[RFR] wml://security/2012/dsa-2{499,500}.wml et rappel VAC

[David Prévot <david@tilapin.org>]

Salut,

Deux annonces de sécurité ont été publiées, par avance merci pour vos
relectures.

Comme je l'avais signalé sur cette liste il y a plus d'un mois, je ne
serais pas franchement disponible dans le mois qui vient, à partir de
maintenant, je vais donc répondre moins vite que d'habitude aux bidules
dont je m'occupe souvent, et vous encourage à le faire vous-même ;-).

Amicalement

David


#use wml::debian::translation-check translation="1.1" maintainer="David Prévot"
<define-tag description>Plusieurs vulnérabilités</define-tag>
<define-tag moreinfo>

<p>
Plusieurs vulnérabilités ont été découvertes
dans Mantis, un système de suivi de problèmes.
</p>

<ul>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-1118";>CVE-2012-1118</a>
<p>
Une installation de Mantis dans laquelle l'option de configuration
private_bug_view_threshold a été définie par un tableau n'applique
pas correctement les restrictions de visualisation de bogue.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-1119";>CVE-2012-1119</a>
<p>
Les actions de copie et clonage de rapport de
bogue ne permettent pas de suivre l'audit.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-1120";>CVE-2012-1120</a>
<p>
Les vérifications d'accès delete_bug_threshold et
bugnote_allow_user_edit_delete peuvent être contournées par les
utilisateurs ayant accès en écriture sur l'interface de programmation SOAP.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-1122";>CVE-2012-1122</a>
<p>
Mantis ne réalisait pas correctement les vérifications
d'accès lors du déplacement de bogues entre projets.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-1123";>CVE-2012-1123</a>
<p>
Un client SOAP envoyant un champ de mot de passe NULL
peut s'authentifier en tant qu'administrateur Mantis.
</p></li>

<li><a href="http://security-tracker.debian.org/tracker/CVE-2012-2692";>CVE-2012-2692</a>
<p>
Mantis ne vérifie pas la permission delete_attachments_threshold
quand un utilisateur essaye d'effacer une pièce jointe d'un problème.
</p></li>

</ul>

<p>Pour la distribution stable (Squeeze), ces problèmes ont été corrigés dans la version 1.1.8+dfsg-10squeeze2.</p>


<p>Pour la distribution testing (Wheezy) et la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 1.2.11-1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets mantis.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2012/dsa-2500.data"
# $Id: dsa-2500.wml,v 1.2 2012-06-24 14:20:05 taffit Exp $

#use wml::debian::translation-check translation="1.1" maintainer="David Prévot"
<define-tag description>Plusieurs vulnérabilités</define-tag>
<define-tag moreinfo>
<p>
Plusieurs vulnérabilités ont été découvertes dans Icedove, la version Debian du
client de courrier électronique et lecteur de nouvelles Mozilla Thunderbird.

Divers risques de sécurité mémoire
(<a href="http://security-tracker.debian.org/tracker/CVE-2012-1937";>CVE-2012-1937</a>,
<a href="http://security-tracker.debian.org/tracker/CVE-2012-1939";>CVE-2012-1939</a>)
et un problème d'utilisation de mémoire après libération
(<a href="http://security-tracker.debian.org/tracker/CVE-2012-1940";>CVE-2012-1940</a>)
ont été découverts.
</p>

<p>Pour la distribution stable (Squeeze), ces problèmes ont été corrigés dans la version 3.0.11-1+squeeze11.</p>

<p>Nous vous recommandons de mettre à jour vos paquets icedove.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2012/dsa-2499.data"
# $Id: dsa-2499.wml,v 1.1 2012-06-24 12:26:19 taffit Exp $

Attachment: signature.asc
Description: OpenPGP digital signature