[RFR2] wml://lts/security/2018/dla-142{0..9}wml
Bonjour,
le mercredi 24 avril 16:45, Baptiste Jammet a écrit :
>Quelques corrections de typos.
>
Merci Baptiste, intégré.
autre chance de commentaire.
Amicalement.
--
Jean-Paul
#use wml::debian::translation-check translation="ab3be4ee01879fd4484c795bbaa824377c218575" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Linux 4.9 a été empaqueté pour Debian 8 sous linux-4.9. Cela fournit un
chemin de gestion de mise à niveau pour des systèmes qui actuellement utilisent
les paquets de noyau de la suite « Jessie-backports ».</p>
<p>Il nâ??est nullement nécessaire de mettre à niveau les systèmes utilisant
Linux 3.16, car cette version de noyau continuera dâ??être prise en charge
pendant la période LTS.</p>
<p>Ce rétroportage nâ??inclut pas les paquets binaires suivants :</p>
<p>hyperv-daemons, libcpupower1, libcpupower-dev, libusbip-dev,
linux-compiler-gcc-4.9-x86, linux-cpupower linux-libc-dev usbip.</p>
<p>Les versions plus anciennes de la plupart de ceux-ci sont construites Ã
partir dâ??autres paquets source dans Debian 8.</p>
<p>Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient
conduire à une augmentation de droits, un déni de service ou une fuite
d'informations.</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5753";>CVE-2017-5753</a>
<p>De nouvelles instances de code vulnérables à Spectre variante 1
(contournement de vérification de limites) ont été mitigées.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-18255";>CVE-2017-18255</a>
<p>Le sous-système de réalisation dâ??évènements ne validait pas correctement la
valeur de sysctl kernel.perf_cpu_time_max_percent sysctl. Le réglage dâ??une
grande valeur pourrait avoir un impact de sécurité non précisé. Cependant, seul
un utilisateur privilégié peut régler cette sysctl.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1118";>CVE-2018-1118</a>
<p>Le logiciel syzbot a découvert que le pilote vhost nâ??initialisait pas les
tampons de message, qui pouvaient plus tard être lus par des processus utilisateur.
Un utilisateur avec accès au périphérique /dev/vhost-net pourrait utiliser cela
pour lire des informations sensibles du noyau ou dâ??autres processus
dâ??utilisateur.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1120";>CVE-2018-1120</a>
<p>Qualys a signalé quâ??un utilisateur capable de monter des systèmes de fichiers
FUSE peut créer un processus de manière quâ??un autre processus essayant de lire
sa ligne de commande sera bloqué pendant un temps long arbitraire. Cela pourrait
être utilisé pour un déni de service, ou aider à exploiter une situation de
compétition dans lâ??autre programme.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1130";>CVE-2018-1130</a>
<p>Le logiciel syzbot a trouvé que lâ??implémentation de DCCP de sendmsg() ne
vérifie pas lâ??état du socket, aboutissant éventuellement à un déréférencement de
pointeur NULL. Un utilisateur local pourrait utiliser cela pour provoquer un
déni de service (plantage).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-3639";>CVE-2018-3639</a>
<p>Plusieurs chercheurs ont découvert que SSB (Speculative Store Bypass), une
fonction implémentée dans beaucoup de processeurs, pourrait être utilisé pour
lire des informations sensibles dâ??autre contexte. En particulier, du code dans
un bac à sable logiciel pourrait lire des informations sensibles en dehors
du bac à sable. Ce problème est aussi connu comme Spectre variante 4.</p>
<p>Cette mise à jour permet de mitiger ce problème sur quelques processeurs x86
en désactivant SSB. Cela nécessite une mise à jour du micrologiciel qui nâ??est
pas libre. Cela pourra être inclus dans une mise à jour du système BIOS ou du
micrologiciel UEFI, ou dans une future mise à jour des paquets intel-microcode
ou amd64-microcode.</p>
<p>Désactiver SSB peut réduire les performances de manière significative, aussi,
par défaut, cela est réalisé que dans les tâches qui utilisent la fonction
seccomp. Les applications qui veulent cette mitigation doivent la demander
explicitement à travers lâ??appel système prctl(). Les utilisateurs peuvent
contrôler où cette mitigation est activée avec le paramètre
spec_store_bypass_disable du noyau.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-5814";>CVE-2018-5814</a>
<p>Jakub Jirasek a signalé une situation de compétition dans le pilote hôte
USB/IP. Un client malveillant pourrait utiliser cela pour provoquer un déni de
service (plantage ou corruption de mémoire), et éventuellement exécuter du
code, sur le serveur USB/IP.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10021";>CVE-2018-10021</a>
<p>Un attaquant physiquement présent débranchant un câble SAS peut causer un
déni de service (fuite de mémoire et WARN).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10087";>CVE-2018-10087</a> /
<a href="https://security-tracker.debian.org/tracker/CVE-2018-10124";>CVE-2018-10124</a>
<p>zhongjiang a trouvé que lâ??implémentation dâ??appels système wait4() et
kill() ne vérifiait pas si une valeur de pid de INT_MIN était valable. Si un
utilisateur passait une telle valeur, le comportement du code était formellement
non défini et pouvait avoir un impact de sécurité.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10853";>CVE-2018-10853</a>
<p>Andy Lutomirski et Mika Penttilä ont signalé que KVM pour les processeurs x86
ne réalisait pas la vérification de privilèges nécessaires lors de de lâ??émulation
de certaines instructions. Cela pourrait être utilisé par un utilisateur non
privilégié dans une VM de système invité pour augmenter ses droits dans le
système invité.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10876";>CVE-2018-10876</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10877";>CVE-2018-10877</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10878";>CVE-2018-10878</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10879";>CVE-2018-10879</a>,
<a href="https://security-tracker.debian.org/tracker/CVE-2018-10880";>CVE-2018-10880</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10881";>CVE-2018-10881</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10882";>CVE-2018-10882</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2018-10883";>CVE-2018-10883</a>
<p>Wen Xu de SSLab, Gatech, a signalé que des images contrefaites de système de
fichiers ext4 pourraient déclencher un plantage ou une corruption de mémoire. Un
utilisateur local capable de monter des systèmes de fichiers arbitraires ou un
attaquant fournissant des systèmes de fichiers à monter, pourraient utiliser cela
pour un déni de service ou éventuellement pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10940";>CVE-2018-10940</a>
<p>Dan Carpenter a signalé que le pilote de disque optique (cdrom) ne validait
pas correctement le parametre pour lâ??ioctl CDROM_MEDIA_CHANGED. Un utilisateur
ayant accès à un périphérique cdrom pourrait utiliser cela pour provoquer un
déni de service (plantage).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-11506";>CVE-2018-11506</a>
<p>Piotr Gabriel Kosinski et Daniel Shapira ont signalé que le pilote de disque
optique SCSI (sr) nâ??allouait pas un tampon suffisamment grand pour les données
indicatives « sense ». Un utilisateur, ayant accès à un périphérique optique SCSI
pouvant produire plus le 64 octets de données indicatives, pourrait utiliser cela
pour provoquer un déni de service (plantage or corruption de mémoire), et
éventuellement pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-12233";>CVE-2018-12233</a>
<p>Shankara Pailoor a signalé quâ??une image de système de fichiers JFS contrefaite
pourrait déclencher un déni de service (corruption de mémoire). Cela pourrait
éventuellement être aussi utilisé pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000204";>CVE-2018-1000204</a>
<p>Le logiciel syzbot a trouvé que le pilote générique SCSI (sg) pouvait en
certaines circonstances permettre de lire des données de tampons non initialisés.
qui pourraient inclure des informations sensibles du noyau ou dâ??autres tâches.
Cependant, seul les utilisateurs privilégiés avec les capacités CAP_SYS_ADMIN ou
CAP_SYS_RAWIO étaient autorisés à cela, donc lâ??impact de sécurité était faible
ou inexistant.</p></li>
</ul>
<p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans
la version 4.9.110-1~deb8u1. De plus, cette mise à jour corrige les bogues
Debian n° 860900, n° 872907, n° 892057, n° 896775, n° 897590, et n° 898137, et
inclut beaucoup dâ??autres corrections de bogues issues des mises à jour des
versions 4.9.89 à  4.9.110 incluses.</p>
<p>Nous vous recommandons de mettre à jour vos paquets linux-4.9.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1423.data"
# $Id: $
#use wml::debian::translation-check translation="ab3be4ee01879fd4484c795bbaa824377c218575" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui
pourraient conduire à une augmentation de droits, un déni de service ou une
fuite d'informations.</p>
<p>Cette mise à jour nâ??est pas encore disponible pour lâ??architecture armhf
(ARM EABI hard-float).</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5715";>CVE-2017-5715</a>
<p>Plusieurs chercheurs ont découvert une vulnérabilité dans divers
processeurs prenant en charge l'exécution spéculative, permettant à un
attaquant contrôlant un processus non privilégié de lire la mémoire Ã
partir d'adresses arbitraires, y compris à partir du noyau et de tous les
autres processus exécutés dans le système.</p>
<p>Cette attaque particulière a été nommée Spectre variante 2 (« branch
target injection ») et elle est palliée pour l'architecture Intel x86
(amd64 et i386) en utilisant de nouvelles fonctions dans le microcode.</p>
<p>Cette mitigation nécessite une mise à jour du microcode du processeur qui
nâ??est pas libre. Pour les processeurs récents dâ??Intel, cela est inclus dans le
paquet intel-microcode à partir de la version 3.20180425.1~deb8u1. Pour les
autres processeurs, cela pourrait être inclus dans une mise à jour du BIOS du
système ou du micrologiciel UEFI, ou dans une mise à jour future du paquet
amd64-microcode.</p>
<p>Cette vulnérabilité a déjà été mitigée pour lâ??architecture x86 avec la
fonction <q>retpoline</q>.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5753";>CVE-2017-5753</a>
<p>De nouvelles instances de code vulnérables à Spectre variante 1
(contournement de vérification de limites) ont été mitigées.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1066";>CVE-2018-1066</a>
<p>Dan Aloni a signalé à Red Hat que lâ??implémentation du client CIFS pourrait
déréférencer un pointeur NULL si le serveur renvoie une réponse non valable lors
du réglage de la négociation NTLMSSP. Cela pourrait être utilisé par un serveur
malveillant pour un déni de service.</p>
<p>La mitigation appliquée précédemment nâ??était pas appropriée pour Linux 3.16
et a été remplacée par un correctif alternatif.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1093";>CVE-2018-1093</a>
<p>Wen Xu a signalé quâ??une image de système de fichiers ext4 contrefaite
pourrait déclencher une lecture hors limites dans la fonction
ext4_valid_block_bitmap(). Un utilisateur local capable de monter des systèmes
de fichiers arbitraires pourrait utiliser cela pour un déni de service.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1130";>CVE-2018-1130</a>
<p>Le logiciel syzbot a trouvé que lâ??implémentation de DCCP de sendmsg() ne
vérifie pas lâ??état de socket, conduisant éventuellement à un déréférencement de
pointeur NULL. Un utilisateur local pourrait utiliser cela pour provoquer un
déni de service (plantage).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-3665";>CVE-2018-3665</a>
<p>Plusieurs chercheurs ont découvert que quelques processeurs x86 dâ??Intel
peuvent de manière spéculative lire des registres floating-point et vector même
si lâ??accès à ces registres est désactivé. La fonction du noyau Linux
<q>lazy FPU</q> repose sur ce contrôle dâ??accès pour éviter lâ??enregistrement et
la restitution de ces registres pour des tâches ne les utilisant pas, et était
activée par défaut pour les processeurs x86 qui ne prennent pas en charge
lâ??instruction XSAVEOPT.</p>
<p>Si <q>lazy FPU</q> est activé sur un des processeurs affectés, un attaquant
contrôlant un processus non privilégié peut être capable de lire des
informations sensibles de processus dâ??autres utilisateurs ou du noyau. Cela
affecte particulièrement les processeurs basés sur les conceptions de cÅ?ur
<q>Nehalem</q> et <q>Westemere</q>.
Ce problème a été mitigé en désactivant <q>lazy FPU</q> par défaut sur tous les
processeurs x86 prenant en charge les instructions FXSAVE et FXRSTOR. Cela
inclut tous les processeurs connus comme étant affectés et la plupart des
processeurs réalisant lâ??exécution spéculative. Il peut être aussi mitigé en
ajoutant le paramètre de noyau : eagerfpu=on.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-5814";>CVE-2018-5814</a>
<p>Jakub Jirasek a signalé une situation de compétition dans le pilote hôte
USB/IP. Un client malveillant pourrait utiliser cela pour provoquer un déni de
service (plantage ou corruption de mémoire), et éventuellement exécuter du
code, sur le serveur USB/IP.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-9422";>CVE-2018-9422</a>
<p>Il a été signalé que lâ??appel système futex() pourrait être utilisé par
un utilisateur non privilégié pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10853";>CVE-2018-10853</a>
<p>Andy Lutomirski et Mika Penttilä ont signalé que KVM pour les processeurs x86
ne réalisait pas la vérification de privilèges nécessaires lors de de lâ??émulation
de certaines instructions. Cela pourrait être utilisé par un utilisateur non
privilégié dans une VM de système invité pour augmenter ses droits dans le
système invité.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-10940";>CVE-2018-10940</a>
<p>Dan Carpenter a signalé que le pilote de disque optique (cdrom) ne validait
pas correctement le parametre pour lâ??ioctl CDROM_MEDIA_CHANGED. Un utilisateur
ayant accès à un périphérique cdrom pourrait utiliser cela pour provoquer un
déni de service (plantage).</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-11506";>CVE-2018-11506</a>
<p>Piotr Gabriel Kosinski et Daniel Shapira ont signalé que le pilote de disque
optique SCSI (sr) nâ??allouait pas un tampon suffisamment grand pour les données
indicatives « sense ». Un utilisateur, ayant accès à un périphérique optique SCSI
pouvant produire plus de 64 octets de données indicatives, pourrait utiliser cela
pour provoquer un déni de service (plantage ou corruption de mémoire), et
éventuellement pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-12233";>CVE-2018-12233</a>
<p>Shankara Pailoor a signalé quâ??une image de système de fichiers JFS contrefaite
pourrait déclencher un déni de service (corruption de mémoire). Cela pourrait
éventuellement être aussi utilisé pour une augmentation de droits.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000204";>CVE-2018-1000204</a>
<p>Le logiciel syzbot a trouvé que le pilote générique SCSI (sg) pouvait en
certaines circonstances permettre de lire des données de tampons non initialisés
qui pourraient inclure des informations sensibles du noyau ou dâ??autres tâches.
Cependant, seul les utilisateurs privilégiés avec les capacités CAP_SYS_ADMIN ou
CAP_SYS_RAWIO étaient autorisés à cela, donc lâ??impact de sécurité était faible
ou inexistant.</p></li>
</ul>
<p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans
la version 3.16.57-1. De plus, cette mise à jour corrige le bogue
Debian n° 898165 et inclut beaucoup dâ??autres corrections de bogues issues des
mises à jour de la version 3.16.57 stable.</p>
<p>Nous vous recommandons de mettre à jour vos paquets linux.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.or/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1422.data"
# $Id: $
Reply to: