Le 03/01/2012 09:24, Thomas Vincent a écrit : > Je n'ai relevé qu'une erreur Le 03/01/2012 14:07, JP Guillonneau a écrit : > suggestion. Merci à vous deux, et merci d'avance pour vos dernières remarques. Amicalement David
#use wml::debian::translation-check translation="1.1" maintainer="David Prévot" <define-tag description>Déréférencement de pointeur NULL</define-tag> <define-tag moreinfo> <p> cyrus-imapd, un système de messagerie électronique très évolutif conçu pour être utilisé en environnement professionnel, n'analyse pas correctement les en-têtes de courrier quand un client utilise la fonctionnalité de suivi de fil (<q>threading</q>) d'IMAP. Par conséquent, un pointeur NULL est déréférencé ce qui plante le démon. Un attaquant peut déclencher cela en envoyant un courrier contenant des en-têtes de référence contrefaits et en accédant au courrier avec un client qui utilise la fonctionnalité de suivi de fil (<q>threading</q>) d'IMAP. </p> <p>Pour la distribution oldstable (Lenny), ce problème a été corrigé dans la version 2.2.13-14+lenny6.</p> <p>Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.2.13-19+squeeze3.</p> <p> Pour les distributions testing (Wheezy) et unstable (Sid), ce problème a été corrigé dans la version 2.4.11-1 de cyrus-imapd-2.4. </p> <p>Nous vous recommandons de mettre à jour vos paquets cyrus-imapd-2.2.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2012/dsa-2377.data" # $Id: dsa-2377.wml,v 1.2 2012-01-03 21:12:00 taffit Exp $
#use wml::debian::translation-check translation="1.3" maintainer="David Prévot" <define-tag description>Plusieurs vulnérabilités</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilités ont été découvertes dans KVM, un système de virtualisation complet. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.</p> <ul> <li><a href="http://security-tracker.debian.org/tracker/CVE-2008-5714";>CVE-2008-5714</a> <p> Chris Webb a découvert un bogue dû à un décalage d'entier limitant les mots de passe VNC de KVM à sept caractères. Ce défaut pourrait permettre aux attaquants distants de deviner plus facilement le mot de passe VNC, qui est limité à sept caractères au lieu des huit prévus. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3290";>CVE-2009-3290</a> <p> La fonction kvm_emulate_hypercall dans KVM n'empêche pas l'accès aux hyperappels d'unité de gestion mémoire â?? MMU â?? de l'anneau 0. Cela permet aux utilisateurs locaux du système d'exploitation client de provoquer un déni de service (plantage du noyau du client) et de lire ou écrire dans la mémoire du noyau du client. </p></li> </ul> <p>La distribution oldstable (Etch) ne contient pas kvm.</p> <p>Pour la distribution stable (Lenny), ces problèmes ont été corrigés dans la version 72+dfsg-5~lenny3.</p> <p>Pour la distribution testing (Squeeze), ces problèmes seront corrigés prochainement.</p> <p>Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 85+dfsg-4.1</p> <p>Nous vous recommandons de mettre à jour vos paquets kvm.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1907.data" # $Id: dsa-1907.wml,v 1.3 2010-12-17 14:40:17 taffit-guest Exp $
#use wml::debian::translation-check translation="1.4" maintainer="David Prévot" <define-tag description>Augmentation de droits, déni de service, fuite de mémoire sensible</define-tag> <define-tag moreinfo> <p> Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à un déni de service, une fuite de mémoire sensible ou une augmentation de droits. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.</p> <ul> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-1883";>CVE-2009-1883</a> <p> Solar Designer a découvert une vérification de capacité manquante dans le pilote z90crypt ou les systèmes s390. Cette vulnérabilité pourrait permettre à un utilisateur local d'augmenter ses droits. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2909";>CVE-2009-2909</a> <p> Arjan van de Ven a découvert un problème dans l'implémentation du protocole AX.25. Un appel à setsockopt() contrefait pour l'occasion peut avoir pour conséquence un déni de service (oops du noyau). </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3001";>CVE-2009-3001</a> <p> Jiri Slaby a corrigé un problème de fuite de mémoire sensible dans l'implémentation ANSI/IEEE 802.2 LLC. Ce n'est pas exploitable dans le noyau de Debian Lenny car les droits du superutilisateur sont nécessaires pour exploiter ce problème. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3002";>CVE-2009-3002</a> <p> Eric Dumazet a corrigé plusieurs fuites de mémoire sensible dans les implémentations IrDA, X.25 PLP (Rose), NET/ROM, Acorn Econet/AUN et Controller Area Network (CAN). Des utilisateurs locaux peuvent exploiter ces problèmes pour obtenir un accès à la mémoire du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3228";>CVE-2009-3228</a> <p> Eric Dumazet a signalé une instance de mémoire de noyau non initialisée dans l'ordonnanceur de paquets réseau. Des utilisateurs locaux pourraient être capables d'exploiter ce problème pour lire le contenu de la mémoire sensible du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3238";>CVE-2009-3238</a> <p> Linus Torvalds a fourni une modification de la fonction get_random_int() pour augmenter son entropie. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3286";>CVE-2009-3286</a> <p> Eric Paris a découvert un problème avec l'implémentation de serveur NFSv4. Quand la création d'un O_EXCL échoue, des fichiers pourraient être laissés avec des droits corrompus, donnant éventuellement de façon non intentionnelle des droits à d'autres utilisateurs locaux. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3547";>CVE-2009-3547</a> <p> Earl Chew a découvert un problème de déréférencement de pointeur NULL dans la fonction pipe_rdwr_open ce qui peut servir à des utilisateurs locaux pour obtenir plus de droits. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3612";>CVE-2009-3612</a> <p> Jiri Pirko a découvert une faute de frappe dans l'initialisation d'une structure du sous-système netlink qui pourrait permettre aux utilisateurs locaux d'accéder à la mémoire sensible du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3621";>CVE-2009-3621</a> <p> Tomoki Sekiyama a découvert une condition d'interblocage (<q>deadlock</q>) dans l'implémentation de socket de domaine UNIX. Des utilisateurs locaux peuvent exploiter cette vulnérabilité pour provoquer un déni de service (gel du système). </p></li> </ul> <p>Pour la distribution oldstable (Etch), ce problème a été corrigé dans la version 2.6.18.dfsg.1-26etch1.</p> <p>Nous vous recommandons de mettre à jour vos paquets linux-2.6, fai-kernels et user-mode-linux.</p> <p> Remarque : Debian <q>Etch</q> contient des paquets de noyau basés à la fois sur les version de Linux 2.6.18 et 2.6.24. Tous les problèmes de sécurité connus sont soigneusement suivis pour les deux paquets qui recevront des mises à jour de sécurité jusqu'à la fin de la prise en charge de Debian <q>Etch</q>. Cependant, en raison de la fréquence importante à laquelle des problèmes de sécurité de faible importance sont découverts dans le noyau et les ressources nécessaires pour réaliser une mise à jour, les mises à jour de faible importance pour 2.6.18 et 2.6.24 seront généralement publiées de façon échelonnée ou à <q>saute-mouton</q>. </p> <p>Le tableau suivant liste les paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :</p> <div class="centerdiv"><table cellspacing="0" cellpadding="2"> <tr><th> </th> <th>Debian 4.0 (Etch)</th></tr> <tr><td>fai-kernels</td><td>1.17+etch.26etch1</td></tr> <tr><td>user-mode-linux</td><td>2.6.18-1um-2etch.26etch1</td></tr> </table></div> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1929.data" # $Id: dsa-1929.wml,v 1.4 2011-10-09 11:11:00 florian Exp $
#use wml::debian::translation-check translation="1.3" maintainer="David Prévot" <define-tag description>Augmentation de droits, déni de service, fuite de mémoire sensible</define-tag> <define-tag moreinfo> <p> Remarque : Debian 5.0.4, la prochaine mise à jour de publication de Debian <q>Lenny</q>, contiendra une nouvelle valeur par défaut de mmap_min_addr. Cette modification ajoutera une protection supplémentaire contre une catégorie de vulnérabilités de sécurité connues sous le nom de <q>déréférencement de pointeur NULL</q>, mais elle devra être écrasée pour utiliser certaines applications. De plus amples renseignements sur cette modification, y compris des instructions pour réaliser cette modification localement sans attendre la publication de Debian 5.0.4 (ce qui est recommandé), sont disponibles sur le <a href="http://wiki.debian.org/mmap_min_addr";>wiki</a>. </p> <p> Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à un déni de service, une fuite de mémoire sensible ou une augmentation de droits. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.</p> <ul> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3228";>CVE-2009-3228</a> <p> Eric Dumazet a signalé une instance de mémoire de noyau non initialisée dans l'ordonnanceur de paquets réseau. Des utilisateurs locaux pourraient être capables d'exploiter ce problème pour lire le contenu de la mémoire sensible du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3238";>CVE-2009-3238</a> <p> Linus Torvalds a fourni une modification de la fonction get_random_int() pour augmenter son entropie. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3547";>CVE-2009-3547</a> <p> Earl Chew a découvert un problème de déréférencement de pointeur NULL dans la fonction pipe_rdwr_open ce qui peut servir à des utilisateurs locaux pour obtenir plus de droits. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3612";>CVE-2009-3612</a> <p> Jiri Pirko a découvert une faute de frappe dans l'initialisation d'une structure du sous-système netlink qui pourrait permettre aux utilisateurs locaux d'accéder à la mémoire sensible du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3620";>CVE-2009-3620</a> <p> Ben Hutchings a découvert un problème dans le gestionnaire DRM des adaptateurs graphiques ATI Rage 128. Des utilisateurs locaux pourraient être capables d'exploiter cette vulnérabilité pour provoquer un déni de service (déréférencement de pointeur NULL). </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3621";>CVE-2009-3621</a> <p> Tomoki Sekiyama a découvert une condition d'interblocage (<q>deadlock</q>) dans l'implémentation de socket de domaine UNIX. Des utilisateurs locaux peuvent exploiter cette vulnérabilité pour provoquer un déni de service (gel du système). </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3638";>CVE-2009-3638</a> <p> David Wagner a signalé un dépassement dans le sous-système KVM sur les systèmes i386. Ce problème est exploitable par des utilisateurs locaux ayant accès au vichier de périphérique /dev/kvm. </p></li> </ul> <p>Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 2.6.26-19lenny2.</p> <p> Pour la distribution oldstable (Etch), ces problèmes, quand ils s'appliquent, seront corrigés dans les mises à jour de linux-2.6 et linux-2.6.24. </p> <p>Nous vous recommandons de mettre à jour vos paquets linux-2.6 et user-mode-linux.</p> <p> Remarque : Debian suit soigneusement tous les problèmes de sécurité connus concernant les noyaux Linux de toutes les distributions activement suivies en sécurité. Cependant, en raison de la fréquence importante à laquelle des problèmes de sécurité de faible importance sont découverts dans le noyau et les ressources nécessaires pour réaliser une mise à jour, les mises à jour de faible importance ne seront généralement pas publiées pour tous les noyaux en même temps. � la place, elles seront publiées de façon échelonnée ou à <q>saute-mouton</q>. </p> <p>Le tableau suivant liste les paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :</p> <div class="centerdiv"><table cellspacing="0" cellpadding="2"> <tr><th> </th> <th>Debian 5.0 (Lenny)</th></tr> <tr><td>user-mode-linux</td><td>2.6.26-1um-2+19lenny2</td></tr> </table></div> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1927.data" # $Id: dsa-1927.wml,v 1.3 2010-12-17 14:40:30 taffit-guest Exp $
#use wml::debian::translation-check translation="1.2" maintainer="David Prévot" <define-tag description>Augmentation de droits, déni de service, fuite de mémoire sensible</define-tag> <define-tag moreinfo> <p> Remarque : Debian 5.0.4, la prochaine mise à jour de publication de Debian <q>Lenny</q>, contiendra une nouvelle valeur par défaut de mmap_min_addr. Cette modification ajoutera une protection supplémentaire contre une catégorie de vulnérabilités de sécurité connues sous le nom de <q>déréférencement de pointeur NULL</q>, mais elle devra être écrasée pour utiliser certaines applications. De plus amples renseignements sur cette modification, y compris des instructions pour réaliser cette modification localement sans attendre la publication de Debian 5.0.4 (ce qui est recommandé), sont disponibles sur le <a href="http://wiki.debian.org/mmap_min_addr";>wiki</a>. </p> <p> Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à un déni de service, une fuite de mémoire sensible ou une augmentation de droits. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.</p> <ul> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2695";>CVE-2009-2695</a> <p> Eric Paris a fourni plusieurs correctifs pour augmenter la protection fournie par le mmap_min_addr réglable contre les vulnérabilités de déréférencement de pointeur NULL. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2903";>CVE-2009-2903</a> <p> Mark Smith a découvert une fuite de mémoire dans l'implémentation appletalk. Quand les modules appletalk et ipddp sont chargés, mais qu'aucun périphérique ipddp"N" n'est trouvé, des attaquants distants peuvent provoquer un déni de service en consommant une grande quantité de mémoire système. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2908";>CVE-2009-2908</a> <p> Loic Minier a découvert un problème dans le système de fichiers eCryptfs. Un utilisateur local peut provoquer un déni de service (oops du noyau) en rendant une valeur dentry négative. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2909";>CVE-2009-2909</a> <p> Arjan van de Ven a découvert un problème dans l'implémentation du protocole AX.25. Un appel à setsockopt() contrefait pour l'occasion peut avoir pour conséquence un déni de service (oops du noyau). </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-2910";>CVE-2009-2910</a> <p> Jan Beulich a découvert l'existence d'une fuite de mémoire sensible du noyau. Les systèmes utilisant le noyau <q>amd64</q> ne vérifient pas correctement les registres des processus 32 bits. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3001";>CVE-2009-3001</a> <p> Jiri Slaby a corrigé un problème de fuite de mémoire sensible dans l'implémentation ANSI/IEEE 802.2 LLC. Ce n'est pas exploitable dans le noyau de Debian Lenny car les droits du superutilisateur sont nécessaires pour exploiter ce problème. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3002";>CVE-2009-3002</a> <p> Eric Dumazet a corrigé plusieurs fuites de mémoire sensible dans les implémentations IrDA, X.25 PLP (Rose), NET/ROM, Acorn Econet/AUN et Controller Area Network (CAN). Des utilisateurs locaux peuvent exploiter ces problèmes pour obtenir un accès à la mémoire du noyau. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3286";>CVE-2009-3286</a> <p> Eric Paris a découvert un problème avec l'implémentation de serveur NFSv4. Quand la création d'un O_EXCL échoue, des fichiers pourraient être laissés avec des droits corrompus, donnant éventuellement de façon non intentionnelle des droits à d'autres utilisateurs locaux. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3290";>CVE-2009-3290</a> <p> Jan Kiszka a remarqué que la fonction kvm_emulate_hypercall dans KVM n'empêche pas l'accès aux hyperappels d'unité de gestion mémoire â?? MMU â?? de l'anneau 0. Cela permet aux utilisateurs locaux du système d'exploitation client de provoquer un déni de service (plantage du noyau du client) et de lire ou écrire dans la mémoire du noyau du client. </p></li> <li><a href="http://security-tracker.debian.org/tracker/CVE-2009-3613";>CVE-2009-3613</a> <p> Alistair Strachan a signalé un problème dans le pilote r8169. Les utilisateurs distants peuvent déclencher un déni de service (épuisement de l'espace d'unité de gestion mémoire d'entrée sortie â?? IOMMU â?? et plantage du système) en transmettant une grande quantité de trames jumbo. </p></li> </ul> <p> Pour la distribution oldstable (Etch), ces problèmes, quand ils s'appliquent, seront corrigés dans les mises à jour de linux-2.6 et linux-2.6.24. </p> <p>Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 2.6.26-19lenny1.</p> <p>Nous vous recommandons de mettre à jour vos paquets linux-2.6 et user-mode-linux.</p> <p> Remarque : Debian suit soigneusement tous les problèmes de sécurité connus concernant les noyaux Linux de toutes les distributions activement suivies en sécurité. Cependant, en raison de la fréquence importante à laquelle des problèmes de sécurité de faible importance sont découverts dans le noyau et les ressources nécessaires pour réaliser une mise à jour, les mises à jour de faible importance ne seront généralement pas publiées pour tous les noyaux en même temps. Ã? la place, elles seront publiées de façon échelonnée ou à <q>saute-mouton</q>. </p> <p>Le tableau suivant liste les paquets supplémentaires qui ont été reconstruits à des fins de compatibilité ou pour tirer parti de cette mise à jour :</p> <div class="centerdiv"><table cellspacing="0" cellpadding="2"> <tr><th> </th> <th>Debian 5.0 (Lenny)</th></tr> <tr><td>user-mode-linux</td><td>2.6.26-1um-2+19lenny1</td></tr> </table></div> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2009/dsa-1915.data" # $Id: dsa-1915.wml,v 1.2 2010-12-17 14:40:22 taffit-guest Exp $
Attachment:
signature.asc
Description: OpenPGP digital signature