[RFR2] wml://lts/security/2018/dla-141{0..9}wml
Bonjour,
le vendredi 26 avril 15:42, Baptiste Jammet a écrit :
>Pour RFD (dla-1413), c'est le fichier qui est réfléchi.
>
>https://www.securityweek.com/reflected-file-download-new-attack-vector-enables-file-downloads-without-upload
>>The attack is called Reflected File Download because the malicious
>>file is not actually hosted on the targeted website, but instead it's
>>reflected from it.
>« téléchargement de fichier par réflexion » ou « téléchargement de
>fichier réfléchi » (mais « réfléchir » sonne, à mes oreilles, plus
>proche de « penser » que de « miroir »).
→ « téléchargement de fichier par réflexion »
Merci Baptiste, corrections appliquées
Autre chance de commentaire.
Amicalement.
--
Jean-Paul
#use wml::debian::translation-check translation="ab3be4ee01879fd4484c795bbaa824377c218575" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Plusieurs vulnérabilité de sécurité ont été trouvées dans Bouncy
Castle, une implémentation en Java dâ??algorithmes de chiffrement.</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000338";>CVE-2016-1000338</a>
<p>DSA ne valide pas complètement les signatures dâ??encodage ASN.1 lors de
vérification. Il est possible dâ??injecter des éléments supplémentaires dans la
séquence réalisant la signature et la conserver valable, ce qui peut dans
certains cas permettre lâ??introduction de données <q>invisibles</q> dans la
structure signée.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000339";>CVE-2016-1000339</a>
<p>Précédemment, la classe de moteur primaire utilisée pour AES était
AESFastEngine. Dû à lâ??approche hautement guidée par des tables utilisée dans
lâ??algorithme, il advient que si le canal des données sur le CPU peut être
contrôlé, les accès à la table de recherche sont suffisants pour divulguer des
informations sur la clef utilisée. Il existait aussi une brèche dans AESEngine
quoiquâ??elle soit considérablement moindre. AESEngine a été modifié pour
supprimer tout signe de brèche et est désormais la classe AES primaire pour le
fournisseur de JCE de Bouncy Castle. Lâ??utilisation dâ??AESFastEngine est maintenant
seulement recommandée où cela semble plus approprié.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000341";>CVE-2016-1000341</a>
<p>La génération de signatures DSA est vulnérable à des attaques temporelles.
Lorsque les horodatages peuvent être observés de près lors de la génération de
signatures, le manque dâ??offuscation peut permettre à un attaquant dâ??obtenir des
informations sur la valeur k de la signature et en définitive la valeur privée.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000342";>CVE-2016-1000342</a>
<p>ECDSA ne valide pas complètement les signatures dâ??encodage ASN.1 lors de
vérification. Il est possible dâ??injecter des éléments supplémentaires dans la
séquence réalisant la signature et et la conserver valable, ce qui peut dans
certains cas permettre lâ??introduction de données <q>invisibles</q> dans la
structure signée.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000343";>CVE-2016-1000343</a>
<p>Le générateur de paires de clefs DSA crée une clef privée faible sâ??il est
utilisé avec les valeurs par défaut. Si le générateur de paires de clefs JCA
nâ??est pas initialisé explicitement avec des paramètres DSA, les versions 1.55 et précédentes
génèrent une valeur privée en supposant une taille de clef de 1024 bits. Dans les
publications précédentes, cela peut être réglé en passant explicitement des
paramètres au générateur de paires de clefs.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000345";>CVE-2016-1000345</a>
<p>Le mode CBC DHIES/ECIES est vulnérable à une attaque dâ??oracle par
remplissage. Dans un environnement où les horodatages peuvent être facilement
observés, il est possible avec suffisamment dâ??observations dâ??identifier où le
déchiffrement échoue à cause du remplissage.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-1000346";>CVE-2016-1000346</a>
<p>Dans le fournisseur de JCE de Bouncy Castle, la clef publique DH de lâ??autre
partie nâ??est pas totalement validée. Cela peut causer des problèmes car des
clefs non valables peuvent être utilisées pour révéler des détails sur la clef
privée de lâ??autre partie où Diffie-Hellman statique est utilisé. Dans
cette publication, les paramètres de clef sont vérifiés par calcul dâ??agrément.</p></li>
</ul>
<p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans
la version 1.49+dfsg-3+deb8u3.</p>
<p>Nous vous recommandons de mettre à jour vos paquets bouncycastle.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1418.data"
# $Id: $
#use wml::debian::translation-check translation="ab3be4ee01879fd4484c795bbaa824377c218575" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Quelques vulnérabilités de sécurité ont été trouvées dans Mercurial qui
permettent à des utilisateurs authentifiés de déclencher lâ??exécution de code
arbitraire et lâ??accès à des données non autorisé dans certaine configuration de
serveur. Des correctifs et des dépôts malformés peuvent conduire à des plantages
et à lâ??exécution de code arbitraire dans les clients.</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-9462";>CVE-2017-9462</a>
<p>Dans Mercurial avant 4.1.3, « hg serve --stdio » permet à les utilisateurs
authentifiés distants de lancer le débogueur de Python, et par conséquent,
exécuter du code arbitraire, en utilisant --debugger comme nom de dépôt.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-17458";>CVE-2017-17458</a>
<p>Dans Mercurial avant 4.4.1, il est possible quâ??un répertoire malformé pour
lâ??occasion peut causer que des sous-dépôts exécutent du code arbitraire sous
forme de script .git/hooks/post-update vérifié dans le dépôt. Lâ??utilisation
typique de Mercurial empêche la construction de tels dépôts, mais ils peuvent
être créés par programmation.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000132";>CVE-2018-1000132</a>
<p>Mercurial, version 4.5 et précédentes, contient une vulnérabilité de
contrôle dâ??accès incorrect (CWE-285) dans le serveur de protocole, qui pourrait
aboutir à un accès à des données non autorisé. Cette attaque semble être
exploitable à lâ??aide dâ??une connectivité réseau. Cette vulnérabilité semble
avoir été corrigée dans la version 4.5.1.</p>
<li>OVE-20180430-0001
<p>mpatch : prudence lors de lâ??analyse de données binaires modifiées</p></li>
<li>OVE-20180430-0002
<p>mpatch : protection contre une sous-alimentation dans mpatch_apply</p></li>
<li>OVE-20180430-0004
<p>mpatch : assurance quâ??un élément start nâ??est pas après la fin dâ??orig</p></li>
</ul>
<p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans
la version 3.1.2-2+deb8u5.</p>
<p>Nous vous recommandons de mettre à jour vos paquets mercurial.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1414.data"
# $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Le paramètre dâ??appel de /lib/exe/ajax.php dans DokuWiki jusquâ??à 2017-02-19e
nâ??encodait pas proprement lâ??entrée de lâ??utilisateur. Cela conduisait à une
vulnérabilité RFD (téléchargement de fichier par réflexion), et permet à des
attaquants distants dâ??exécuter des programmes arbitraires.</p>
<p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans
la version 0.0.20140505.a+dfsg-4+deb8u1.</p>
<p>Nous vous recommandons de mettre à jour vos paquets dokuwiki.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1413.data"
# $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Pysaml2, une implémentation de Python du Security Assertion Markup
Language, acceptait nâ??importe quel mot de passe lorsquâ??exécuté avec les
optimisations de Python activées. Cela permet à des attaquants de se connecter
avec n'importe quel compte sans en connaître le mot de passe.</p>
<p>Pour Debian 8 <q>Jessie</q>, ce problème a été corrigé dans
la version 2.0.0-1+deb8u2.</p>
<p>Nous vous recommandons de mettre à jour vos paquets python-pysaml2.</p>
<p>Plus dâ??informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>
# do not modify le following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1410.data"
# $Id: $
Reply to: