[RFR] wml://security/2016/dsa-358{0,1,2,3,4}.wml
Bonjour,
Cinq nouvelles annonces de sécurité viennent d'être publiées. En voici
une traduction.
Merci d'avance pour vos relectures.
Amicalement,
jipege
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Gustavo Grieco a découvert plusieurs défauts dans la manière dont
librsvg, une bibliothèque de rendu basé sur SAX pour les fichiers SVG,
analyse les fichiers SVG files avec des définitions circulaires. Un
attaquant distant peut tirer avantage de ces défauts pour provoquer le
plantage d'une application utilisant la bibliothèque librsvg.</p>
<p>Pour la distribution stable (Jessie), ces problèmes ont été corrigés dans la version 2.40.5-1+deb8u2.</p>
<p>Pour la distribution testing (Stretch), ces problèmes ont été corrigés dans la version 2.40.12-1.</p>
<p>Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 2.40.12-1.</p>
<p>Nous vous recommandons de mettre à jour vos paquets librsvg.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dsa-3584.data"
# $Id: dsa-3584.wml,v 1.1 2016/05/22 16:12:26 jipege1-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Le greffon de l'intergiciel swift3 (compatibilité S3) pour Swift
réalisait une validation insuffisante des en-têtes de date qui pourrait
avoir pour conséquence des attaques par rejeu.</p>
<p>Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.7-5+deb8u1.</p>
<p>Pour la distribution testing (Stretch), ce problème a été corrigé dans la version 1.9-1.</p>
<p>Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.9-1.</p>
<p>Nous vous recommandons de mettre à jour vos paquets swift-plugin-s3.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dsa-3583.data"
# $Id: dsa-3583.wml,v 1.1 2016/05/22 16:21:58 jipege1-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Gustavo Grieco a découvert que Expat, une bibliothèque C d'analyse XML,
ne gérait pas correctement certains types de documents d'entrée malformés,
avec comme conséquence des dépassements de tampon lors du traitement et des
rapport d'erreur. Un attaquant distant peut tirer avantage de ce défaut pour
provoquer le plantage d'une application utilisant la bibliothèque Expat, ou
éventuellement, pour exécuter du code arbitraire avec les droits de
l'utilisateur exécutant l'application.</p>
<p>Pour la distribution stable (Jessie), ce problème a été corrigé dans la
version 2.1.0-6+deb8u2. En complément, cette mise à jour renouvelle la
correction pour
<a href="https://security-tracker.debian.org/tracker/CVE-2015-1283";>CVE-2015-1283</a>
pour éviter de dépendre d'un comportement indéfini.</p>
<p>Nous vous recommandons de mettre à jour vos paquets expat.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dsa-3582.data"
# $Id: dsa-3582.wml,v 1.1 2016/05/23 21:46:06 jipege1-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Julien Bernard a découvert que libndp, une bibliothèque pour le Neighbor
Discovery Protocol (NDP) d'IPv6, ne réalisait pas correctement les
vérifications d'entrée et d'origine lors de la réception d'un message NDP.
Un attaquant dans un réseau non local pourrait utiliser ce défaut pour
afficher un nÅ?ud comme un routeur et provoquer une attaque par déni de
service ou se comporter comme un « homme du milieu ».</p>
<p>Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.4-2+deb8u1.</p>
<p>Nous vous recommandons de mettre à jour vos paquets libndp.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dsa-3581.data"
# $Id: dsa-3581.wml,v 1.1 2016/05/23 21:46:06 jipege1-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Nikolay Ermishkin de l'équipe de sécurité de Mail.Ru et Stewie ont
découvert plusieurs vulnérabilités dans ImageMagick, un ensemble de
programmes pour manipuler des images. Ces vulnérabilités, connues
collectivement sous le nom de ImageTragick, sont la conséquence de l'absence
de vérification des entrées non fiables. Un attaquant doté du contrôle sur
l'entrée d'image pourrait, avec les droits de l'utilisateur se servant de
l'application, exécuter du code
(<a href="https://security-tracker.debian.org/tracker/CVE-2016-3714";>CVE-2016-3714</a>), faire des requêtes HTTP
GET ou FTP (<a href="https://security-tracker.debian.org/tracker/CVE-2016-3718";>CVE-2016-3718</a>),
ou supprimer (<a href="https://security-tracker.debian.org/tracker/CVE-2016-3715";>CVE-2016-3715</a>), déplacer
(<a href="https://security-tracker.debian.org/tracker/CVE-2016-3716";>CVE-2016-3716</a>), ou lire
(<a href="https://security-tracker.debian.org/tracker/CVE-2016-3717";>CVE-2016-3717</a>) des fichiers locaux.</p>
<p>Ces vulnérabilités sont particulièrement critiques si Imagemagick traite
des images venant de parties distantes, par exemple d'une partie d'un
service web.</p>
<p>La mise à jour désactive les codeurs vulnérables (EPHEMERAL, URL, MVG,
MSL et PLT) et les lectures indirectes par l'intermédiaire du fichier
/etc/ImageMagick-6/policy.xml. En complément, des préventions
supplémentaires sont introduites, y compris quelques vérifications pour les
noms de fichier d'entrée dans les délégués http/https, le retrait complet du
décodeur PLT/Gnuplot et la nécessité de référence explicite dans le nom de
fichier pour les codeurs non sûrs.</p>
<p>Pour la distribution stable (Jessie), ces problèmes ont été corrigés dans la version 8:6.8.9.9-5+deb8u2.</p>
<p>Nous vous recommandons de mettre à jour vos paquets imagemagick.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dsa-3580.data"
# $Id: dsa-3580.wml,v 1.1 2016/05/23 21:46:06 jipege1-guest Exp $
Reply to: