[RFR] wml://security/2020/dsa-468{0,1}.wml
Bonjour,
deux nouvelles annonces de sécurité viennent d'être publiées. En voici
une traduction. Merci d'avance pour vos relectures.
Amicalement,
jipege
#use wml::debian::translation-check translation="9366447bdb2abdccc3962d87981f5cce43bf471c" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Les vulnérabilités suivantes ont été découvertes dans le moteur web
webkit2gtk :</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3885";>CVE-2020-3885</a>
<p>Ryan Pickren a découvert qu'une URL de fichier peut être traitée
incorrectement.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3894";>CVE-2020-3894</a>
<p>Sergei Glazunov a découvert qu'une situation de compétition peut
permettre à une application peut lire de la mémoire sensible.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3895";>CVE-2020-3895</a>
<p>grigoritchy a découvert que le traitement de contenu web contrefait
pourrait conduire à l'exécution de code arbitraire.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3897";>CVE-2020-3897</a>
<p>Brendan Draper a découvert qu'un attaquant distant pourrait être en
mesure de provoquer l'exécution de code arbitraire.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3899";>CVE-2020-3899</a>
<p>OSS-Fuzz a découvert qu'un attaquant distant pourrait être en mesure de
provoquer l'exécution de code arbitraire.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3900";>CVE-2020-3900</a>
<p>Dongzhuo Zhao a découvert que le traitement de contenu web contrefait
pourrait conduire à l'exécution de code arbitraire.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3901";>CVE-2020-3901</a>
<p>Benjamin Randazzo a découvert que le traitement de contenu web
contrefait pourrait conduire à l'exécution de code arbitraire.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-3902";>CVE-2020-3902</a>
<p>Yigit Can Yilmaz a découvert que le traitement de contenu web contrefait
pourrait conduire à une attaque par script intersite.</p></li>
</ul>
<p>Pour la distribution stable (Buster), ces problèmes ont été corrigés
dans la version 2.28.2-2~deb10u1.</p>
<p>Nous vous recommandons de mettre à jour vos paquets webkit2gtk.</p>
<p>Pour disposer d'un état détaillé sur la sécurité de webkit2gtk, veuillez
consulter sa page de suivi de sécurité à l'adresse :
<a href="https://security-tracker.debian.org/tracker/webkit2gtk";>\
https://security-tracker.debian.org/tracker/webkit2gtk</a>.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2020/dsa-4681.data"
# $Id: $
#use wml::debian::translation-check translation="0cfee114b2d0c22d16e262ece0a0804aac60d237" maintainer="Jean-Pierre Giraud"
<define-tag description>Mise à jour de sécurité</define-tag>
<define-tag moreinfo>
<p>Plusieurs vulnérabilités ont été découvertes dans la servlet Tomcat et
le moteur JSP. Elles pourraient avoir pour conséquence une attaque de
dissimulation de requête HTTP, l'exécution de code dans le connecteur AJP
(désactivé par défaut dans Debian) ou à une attaque de type « homme du
milieu » à l'encontre de l'interface JMX.</p>
<p>Pour la distribution stable (Buster), ces problèmes ont été corrigés
dans la version 9.0.31-1~deb10u1. Le correctif pour
<a href="https://security-tracker.debian.org/tracker/CVE-2020-1938";>\
CVE-2020-1938</a> peut nécessiter des changements de configuration quand
Tomcat est utilisé avec le connecteur AJP, par exemple en combinaison avec
libapache-mod-jk. Par exemple, l'attribut <q>secretRequired</q> est réglé à
<q>true</q> par défaut désormais. Pour les configurations qui sont
affectées, il est recommandé d'examiner
<a href="https://tomcat.apache.org/tomcat-9.0-doc/config/ajp.html";>\
https://tomcat.apache.org/tomcat-9.0-doc/config/ajp.html</a>
avant de déployer la mise à jour.</p>
<p>Nous vous recommandons de mettre à jour vos paquets tomcat9.</p>
<p>Pour disposer d'un état détaillé sur la sécurité de tomcat9, veuillez
consulter sa page de suivi de sécurité à l'adresse :
<a href="https://security-tracker.debian.org/tracker/tomcat9";>\
https://security-tracker.debian.org/tracker/tomcat9</a>.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2020/dsa-4680.data"
# $Id: $
Reply to: