Bonjour, ces (anciennes) annonces de sécurité ont été publiées. Les fichiers sont aussi disponibles ici : https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2017/dla-xxx.wml https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2017/dla-xxx.wml
Merci d’avance pour vos relectures. Amicalement. -- Jean-Paul
#use wml::debian::translation-check translation="cb6bc3d73ebe6c8ee975e84a5de151bbec375689" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Il existait une vulnérabilité de boucle infinie dans expat, une bibliothèque C dâanalyse XML :</p> <p><url "https://libexpat.github.io/doc/cve-2017-9233/";></p> <p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans la version 2.1.0-1+deb7u5 de expat.</p> <p>Nous vous recommandons de mettre à jour vos paquets expat.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-990.data" # $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Plusieurs problèmes de sécurité ont été découverts dans le navigateur web Firefox de Mozilla. Plusieurs erreurs de sécurité de mémoire, des utilisations de mémoire après libération, des dépassements de tampon et dâautres erreurs dâimplémentation pourraient conduire à l'exécution de code arbitraire, un déni de service ou une usurpation de domaine.</p> <p>Debian suit la prise en charge étendue des publications (ESR) de Firefox. La prise en charge des séries 45.x est terminée, aussi à partir de cette mise à jour, nous suivons les publications 52.x.</p> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 52.2.0esr-1~deb7u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets firefox-esr.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-991.data" # $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Qualys Research Labs a découvert divers problèmes dans l'éditeur de liens dynamiques de la bibliothèque GNU C qui permettent une augmentation locale de droits en provoquant un conflit de pile (« stack-clash »). Pour tous les détails, veuillez consulter leur annonce publiée à l'adresse : <a href="https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt";>https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt</a></p> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 2.13-38+deb7u12.</p> <p>Nous vous recommandons de mettre à jour vos paquets eglibc.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-992.data" # $Id: $
#use wml::debian::translation-check translation="adc5cbd36ecf754028e80bbdee567a58bca03b81" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilités ont été découvertes dans le noyau Linux qui pourraient conduire à une élévation des privilèges, un déni de service ou une fuite d'informations.</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-0605";>CVE-2017-0605</a> <p>Un dépassement de tampon défaut a été découvert dans le sous-système trace.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-7487";>CVE-2017-7487</a> <p>Li Qiang a signalé une fuite de compteur de références dans la fonction ipxitf_ioctl qui peut avoir pour conséquence une vulnérabilité d'utilisation de mémoire après libération, déclenchable lors de la configuration d'une interface IPX.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-7645";>CVE-2017-7645</a> <p>Tuomas Haanpaa et Matti Kamunen de Synopsys Ltd ont découvert que les implémentations de serveurs NFSv2 et NFSv3 étaient vulnérables à un problème d'accès mémoire hors limites lors du traitement d'arguments arbitrairement longs envoyés par des clients PRC NFSv2 ou NFSv3, menant à un déni de service.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-7895";>CVE-2017-7895</a> <p>Ari Kauppi de Synopsys Ltd a découvert que les implémentations de serveurs NFSv2 et NFSv3 ne géraient pas correctement la vérification des limites de charge utile des requêtes WRITE. Un attaquant distant avec des droits d'accès en écriture sur un montage NFS peut tirer avantage de ce défaut pour lire des morceaux de mémoire arbitraires à partir à la fois de l'espace noyau et de l'espace utilisateur.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-8890";>CVE-2017-8890</a> <p>La fonction net_csk_clone_lock() permet à un attaquant distant de provoquer une double libération de zone de mémoire menant à un déni de service ou, éventuellement, avoir un autre impact.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-8924";>CVE-2017-8924</a> <p>Johan Hovold a découvert que le pilote série USB io_ti pourrait divulguer des informations sensibles lors de la connexion d'un périphérique USB malveillant.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-8925";>CVE-2017-8925</a> <p>Johan Hovold a découvert une fuite de compteur de références dans le pilote série USB omninet, avec pour conséquence une vulnérabilité d'utilisation de mémoire après libération. Cela peut être déclenché par un utilisateur local autorisé à ouvrir des périphériques tty.