.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 0.3.4-1woody2.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème a été corrigé dans
la version 0.3.5-2.</p>
<p>Nous vous recommandons de mettre à jour votre paquet teapop.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-347.data"
#use wml::debian::translation-check translation="1.1" maintainer="DFS Task Force"
<define-tag description>Traversée de répertoire</define-tag>
<define-tag moreinfo>
<p>Albert Puigsech Galicia <email ripe@7a69ezine.org> a rapporté que
<i>phpsysinfo</i>, un programme à interface web affichant l'état d'un système,
contient deux failles de sécurité qui pouvaient permettre de lire des fichiers
locaux ou d'exécuter n'importe quel code PHP avec les privilèges du processus
du serveur web (généralement www-data). Ces failles de sécurité demande
un accès en écriture sur un répertoire du système pour être exploitées.</p>
<p>Pour la distribution stable (<i>Woody</i>), ce problème a été corrigé dans
la version 2.0-3woody1.</p>
<p>Pour la distribution instable (<i>Sid</i>), ce problème va être corrigé
bientôt. Allez voir le
<a href="http://bugs.debian.org/200543";>bogue #200543</a> de Debian.</p>
<p>Nous vous recommandons de mettre à jour votre paquet phpsysinfo.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2003/dsa-346.data"
Reply to: