[RFR] wml://security/2011/dsa-2143.wml

[David Prévot <david@tilapin.org>]

Salut,

Une nouvelle annonce de sécurité a été publiée, par avance merci pour
vos relectures.

Amicalement

David

#use wml::debian::translation-check translation="1.1" maintainer="David Prévot"
<define-tag description>Plusieurs vulnérabilités</define-tag>
<define-tag moreinfo>
<p>
Plusieurs vulnérabilités distantes ont été découvertes dans
le serveur de bases de données MySQL.

Le projet « Common Vulnerabilities and Exposures »
(CVE) identifie les problèmes suivants :
</p>

<ul>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3677";>CVE-2010-3677</a>

<p>
Il a été découvert que MySQL permet à des utilisateurs authentifiés distants
de provoquer un déni de service (plantage du démon mysqld) à l'aide d'une
jointure qui utilise une table avec une seule colonne SET.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3680";>CVE-2010-3680</a>

<p>
Il a été découvert que MySQL permet à des utilisateurs authentifiés distants de
provoquer un déni de service (plantage du démon mysqld) en créant des tables
temporaires tout en utilisant InnoDB, ce qui déclenche une erreur d'assertion.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3681";>CVE-2010-3681</a>

<p>
Il a été découvert que MySQL permet à des utilisateurs authentifiés
distants de provoquer un déni de service (plantage du démon mysqld) en
utilisant l'interface HANDLER et réalisant des « lectures alternées
depuis deux index d'une table, ce qui déclenche une erreur d'assertion.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3682";>CVE-2010-3682</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
l'utilisation de EXPLAIN avec certaines requêtes.

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3833";>CVE-2010-3833</a>

<p>
Il a été découvert que MySQL ne gère pas proprement la propagation
lors de l'évaluation d'arguments pour les fonctions aux bornes.

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3834";>CVE-2010-3834</a>

<p>
Il a été découvert que MySQL ne gère pas proprement la matérialisation d'une
table dérivée qui a besoin d'une table temporaire pour le regroupement.
  
Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3835";>CVE-2010-3835</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
certaines expressions d'affectation de variables utilisateur
qui sont évaluées dans un contexte d'expression logique.

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3836";>CVE-2010-3836</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
la pré-évaluation des prédicats LIKE pendant la préparation de vue.

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3837";>CVE-2010-3837</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
l'utilisation de GROUP_CONCAT() et WITH ROLLUP ensemble.

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3838";>CVE-2010-3838</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
certaines requêtes utilisant une liste mélangée d'arguments
numériques et LONGBLOB pour les fonctions GREATEST() ou LEAST().

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2010-3840";>CVE-2010-3840</a>

<p>
Il a été découvert que MySQL ne gère pas proprement
les données WKB non valables passées à la fonction PolyFromWKB().

Un utilisateur non authentifié pourrait planter le serveur.
</p></li>

</ul>

<p>
Pour la distribution stable (Lenny), ce problème a été corrigé dans la version
5.0.51a-24+lenny5.
</p>

<p> 
Les distributions testing (Squeeze) et unstable (Sid) ne contiennent plus
mysql-dfsg-5.0.
</p>

<p>
Nous vous recommandons de mettre à jour vos paquets
mysql-dfsg-5.0.
</p>

<p>
De plus amples renseignements à propos des annonces de sécurité
Debian, la méthode pour appliquer ces mises à jour sur votre système
et les questions récurrentes peuvent être consultés en :
<a href="$(HOME)/security/">http://www.debian.org/security/</a>
</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2011/dsa-2143.data"

Attachment: signature.asc
Description: OpenPGP digital signature