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-9074";>CVE-2017-9074</a> <p>Andrey Konovalov a signalé que l'implémentation de la fragmentation d'IPv6 pourrait lire au-delà de la fin d'un tampon de paquet. Un utilisateur local ou une VM cliente pourraient être capables d'utiliser cela pour la divulgation d'informations sensibles ou pour provoquer un déni de service (plantage).</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-9075";>CVE-2017-9075</a> <p>Andrey Konovalov a signalé que l'implémentation de SCTP/IPv6 initialisait mal les listes d'adresses sur les sockets connectées, avec pour conséquence une vulnérabilité d'utilisation de mémoire après libération, un problème similaire à <a href="https://security-tracker.debian.org/tracker/CVE-2017-8890";>CVE-2017-8890</a>. Cela peut être déclenché par n'importe quel utilisateur local.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-9076";>CVE-2017-9076</a> / <a href="https://security-tracker.debian.org/tracker/CVE-2017-9077";>CVE-2017-9077</a> <p>Cong Wang a découvert que les implémentations de TCP/IPv6 et de DCCP/IPv6 initialisaient mal les listes d'adresses sur les sockets connectées, un problème similaire à <a href="https://security-tracker.debian.org/tracker/CVE-2017-9075";>CVE-2017-9075</a>.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-9242";>CVE-2017-9242</a> <p>Andrey Konovalov a signalé un débordement de tampon de paquet dans l'implémentation d'IPv6. Un utilisateur local pourrait utiliser cela pour un déni de service (corruption de mémoire, plantage) et éventuellement pour une augmentation de droits.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-1000364";>CVE-2017-1000364</a> <p>Qualys Research Labs a découvert que la taille de la page de protection de pile (« stack guard page ») n'est pas suffisamment grande. Le pointeur de pile peut franchir la page de protection et passer de la pile à un autre espace mémoire sans accéder à la page de protection. Dans ce cas aucune exception de faute de page n'est levée et la pile s'étend dans l'autre espace de la mémoire. Un attaquant peut exploiter ce défaut pour une augmentation de droits.</p> <p>La protection d'espace de pile par défaut est réglée à 256 pages et peut être configurée sur la ligne commande du noyau grâce au paramètre stack_guard_gap du noyau.</p> <p>Vous trouverez plus de détails à l'adresse <a href="https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt";>https://www.qualys.com/2017/06/19/stack-clash/stack-clash.txt</a></p></li> </ul> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 3.2.89-1.Cette version inclut aussi des corrections de bogue de la version 3.2.89 de lâamont.</p> <p>Pour Debian 8 <q>Jessie</q>, ces problèmes ont été corrigés dans la version 3.16.43-2+deb8u1.</p> <p>Pour Debian 9 <q>Stretch</q>, ces problèmes ont été corrigés dans la version 4.9.30-2+deb9u1 ou les précédentes versions avant la publication de <q>Stretch</q>.</p> <p>Nous vous recommandons de mettre à jour vos paquets linux.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-993.data" # $Id: $
#use wml::debian::translation-check translation="16a228d71674819599fa1d0027d1603056286470" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5974";>CVE-2017-5974</a> <p>Un dépassement de tampon basé sur le tas dans la fonction __zzip_get32 dans fetch.c dans zziplib permet à des attaquants distants de provoquer un déni de service (plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5975";>CVE-2017-5975</a> <p>Un dépassement de tampon basé sur le tas dans la fonction __zzip_get64 dans fetch.c dans zziplib permet à des attaquants distants de provoquer un déni de service (plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5976";>CVE-2017-5976</a> <p>Un dépassement de tampon basé sur le tas dans la fonction zzip_mem_entry_extra_block dans memdisk.c dans zziplib permet à des attaquants distants de provoquer un déni de service (plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5978";>CVE-2017-5978</a> <p>La fonction zzip_mem_entry_new dans memdisk.c dans zziplib permet à des attaquants distants de provoquer un déni de service (lecture hors limites et plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5979";>CVE-2017-5979</a> <p>La fonction prescan_entry dans fseeko.c dans zziplib permet à des attaquants distants de provoquer un déni de service (déréférencement de pointeur NULL et plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5980";>CVE-2017-5980</a> <p>La fonction zzip_mem_entry_new dans memdisk.c dans zziplib permet à des attaquants distants de provoquer un déni de service (déréférencement de pointeur NULL et plantage) à l'aide d'un fichier ZIP contrefait.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-5981";>CVE-2017-5981</a> <p>La fonction seeko.c dans zziplib permet à des attaquants distants de provoquer un déni de service (échec dâassertion et plantage) à l'aide d'un fichier ZIP contrefait.</p></li> </ul> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 0.13.56-1.1+deb7u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets zziplib.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-994.data" # $Id: $
#use wml::debian::translation-check translation="16a228d71674819599fa1d0027d1603056286470" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-8400";>CVE-2017-8400</a> <p>Dans SWFTools 0.9.2, une écriture hors limites de données de tas peut apparaître dans la fonction png_load() dans lib/png.c:755. Ce problème peut être déclenché par un fichier PNG mal formé mal géré par png2swf. Des attaquants pourraient exploiter ce problème pour un déni de service. Il pourrait causer lâexécution de code arbitraire.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-8401";>CVE-2017-8401</a> <p>Dans SWFTools 0.9.2, une lecture hors limites de données de tas peut apparaître dans la fonction lea png_load() dans lib/png.c:724. Ce problème peut être déclenché par un fichier PNG mal formé mal géré par png2swf. Des attaquants pourraient exploiter ce problème pour un déni de service.</p></li> </ul> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 0.9.2+ds1-3+deb7u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets swftools.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-995.data" # $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Le mécanisme de page dâerreur de la spécification Java Servlet requiert que, quand une erreur se produit et quâune page dâerreur est configurée pour lâerreur produite, la requête et la réponse originales sont transmises à la page dâerreur. Cela signifie que la requête est présentée à la page dâerreur avec la méthode HTTP originale. Si la page dâerreur est un fichier statique, le comportement attendu est de servir le contenu du fichier comme le traitement dâune requête GET, quelque soit la méthode HTTP réelle. Le Servlet par défaut dans Apache Tomcat ne le réalisait pas. Selon la requête originale, cela pourrait conduire à des résultats inattendus et indésirables pour les pages dâerreur statiques incluant, si le Servlet par défaut est configuré poour autoriser les écritures, le remplacement ou la suppression de la page dâerreur personnalisée.</p> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 7.0.28-4+deb7u14.</p> <p>Nous vous recommandons de mettre à jour vos paquets tomcat7.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-996.data" # $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Libffi requiert une pile exécutable permettant à des attaquants de déclencher plus facilement lâexécution de code arbitraire par écrasement de la pile. Veuillez noter que libffi est utilisée par un certain nombre dâautres bibliothèques.</p> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 3.0.10-3+deb7u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets libffi.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-997.data" # $Id: $
#use wml::debian::translation-check translation="16a228d71674819599fa1d0027d1603056286470" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2017-1000381";>CVE-2017-1000381</a> <p>La fonction ares_parse_naptr_reply() de c-ares, qui est utilisée pour analyser les réponses NAPTR, pourrait être déclenchée pour lire la mémoire en dehors du tampon dâentrée donné si ce qui est passé dans le paquet de réponse DNS était contrefait dâune certaine façon.</p></li> </ul> <p>Pour Debian 7 <q>Wheezy</q>, ces problèmes ont été corrigés dans la version 1.9.1-3+deb7u2.</p> <p>Nous vous recommandons de mettre à jour vos paquets c-ares.</p> <p>Plus dâinformations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : <a href="https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS</a>.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-998.data" # $Id: $
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7" maintainer="Jean-Paul Guillonneau" <define-tag description>Mise à jour de sécurité pour LTS</define-tag> <define-tag moreinfo> <p>Il existait plusieurs vulnérabilités de lecture de mémoire hors limites dans openvpn, un démon populaire de réseau privé virtuel (VPN).</p> <p>Si des clients utilisaient un mandataire HTTP avec une authentification NTLM, une attaque dâhomme du milieu pourrait causer le plantage du client ou divulguer au plus 96 bytes de mémoire de pile, contenant probablement le mot de passe du mandataire.</p> <p>Pour Debian 7 <q>Wheezy</q>, ce problème a été corrigé dans la version 2.2.1-8+deb7u5 de openvpn.</p> <p>Nous vous recommandons de mettre à jour vos paquets openvpn.</p> </define-tag> # do not modify lea following line #include "$(ENGLISHDIR)/lts/security/2017/dla-999.data" # $Id: $
