Bonjour, Ces annonces de sécurité ont été publiées. Les fichiers sont aussi disponibles ici : https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2019/dla-xxxx.wml https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2019/dla-xxxx.wml
Merci d’avance pour vos relectures. Amicalement. -- Jean-Paul
#use wml::debian::translation-check translation="d978094dad3cead79d2a316691357ce95135ce3b" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Firefox 60.6.2 ESR répare un problème de chaîne de certificats qui font que les extensions ont été désactivées ces derniers jours. Davantage dâinformations et des détails sur les problèmes résiduels connus peuvent être consultés sur <a href="https://www.mozilla.org/firefox/60.6.2/releasenotes/";>https://www.mozilla.org/firefox/60.6.2/releasenotes/</a> et <a href="https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/";>https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/</a></p> <p>Lâinstallation de cette mise à jour réactive toutes les extensions désactivées à cause de ce problème.</p> <p>Les extensions installées à partir des paquets Debian nâétaient pas affectées.</p> <p>Pour Debian 8 <q>Jessie</q>, ce problème a été corrigé dans la version 60.6.2esr-1~deb8u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets firefox-esr.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify le following line #include "$(ENGLISHDIR)/lts/security/2019/dla-1780.data" # $Id: $
#use wml::debian::translation-check translation="ac1d04a63c973f49d4b7815ffba8ab11b25c31fd" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à une augmentation de droits, un déni de service ou une fuite d'informations.</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-14625";>CVE-2018-14625</a> <p>Un bogue dâutilisation de mémoire après libération a été découvert dans le pilote vhost pour le protocole Virtual Socket. Si ce pilote est utilisé pour communiquer avec un invité de machine virtuelle malveillant, lâinvité pourrait lire des informations sensibles du noyau de lâhôte.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-16884";>CVE-2018-16884</a> <p>Un défaut a été découvert dans lâimplémentation de client NFS 4.1. Monter des partages NFS dans plusieurs espaces de noms réseau au même moment pourrait conduire à une utilisation après libération. Des utilisateurs locaux peuvent être capables dâutiliser cela pour un déni de service (corruption de mémoire ou plantage) ou éventuellement pour une augmentation de droits.</p> <p>Cela peut être mitigé en désactivant la faculté pour des utilisateurs non privilégiés de créer des espaces de noms, ce qui est fait par défaut dans Debian.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-19824";>CVE-2018-19824</a> <p>Hui Peng et Mathias Payer ont découvert un bogue dâutilisation de mémoire après libération dans le pilote audio USB. Un attaquant physiquement présent, capable de relier un périphérique USB spécialement conçu, pourrait utiliser cela pour une augmentation de droits.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-19985";>CVE-2018-19985</a> <p>Hui Peng et Mathias Payer ont découvert une vérification manquante de limites dans le pilote série USB hso. Un attaquant physiquement présent, capable de relier un périphérique USB spécialement conçu, pourrait utiliser cela pour lire des informations sensibles du noyau ou pour provoquer un déni de service (plantage).</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-20169";>CVE-2018-20169</a> <p>Hui Peng et Mathias Payer ont découvert une vérification manquante de limites dans le cÅur dâUSB. Un attaquant physiquement présent, capable de relier un périphérique USB spécialement conçu, pourrait utiliser cela pour provoquer un déni de service (plantage) ou éventuellement pour une augmentation de droits.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000026";>CVE-2018-1000026</a> <p>Linux pourrait propager des paquets réseau regroupés avec une taille de segmentation trop grande pour le périphérique de sortie. Dans le cas particulier des adaptateurs 10 Gb NetXtremeII de Broadcom, cela pourrait aboutir à un déni de service (plantage du micrologiciel). Cette mise à jour ajoute une mitigation au pilote bnx2x pour ce matériel.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-3459";>CVE-2019-3459</a>, <a href="https://security-tracker.debian.org/tracker/CVE-2019-3460";>CVE-2019-3460</a> <p>Shlomi Oberman, Yuli Shapiro et lâéquipe de recherche Karamba Security Ltd. ont découvert une vérification manquante dâintervalle dans lâimplémentation Bluetooth L2CAP. Si Bluetooth est activé, un attaquant à proximité pourrait utiliser cela pour lire des informations sensibles du noyau.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-3701";>CVE-2019-3701</a> <p>Muyu Yu et Marcus Meissner ont signalé que lâimplémentation de passerelle CAN permettait de modifier la longueur de trame, conduisant classiquement à des mappages en mémoire dâécritures E/S hors limites. Sur un système avec des périphériques CAN présents, un utilisateur local avec la capacité CAP_NET_ADMIN dans lâespace de noms net initial pourrait utiliser cela pour provoquer a plantage (oops) ou un autre impact fonction du matériel.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-3819";>CVE-2019-3819</a> <p>Une boucle infinie potentielle a été découverte dans lâinterface HID debugfs exposée sous /sys/kernel/debug/hid. Un utilisateur avec accès à ces fichiers pourrait utiliser cela pour un déni de service.</p> <p>Cette interface est seulement accessible au superutilisateur par défaut, ce qui mitige pleinement ce problème.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-6974";>CVE-2019-6974</a> <p>Jann Horn a signalé un bogue dâutilisation de mémoire après libération dans KVM. Un utilisateur local ayant accès à /dev/kvm pourrait utiliser cela pour provoquer un déni de service (corruption de mémoire ou plantage) ou éventuellement pour une augmentation de droits.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-7221";>CVE-2019-7221</a> <p>Jim Mattson et Felix Wilhelm ont signalé une utilisation après libération dans lâimplémentation imbriquée de VMX dans KVM. Sur les systèmes avec des CPU dâIntel, un utilisateur local avec accès à /dev/kvm pourrait utiliser cela pour provoquer un déni de service (corruption de mémoire ou plantage) ou éventuellement pour une augmentation de droits.</p> <p>VMX imbriqué est désactivé par défaut, ce qui mitige pleinement ce problème.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-7222";>CVE-2019-7222</a> <p>Felix Wilhelm a signalé une fuite d'informations dans KVM pour x86. Un utilisateur local avec accès à /dev/kvm pourrait utiliser cela pour lire des informations sensibles du noyau.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-8980";>CVE-2019-8980</a> <p>Un bogue a été découvert dans la fonction kernel_read_file() utilisée pour charger des fichiers de micrologiciel. Dans certaines conditions dâerreur, il pourrait divulguer la mémoire, ce qui pourrait conduire à un déni de service. Cela nâest probablement pas exploitable dans un système Debian.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2019-9213";>CVE-2019-9213</a> <p>Jann Horn a signalé que des tâches privilégiées pourraient provoquer que des segments de pile, y compris ceux dâautres processus, progressent vers le bas jusquâà lâadresse 0. Sur des systèmes sans SMAP (x86) ou PAN (ARM), cela pourrait aggraver dâautres vulnérabilités : un déréférencement de pointeur NULL pourrait être exploité pour une augmentation de droits plutôt que seulement un déni de service.</p></li> </ul> <p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans la version 4.9.168-1~deb8u1. Cette version inclut aussi des correctifs pour des mises à jour de stable de bogues de Debian n° 904385, 918103 et 922306, et dâautres correctifs inclus dans les mises à jour de lâamont pour stable.</p> <p>Nous vous recommandons de mettre à niveau vos paquets linux-4.9 et linux-latest-4.9. Vous aurez besoin dâutiliser <code>apt-get upgrade --with-new-pkgs</code> ou <code>apt upgrade</code> car le nom des paquets binaires a changé.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify le following line #include "$(ENGLISHDIR)/lts/security/2019/dla-1771.data" # $Id: $
