Bonjour, Cinq nouvelles annonces de sécurité ont été publiées. En voici une traduction. Merci d'avance pour vos relectures. Amicalement, jipege
#use wml::debian::translation-check translation="4692989ebeae7e64268c668e9689af22f819d9ed" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Les vulnérabilités suivantes ont été découvertes dans le moteur web WebKitGTK :</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-39928">CVE-2023-39928</a> <p>Marcin Noga a découvert qu'une page web contrefaite pour l'occasion pouvait exploiter une vulnérabilité dans l'API MediaRecorder pour provoquer une corruption de mémoire et éventuellement l'exécution de code arbitraire.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-41074">CVE-2023-41074</a> <p>Junsung Lee et Me Li ont découvert que le traitement d'un contenu web pouvait conduire à l'exécution de code arbitraire.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-41993">CVE-2023-41993</a> <p>Bill Marczak et Maddie Stone ont découvert que le traitement d'un contenu web pouvait conduire à l'exécution de code arbitraire. Apple a été informé d'un rapport indiquant que ce problème peut avoir été activement exploité.</p></li> </ul> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 2.42.1-1~deb11u1.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 2.42.1-1~deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets webkit2gtk.</p> <p>Pour disposer d'un état détaillé sur la sécurité de webkit2gtk, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/webkit2gtk">\ https://security-tracker.debian.org/tracker/webkit2gtk</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5527.data" # $Id: $
#use wml::debian::translation-check translation="862191290d865ad22f9e0abf904ca98fbb7576a5" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs problèmes de sécurité ont été découverts dans Chromium qui pouvaient avoir pour conséquences l'exécution de code arbitraire, un déni de service ou la divulgation d'informations.</p> <p>Pour la distribution oldstable (Bullseye) les mises à jour nécessitent une mise à jour supplémentaire de la chaîne de compilation. Quand elle sera terminée, les corrections seront disponibles avec la version 118.0.5993.70-1~deb11u1.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 118.0.5993.70-1~deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets chromium.</p> <p>Pour disposer d'un état détaillé sur la sécurité de chromium, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/chromium">\ https://security-tracker.debian.org/tracker/chromium</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5526.data" # $Id: $
#use wml::debian::translation-check translation="197feebb6584b4887789267745679b668769fe5d" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Le correctif pour traiter le <a href="https://security-tracker.debian.org/tracker/CVE-2023-44487">CVE-2023-44487</a> (attaque de type <q>Rapid Reset</q>) était incomplet et provoquait une régression lors d'une utilisation d'entrées/sorties asynchrones (par défaut pour NIO et NIO2). Les trames DATA doivent être incluses lors du calcul de la surcharge HTTP/2 pour assurer que les connexions ne se sont pas terminées prématurément.</p> <p>Pour la distribution oldstable (Bullseye), ce problème a été corrigé dans la version 9.0.43-2~deb11u8.</p> <p>Nous vous recommandons de mettre à jour vos paquets tomcat9.</p> <p>Pour disposer d'un état détaillé sur la sécurité de tomcat9, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/tomcat9">\ https://security-tracker.debian.org/tracker/tomcat9</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5522.data" # $Id: $
#use wml::debian::translation-check translation="81cdc9b7b397cb2660ed5ad85719bd31e3ddf364" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilités de sécurité ont été découvertes dans mosquitto, un courtier de messages compatible avec MQTT, qui pouvaient être exploitées pour une attaque par déni de service.</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2021-34434">CVE-2021-34434</a> <p>Dans Eclipse Mosquitto lors de l'utilisation du greffon de sécurité dynamique, si la capacité d'un client à réaliser des souscriptions à un sujet était révoquée pendant qu'un client persistant était hors ligne, alors les souscriptions existantes de ce client n'étaient pas révoquées.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-0809">CVE-2023-0809</a> <p>Correction d'une allocation excessive de mémoire basée sur des paquets initiaux malveillants qui n'étaient pas des paquets CONNECT.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-3592">CVE-2023-3592</a> <p>Correction d'une fuite de mémoire quand des clients envoyait des paquets CONNECT v5 avec un message <q>will</q> qui contenait des types de propriété non valables.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-28366">CVE-2023-28366</a> <p>Le courtier dans Eclipse Mosquitto avait une fuite de mémoire qui pouvait être exploitée à distance quand un client envoyait beaucoup de message QoS 2 avec des identifiants de message dupliqués et échouait à répondre à des commandes PUBREC. Cela se produisait à cause du traitement incorrect de l'erreur EAGAIN provenant de la fonction <q>send</q> de libc.</p></li> <p>En complément, le <a href="https://security-tracker.debian.org/tracker/CVE-2021-41039">\ CVE-2021-41039</a> a été corrigé pour Debian 11 <q>Bullseye</q>.</p> <li><a href="https://security-tracker.debian.org/tracker/CVE-2021-41039">CVE-2021-41039</a> <p>Un client MQTT v5 se connectant avec un grand nombre de propriétés user-property pouvait provoquer une utilisation excessive du processeur, menant à une perte de performance et à un possible déni de service.</p></li> </ul> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 2.0.11-1+deb11u1.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 2.0.11-1.2+deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets mosquitto.</p> <p>Pour disposer d'un état détaillé sur la sécurité de mosquitto, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/mosquitto">\ https://security-tracker.debian.org/tracker/mosquitto</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5511.data" # $Id: $
#use wml::debian::translation-check translation="fcacdca5f171cfc369f1eab4c0997997e53ca841" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilité de sécurité ont été trouvées dans Jetty, un serveur web basé sur Java et un moteur de servlets.</p> <p>La classe org.eclipse.jetty.servlets.CGI est devenue obsolète. Son utilisation n’est plus sûre. Les développeurs amont de Jetty recommandent d’utiliser Fast CGI à la place. Voir aussi <a href="https://security-tracker.debian.org/tracker/CVE-2023-36479">CVE-2023-36479</a>.</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-26048">CVE-2023-26048</a> <p>Dans les versions affectées, les servlets avec prise en charge multipart (par exemple, annotés <q>@MultipartConfig</q>) qui appelaient <q>HttpServletRequest.getParameter()</q> ou <q>HttpServletRequest.getParts()</q> pouvaient provoquer un <q>OutOfMemoryError</q> quand le client envoyait une requête multipart avec une partie ayant un nom, mais pas de nom de fichier et un contenu très important. Cela arrivait même avec le réglage par défaut de <q>fileSizeThreshold=0</q> qui diffusait le contenu entier de la partie sur le disque.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-26049">CVE-2023-26049</a> <p>Une analyse non standard de cookie dans Jetty pouvait permettre à un attaquant d’introduire clandestinement des cookies dans d’autres cookies, ou de provoquer un comportement inattendu en altérant le mécanisme d’analyse de cookie.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-40167">CVE-2023-40167</a> <p>Avant cette version, Jetty acceptait le caractère <q>+</q> en traitant la valeur content-length dans le champ d’en-tête HTTP/1. Cela était plus permissif que ce qui était autorisé par la RFC et les autres serveurs rejetaient systématiquement de telles requêtes avec des réponses 400. Aucun scénario d’exploitation de cela n’est connu, mais il est concevable que ce trafic de requête pouvait aboutir si jetty était utilisé en combinaison avec un serveur qui ne fermait pas la connexion après l'envoi d’une telle réponse 400.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-36479">CVE-2023-36479</a> <p>Les utilisateurs de CgiServlet avec une structure particulière de commande pouvaient avoir une mauvaise commande exécutée. Si un utilisateur envoyait une requête à un servlet org.eclipse.jetty.servlets.CGI pour un binaire avec une espace dans son nom, le servlet protégeait la commande en l'enveloppant dans des guillemets. Cette commande enveloppée, plus un préfixe de commande facultatif, était alors exécutée à travers un appel à Runtime.exec. Si le nom originel du binaire fourni par l'utilisateur contenait un guillemet suivi par une espace, la ligne de commande résultante contenait plusieurs caractères génériques au lieu d’un seul.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-41900">CVE-2023-41900</a> <p>Jetty état vulnérable à une authentification faible. Si un <q>OpenIdAuthenticator</q> de Jetty utilisait le <q>LoginService</q> imbriqué optionnel, et si le <q>LoginService</q> décidait de révoquer un utilisateur déjà authentifié, la requête en cours continuait à traiter l'utilisateur comme authentifié. L'authentification était ensuite enlevée de la session et les requêtes suivantes n'étaient pas traitées comme authentifiées. Ainsi une requête sur une session précédemment authentifiée pouvait être autorisée à contourner l'authentification après avoir été rejetée par le <q>LoginService</q>. Cela impactait les utilisations de jetty-openid qui avaient configuré un <q>LoginService</q> imbriqué et où ce <q>LoginService</q> avait la capacité de rejeter des utilisateurs précédemment authentifiés.</p></li> </ul> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 9.4.39-3+deb11u2.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 9.4.50-4+deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets jetty9.</p> <p>Pour disposer d'un état détaillé sur la sécurité de jetty9, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/jetty9">\ https://security-tracker.debian.org/tracker/jetty9</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5507.data" # $Id: $
Attachment:
signature.asc
Description: This is a digitally signed message part