[RFR] wml://lts/security/2017/dla-{924,993,1025,1087,1151,1166,1203}-2.wml

[JP Guillonneau <guillonneau.jeanpaul@free.fr>]

Bonjour,

ces (anciennes) annonces de sécurité ont été publiées.
Les fichiers sont aussi disponibles ici :
https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2017/dla-xxx.wml
https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2017/dla-xxx.wml

Merci d’avance pour vos relectures.

Amicalement.

--
Jean-Paul

#use wml::debian::translation-check translation="bc8feadbbc686ad5f9ceb695925a329dea1622c0" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Une régression a été ajoutée par le correctif introduit dans la
version 0.5.0-2+deb7u2 pour le
<a href="https://security-tracker.debian.org/tracker/CVE-2017-16927";>CVE-2017-16927</a>Â :
xrdp-sesman démarrait avec une erreur de segmentation dans libscp.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 0.5.0-2+deb7u3.</p>

<p>Nous vous recommandons de mettre à jour vos paquets xrdp.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-1203-2.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Le correctif pour <a href="https://security-tracker.debian.org/tracker/CVE-2017-14990";>CVE-2017-14990</a>
publié sous DLA-1151-1 était incomplet et causait une régression. Il a été
découvert quâ??une mise à  niveau et des modifications de code supplémentaires
seraient nécessaires. Actuellement, ces modifications sont considérées comme
trop intrusives et par conséquent, le correctif original pour
<a href="https://security-tracker.debian.org/tracker/CVE-2017-14990";>CVE-2017-14990</a>
a été retiré. Pour référence, le texte de lâ??annonce originale suit.</p>

<p>WordPress stocke en texte pur des valeurs de clef wp_signups.activation_key
(mais stocke les valeurs analogues wp_users.user_activation_key sous
forme de hachages), ce qui facilite pour des attaquants distants le détournement
de comptes inactifs dâ??utilisateurs en exploitant lâ??accès en lecture à  la base
de données (tel quâ??un accès obtenu à  travers une vulnérabilité non précisée
dâ??injection SQL).</p></li>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 3.6.1+dfsg-1~deb7u19.</p>

<p>Nous vous recommandons de mettre à jour vos paquets wordpress.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-1151-2.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<p>La mise à jour pour tomcat7, publiée sous DLA-1166-1, causait une régression
par laquelle toute requête, y compris pour le document racine (/), renvoyait
lâ??état HTTP 404. Les paquets mis à  jour sont maintenant disponibles pour corriger
ce problème. Pour référence, le texte de lâ??annonce originale suit.</p>

<p>Lorsque HTTP PUT était activé (par exemple, à  lâ??aide du réglage du paramètre
dâ??initialisation en lecture seule du servlet par défaut à  false), il
était possible de téléverser un fichier JSP sur le serveur à l'aide d'une
requête contrefaite pour l'occasion. Ce JSP pourrait alors être requis et tout
code quâ??il contenait serait exécuté par le serveur.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 7.0.28-4+deb7u17.</p>

<p>Nous vous recommandons de mettre à jour vos paquets tomcat7.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-1166-2.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>La mise à jour pour icedove et thunderbird publiée sous DLA-1087-1 ne se
construisait pas sur i386. Cette mise à jour corrige cela. Pour référence, le
texte de lâ??annonce originale suit.</p>

<p>Plusieurs problèmes de sécurité ont été découverts dans le client de courriel
Thunderbird de Mozilla. Plusieurs erreurs de sécurité de mémoire, des
dépassements de tampon et dâ??autres erreurs dâ??implémentation pourraient conduire
à l'exécution de code arbitraire ou à une usurpation.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 1:52.3.0-4~deb7u2.</p>

<p>Nous vous recommandons de mettre à jour vos paquets icedove.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-1087-2.data"
# $Id: $

#use wml::debian::translation-check translation="bc8feadbbc686ad5f9ceb695925a329dea1622c0" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>La mise à jour de sécurité publiée sous DLA-1025-1 introduisait une
régression dans bind9.</p>

<p>Le correctif pour <a href="https://security-tracker.debian.org/tracker/CVE-2017-3142";>CVE-2017-3142</a>
cassait la vérification de séquences de messages TCP signés TSIG où tous les
messages ne contenait pas dâ??enregistrements TSIG. Cela est conforme à  la
spécification et peut être utilisé dans des réponses AXFR et IXFR.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 1:9.8.4.dfsg.P1-6+nmu2+deb7u18.</p>

<p>Nous vous recommandons de mettre à jour vos paquets bind9.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-1025-2.data"
# $Id: $

#use wml::debian::translation-check translation="adc5cbd36ecf754028e80bbdee567a58bca03b81" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>La mise à jour de sécurité publiée sous DLA-993-1 causait une régression pour
quelques applications utilisant Java, incluant jsvc, LibreOffice et Scilab, due
au correctif pour <a href="https://security-tracker.debian.org/tracker/CVE-2017-1000364";>CVE-2017-1000364</a>.
Les paquets mis à jour sont maintenant disponibles pour corriger ce problème.
Pour référence, la partie concernée du texte de lâ??annonce originale suit.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2017-1000364";>CVE-2017-1000364</a>

<p>Qualys Research Labs a découvert que la taille de la page de protection
de pile (« stack guard page ») n'est pas suffisamment grande. Le pointeur de
pile peut franchir la page de protection et passer de la pile à un autre
espace mémoire sans accéder à la page de protection. Dans ce cas aucune
exception de faute de page n'est levée et la pile s'étend dans l'autre
espace de la mémoire. Un attaquant peut exploiter ce défaut pour une
augmentation de droits.</p>

<p>La protection d'espace de pile par défaut est réglée à 256 pages et peut
être configurée sur la ligne commande du noyau grâce au paramètre
stack_guard_gap du noyau.</p>

<p>Plus de détails peuvent être trouvés sur
<a href="https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt";>https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt</a></p></li>

</ul>

<p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans
la version 3.2.89-2.</p>

<p>Pour Debian 8 <q>Jessie</q>, ce problème a été corrigé dans
la version 3.16.43-2+deb8u2.</p>

<p>Pour Debian 9 <q>Stretch</q>, ce problème a été corrigé dans
la version 4.9.30-2+deb9u2.</p>

<p>Nous vous recommandons de mettre à jour vos paquets linux.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-993-2.data"
# $Id: $

#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>La mise à jour de sécurité, publiée sous DLA-924-1, introduisait une
régression dans le protocole APR de Tomcat due au correctif pour
 <a href="https://security-tracker.debian.org/tracker/CVE-2017-5647";>CVE-2017-5647</a>
et empêchait la réussite dâ??une requête dâ??envoi de fichier.</p>

<p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans
la version 7.0.28-4+deb7u13.</p>

<p>Nous vous recommandons de mettre à jour vos paquets tomcat7.</p>

<p>Plus dâ??informations à  propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p>
</define-tag>

# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2017/dla-924-2.data"
# $Id: $