[RFR] wml://lts/security/2018/dla127{0,1,2,3,4,5,6,7,8,9}.wml

[Jean-Pierre Giraud <jenapierregiraud75@free.fr>]

Bonjour,

Ces annonces de sécurité ont été publiées.
Les fichiers sont aussi disponibles ici :

https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2018/dla-xxxx.wml
https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2018/dla-xxxx.wml

Merci d'avance pour vos relectures.
Amicalement,
jipege

#use wml::debian::translation-check translation="ec63203ae7c88b70ad002f6a6d89bd22297d4fb8" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-6419";>CVE-2017-6419</a> /
<a href="https://security-tracker.debian.org/tracker/CVE-2017-11423";>CVE-2017-11423</a>

<p>Deux vulnérabilités ont été corrigées qui auraient pu être utilisées
pour un déni de service ou peut-être un impact non indiqué au moyen de
fichiers contrefaits (dépassement de tampon de tas et lecture hors limites
de tampon de pile provoquant le plantage de l'application)</p></li>

</ul>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 0.99.2+dfsg-0+deb7u5.</p>

<p>Nous vous recommandons de mettre à jour vos paquets clamav.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a></p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1279.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Il y avait une vulnérabilité de validation d'entrée dans la bibliothèque
de rendu librsvg qui pourrait avoir pour conséquence la divulgation de
données à des attaquants distants à l'aide d'un fichier contrefait pour
l'occasion.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans la version 
2.36.1-2+deb7u3.</p>

<p>Nous vous recommandons de mettre à jour vos paquets librsvg.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1278.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<p>Chris Navarrete du FortiGuard Labs de Fortinet a découvert qu'Audacity,
un éditeur audio multi-pistes, contenait une vulnérabilité telle qu'un
fichier .wav avec une structure FORMATCHUNK contrefaite (avec de nombreux
canaux) peut avoir pour conséquence un déni de service (corruption de
mémoire et plantage de l'application).</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 2.0.1-1+deb7u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets audacity.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1277.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Jonas Klempel a découvert qu'Apache Tomcat Native, lors de l'analyse du
champ AIA-Extension d'un certificat de client, ne gérait pas correctement
les champs plus longs que 127 octets. La conséquence de l'erreur d'analyse
était l'omission de la vérification OCSP. Il était donc possible que soient
acceptés des certificats de clients qui auraient été rejetés si la
vérification OCSP avait été réalisée. Les utilisateurs n'effectuant pas
vérifications OCSP ne sont pas affectés par cette vulnérabilité.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 1.1.24-1+deb7u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets tomcat-native.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1276.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>La fonction uwsgi_expand_path dans utils.c de Unbit uWSGI, un serveur de
conteneurs d'application est vulnérable à un dépassement de pile à l'aide
d'un répertoire de grande taille qui peut provoquer un déni de service
(plantage de l'application) ou une corruption de pile.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 1.2.3+dfsg-5+deb7u2.</p>

<p>Nous vous recommandons de mettre à jour vos paquets uwsgi.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1275.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Meh Chang a découvert un défaut de dépassement de tampon dans une
fonction utilitaire utilisée dans le récepteur SMTP d'Exim, un agent de
transport de courrier électronique. Un attaquant distant peut tirer
avantage de ce défaut pour provoquer un déni de service ou, éventuellement,
l'exécution de code arbitraire à l'aide d'un message contrefait pour
l'occasion.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans la
version 4.80-7+deb7u6.</p>

<p>Nous vous recommandons de mettre à jour vos paquets exim4.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1274.data"
# $Id: $

#use wml::debian::translation-check translation="ec63203ae7c88b70ad002f6a6d89bd22297d4fb8" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<p>simplesamlphp, une application d'authentication et de fédération était
vulnérable à une attaque de script intersite (XSS), à un contournement de
validation de signature et à une utilisation non sécurisée de jeu de
caractères de connexion.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-18121";>CVE-2017-18121</a>

<p>Un problème de script intersite (XSS) a été découvert dans le module
consentAdmin de SimpleSAMLphp jusqu'à la version 1.14.15, permettant à un
attaquant contrefaire manuellement des liens qu'une victime peut ouvrir,
exécutant du code JavaScript arbitraire.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-18122";>CVE-2017-18122</a>

<p>Un problème de contournement de validation de signature a été découvert
dans SimpleSAMLphp jusqu'à la version 1.14.16. Un fournisseur de service
utilisant SAML 1.1 considérera comme valable toute réponse SAML non signée
contenant plus d'une assertion signée, à condition que la signature d'au
moins une des assertions est valable. Les attributs contenus dans toutes
les assertions reçues seront regroupées et l'ID d'entité de la première
assertion sera utilisée, permettant à un attaquant de se faire passer pour
n'importe quel utilisateur d'un fournisseur d'identité (IdP) ayant reçu une
assertion signée par l'IdP cible.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-6521";>CVE-2018-6521</a>

<p>Le module sqlauth dans SimpleSAMLphp, version antérieure à  1.15.2,
repose sur le jeu de caractère utf8 de MySQL qui tronque les requêtes
lorsqu'il rencontre des caractères codés sur quatre octets. Ce pourrait
être un scénario qui permet à des attaquants distants de contourner des
restrictions d'accès voulues.</p></li>

</ul>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 1.9.2-1+deb7u2.</p>

<p>Nous vous recommandons de mettre à jour vos paquets simplesamlphp.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>

</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1273.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<p>Le paquet mailman a une vulnérabilité de script intersite (XSS) dans
l'interface utilisateur web avant la version 2.1.26 qui permet à des
attaquants distants d'injecter un script web arbitraire ou du code HTML Ã 
l'aide de l'URL d'une page d'options de l'utilisateur.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 1:2.1.15-1+deb7u3</p>

<p>Nous vous recommandons de mettre à jour vos paquets mailman.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1272.data"
# $Id: $

#use wml::debian::translation-check translation="ec63203ae7c88b70ad002f6a6d89bd22297d4fb8" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Des vulnérabilités ont été découvertes dans le système de base de
données PostgreSQL :</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1053";>CVE-2018-1053</a>

<p>Tom Lane a découvert que pg_upgrade, un outil utilisé pour mettre à 
niveau les grappes de bases de données PostgreSQL, créait des fichiers
temporaires contenant le hachage des mots de passe qui est lisible pour
tous.</p></li>

</ul>

<p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans la
version 9.1.24lts2-0+deb7u2.</p>

<p>Nous vous recommandons de mettre à jour vos paquets postgresql-9.1.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>

</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1271.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Plusieurs vulnérabilités ont été découvertes dans l'hyperviseur Xen, qui
pourraient avoir pour conséquence une augmentation de droits.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la
version 4.1.6.lts1-12.</p>

<p>Nous vous recommandons de mettre à jour vos paquets xen.</p>

<p>Veuillez noter que <a href="https://security-tracker.debian.org/tracker/CVE-2017-15590";>CVE-2017-15590</a>
(XSA-237) *ne sera pas* corrigé dans Wheezy parce que les correctifs sont
trop intrusifs pour être rétroportés. La vulnérabilité peut être e mitigated
en ne passant pas par des périphériques physiques pour atteindre des hôtes
non fiables. Plus d'informations peuvent être trouvées sur
<a href="https://xenbits.xen.org/xsa/advisory-237.html";>https://xenbits.xen.org/xsa/advisory-237.html</a></p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
<a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a></p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2018/dla-1270.data"
# $Id: $