[RFR] webwml://security/2006/dsa-946.wml [maj]
Bonjour,
Voici la mise à jour de l'annonce de sécurité touchant sudo.
Seul le début du fichier a été modifié.
Merci d'avance pour vos relectures.
--
Simon Paillard
#use wml::debian::translation-check translation="1.3" maintainer="Simon Paillard"
<define-tag description>Mauvaise vérification des entrées</define-tag>
<define-tag moreinfo>
<p>La correction des vulnérabilités dans la mise à jour précédente du paquet
sudo fonctionnait correctement, mais était trop stricte pour certains
environnements. Dans cette mise à jour, nous avons ainsi passé en revue les
changements et permis à certains variables d'environnement d'entrer à nouveau
dans l'environnement privilégié d'exécution.</p>
<p>L'option de configuration « env_reset » est maintenant activée par
défaut. Seules seront préservées les variables d'environnement HOME, LOGNAME,
PATH, SHELL, TERM, DISPLAY, XAUTHORITY, XAUTHORIZATION, LANG, LANGUAGE, LC_*,
et USER en plus des variables SUDO_*.</p>
<p>Voici ci-dessous l'intégralité du bulletin précédent :</p>
<blockquote>
<p>On a découvert que sudo, un programme privilégié qui fournit des droits
limités du superutilisateur à des utilisateurs spécifiques, transmettait
plusieurs variables d'environnement au programme exécuté avec des droits
privilégiés. Dans le cas de chemins d'inclusion (par exemple pour Perl,
Python, Ruby ou d'autres langages de script), du code arbitraire pouvait être
exécuté en mode privilégié si l'attaquant faisait pointer vers une version
modifiée d'une bibliothèque.</p>
<p>Cette mise à jour modifie le comportement de sudo et limite le nombre de
variables d'environnement gérées à LC_*, LANG, LANGUAGE and TERM. Les variables
supplémentaires ne sont transmises que si elles sont spécifiées dans le paramètre
env_check du fichier /etc/sudoers, ce qui peut être nécessaire pour que
certains scripts puissent continuer à fonctionner.</p>
</blockquote>
<p>Pour l'ancienne distribution stable (<em>Woody</em>), ce problème a été
corrigé dans la version 1.6.6-1.6.</p>
<p>Pour l'actuelle distribution stable (<em>Sarge</em>), ce problème a été
corrigé dans la version 1.6.8p7-1.4.</p>
<p>Pour la distribution instable (<em>Sid</em>), ce problème sera bientôt
corrigé.</p>
<p>Nous vous recommandons de mettre à jour votre paquet sudo. Pour la
distribution instable (<em>Sid</em>), « Defaults = env_reset » doit
être ajouté manuellement au fichier /etc/sudoers.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-946.data"
Reply to: