Re: [RFR] wml://lts/security/2023/dla-35{47,51}.wml
Le 31/08/2023 à 19:47, JP Guillonneau a écrit :
Bonjour,
voici la traduction de deux nouvelles pages de sécurité.
Merci d’avance pour vos relectures et commentaires.
Amicalement.
Suggestions
Amicalement
Lucien
--- dla-3551.wml.orig 2023-09-04 13:03:47.717950165 +0200
+++ dla-3551.wml 2023-09-04 13:25:24.963161397 +0200
@@ -26,20 +26,20 @@
<p>Un nouveau réglage de configuration
<code>Ticket::Frontend::BlockLoadingRemoteContent</code> a été ajouté comme
partie du correctif. Il contrôle si un contenu externe doit être chargé et il
-désactive par défaut.</p>
+désactive ce chargement par défaut.</p>
<p>Cette vulnérabilité est aussi connue comme OSA-2019-08.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2019-12497";>CVE-2019-12497</a>
-<p>Jens Meister a découvert que le frontal du client ou externe, les
+<p>Jens Meister a découvert que dans le frontal du client ou externe, les
informations personnelles d’agents, telles que le nom et l’adresse de courriel
dans des notes externes, pouvaient être divulguées.</p>
<p>Un nouveau réglage de configuration
<code>Ticket::Frontend::CustomerTicketZoom###DisplayNoteFrom</code> a été
ajouté comme partie du correctif. Il contrôle si une information d’agent doit
-être affichée dans le champ sender de note externe ou être substituée par un
+être affichée dans le champ sender de note externe ou être remplacée par un
nom générique. Une autre option appelée
<code>Ticket::Frontend::CustomerTicketZoom###DefaultAgentName</code> peut être
utilisée pour définir un nom générique d’agent utilisé dans le dernier cas.
@@ -97,7 +97,7 @@
<p>Sebastian Renker et Jonas Becker ont découvert un contrôle incorrect de
paramètres. Cela permettait l’usurpation de champs From dans plusieurs écrans,
-c’est-à-dire AgentTicketCompose, AgentTicketForward, AgentTicketBounce et
+à savoir AgentTicketCompose, AgentTicketForward, AgentTicketBounce et
AgentTicketEmailOutbound.</p>
<p>Cette vulnérabilité est aussi connue comme OSA-2020-01.</p></li>
@@ -106,16 +106,16 @@
<p>Anton Astaf'ev a découvert qu’à cause d’un traitement d’images téléversées,
il était – dans des conditions rares et peu probables – possible de forcer le
-navigateur d’agents d’exécuter du code JavaScript malveillant à partir des
-fichiers spécialement contrefaits SVG rendu comme fichier jpg interne.</p>
+navigateur d’agents d’exécuter du code JavaScript malveillant à partir d'un
+fichier spécialement contrefait SVG rendu comme fichier jpg interne.</p>
<p>Cette vulnérabilité est aussi connue comme OSA-2020-02.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-1767";>CVE-2020-1767</a>
-<p>Agent A pouvait sauvegarder une ébauche (c’est-à-dire réponse à un client),
+<p>Agent A pouvait sauvegarder une ébauche (c’est-à-dire une réponse à un client),
puis Agent B pouvait ouvrir l’ébauche, modifier le texte complètement et
-l’envoyer au nom de l’Agent A. Pour le client, ce n’était pas possible de voir
+l’envoyer au nom de l’Agent A. Pour le client, il n’était pas possible de voir
que le message était envoyé par un autre agent.</p>
<p>Cette vulnérabilité est aussi connue comme OSA-2020-03.</p></li>
@@ -127,7 +127,7 @@
l’autocomplétion, ce qui pouvait être considéré comme un problème de sécurité.</p>
<p>Un réglage de configuration <code>DisableLoginAutocomplete</code> a été
-ajouté comme partie du correctif. Il contrôle s’il fallait désactiver
+ajouté comme partie du correctif. Il contrôle s’il faut désactiver
l’autocomplétion dans le formulaire de connexion en réglant l’attribut
<code>autocomplete="off"</code> dans les champs d’entrée de connexion. Il est à
remarquer que certains navigateurs l’ignorent par défaut (en général cela peut
@@ -156,7 +156,7 @@
<p>Fabian Henneke a découvert qu’il était possible de contrefaire des requêtes
de mot de passe perdu avec des jokers dans la valeur Token. Cela permettait à un
-attaquant de retrouver des Token(s) valables, générés par des utilisateurs ayant
+attaquant de retrouver des Tokens valables générés par des utilisateurs ayant
déjà demandé un nouveau mot de passe.</p>
<p>Cette vulnérabilité est aussi connue comme OSA-2020-09.</p></li>
@@ -165,7 +165,7 @@
<p>Fabian Henneke a découvert qu’un attaquant pouvant générer des ID de session
ou des jetons de réinitialisation de mot de passe, soit en pouvant
-s’authentifier ou en exploitant le
+s’authentifier, soit en exploitant le
<a href="https://security-tracker.debian.org/tracker/CVE-2020-1772";>CVE-2020-1772</a>,
pouvait prédire des ID de session d’autres utilisateurs, des jetons de
réinitialisation de mot de passe et automatiquement générer des mots de passe.</p>
@@ -178,7 +178,7 @@
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-1774";>CVE-2020-1774</a>
<p>Quand un utilisateur téléchargeait des certificats ou clés PGP ou S/MIME,
-un fichier à le même nom pour les clés privées ou publiques. Il était alors
+le fichier exporté avait le même nom pour les clés privées ou publiques. Il était alors
possible de les mélanger et d’envoyer la clé privée à des parties tierces au
lieu de la clé publique.</p>
@@ -186,7 +186,7 @@
<li><a href="https://security-tracker.debian.org/tracker/CVE-2020-1776";>CVE-2020-1776</a>
-<p>Quand un urn agent était renommé ou déclaré non valable, la session
+<p>Quand un utilisateur agent était renommé ou déclaré non valable, la session
appartenant à l’utilisateur était conservée active. La session ne pouvait pas
être utilisée pour accéder aux données de ticket dans le cas où l’agent était
non autorisé.</p>
@@ -214,7 +214,7 @@
<li><a href="https://security-tracker.debian.org/tracker/CVE-2021-21252";>CVE-2021-21252</a>
-<p>Erik Krogh Kristensen et Alvaro Muñoz de l’équipe GitHub Security Lab a
+<p>Erik Krogh Kristensen et Alvaro Muñoz de l’équipe GitHub Security Lab ont
découvert une vulnérabilité de déni de service par expression rationnelle
(ReDoS) dans la copie incorporée de jQuery-validate 1.16.0 d’OTRS.</p></li>
@@ -263,13 +263,13 @@
<p>Rayhan Ahmed et Maxime Brigaudeau ont découvert qu’une chaîne contrefaite
pour l'occasion dans la configuration du système permettait l’exécution de
-commande système arbitraire.</p>
+commandes système arbitraires.</p>
<p>Le correctif 1/ supprime les commandes système configurables des agents
génériques ; 2/ supprime les réglages <code>MIME-Viewer###…</code> (la commande
système dans l’option SysConfig <code>MIME-Viewer</code> est désormais
configurable à l’aide de Kernel/Config.pm) ; 3/ supprime la prise en charge de
-widget de tableau de bord pour l’exécution de commandes système ; 4/ désactive
+widgets de tableau de bord pour l’exécution de commandes système ; 4/ désactive
la prise en charge de l’exécution de commandes système des configurations
préfiltrées de Sendmail et PostMaster.</p>
Reply to: