Bonjour,

Voici quelques traductions de dla adaptées de :
DLA     DSA
443     3504

Merci d'avance pour vos relectures.

Amicalement.

--
Jean-Paul
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Comme décrit dans <a href="./dla-437">DLA-437-1</a>, clamav a été mis à
jour vers la plus récente version de l’amont, la version 0.99. En raison d’un
changement dans le soname de libclamav, les paquets dépendant de libclamav ont
besoin d’être recompilés pour fonctionner avec le récent paquet libclamav7. Au
moment de l’envoi de DLA-437-1, les paquets à jour n’étaient pas disponibles.
</p>

<p>Une mise à jour pour dansguardian a maintenant été envoyée, et les paquets
seront bientôt disponibles. La recommandation dans DLA-437-1 de ne pas mettre
à niveau clamav si utilisé avec dansguardian n’est plus d’actualité.</p>

<p>La mise à niveau de clamav et dansguardian est recommandée pour les raisons
décrites dans DLA-437-1.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-440.data"
# $Id: dla-440.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Zero Day Initiative d’HP a identifié une vulnérabilité affectant le paquet
pcre3. L’identifiant ZDI, ZDI-CAN-3542, lui a été assigné. Un identifiant CVE
n’a pas encore été assigné.</p>

<p>PCRE Regular Expression Compilation Stack Buffer Overflow Remote Code
Execution Vulnerability.</p>

<p>PCRE ne validait pas que la gestion du verbe (*ACCEPT) se produisait à
l’intérieur des limites du tampon de pile de cworkspace, menant à un
dépassement de tampon de pile.</p>

<p>Pour Debian 6 <q>Squeeze</q>, ces problèmes ont été corrigés dans la
version 8.02-1.1+deb6u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets pcre3.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-441.data"
# $Id: dla-441.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2013-6441";>CVE-2013-6441</a>

<p>Le script de modèle lxc-sshd avait l’habitude de se monter lui-même comme
/sbin/init dans le conteneur en utilisant un <q>bind-mount</q> modifiable.</p>

<p>Cette mise à jour résout le problème en utilisant un <q>bind-mount</q>
uniquement lisible, empêchant toute forme de dommage accidentel éventuel.</p>
</li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-1335";>CVE-2015-1335</a>

<p>Lors du démarrage du conteneur, lxc règle l’arbre du système de fichiers
initial du conteneur en créant beaucoup de montages, en se guidant sur le
fichier de configuration.</p>

<p>La configuration du conteneur est entre les mains de l’administrateur ou de
l’utilisateur sur l’hôte, aussi nous n’essayons pas de protéger contre des
entrées mauvaises. Cependant, puisque la cible de montage est dans le
conteneur, il est possible que l’administrateur du conteneur pourrait
rediriger le montage avec des liens symboliques. Cela pourrait contourner le
propre démarrage du conteneur (c'est-à-dire, le confinement d’un conteneur de
l’administrateur par la politique restrictive d’AppArmor, en redirigeant
l’écriture requise vers /proc/self/attr/current), ou contourner la politique
d’AppArmor (basée sur les chemins) en redirigeant, par exemple, /proc vers
/mnt dans le conteneur.</p>

<p>Cette mise à jour implémente une fonction safe_mount() empêchant lxc de
réaliser des montages sur des liens symboliques.</p></li>

</ul>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-442.data"
# $Id: dla-442.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Une vulnérabilité d’exécution de code à distance a été découverte dans
BeanShell, un interpréteur de source Java intégrable avec des caractéristiques
de langage objet de script.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2016-2510";>CVE-2016-2510</a>:

<p>Une application incluant BeanShell dans son classpath peut être vulnérable
si une autre partie de l’application utilise la sérialisation Java ou XStream
pour la désérialisation des données à partir d’une source non fiable. Une
application vulnérable pourrait être exploitée pour l’exécution de code à
distance, y compris l’exécution de commandes d’interpréteur arbitraires.</p>
</li>

</ul>

<p>Pour Debian 6 <q>Squeeze</q>, ces problèmes ont été corrigés dans la
version 2.0b4-12+deb6u1.</p>

<p>Nous vous recommandons de mettre à jour vos paquets bsh.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-443.data"
# $Id: dla-443.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-2305";>CVE-2015-2305</a>

<p>Un dépassement d’entier dans l’implémentation de regcomp dans la
bibliothèque BSD d’expressions rationnelles d’Henry Spencer (c'est-à-dire,
rxspencer) version alpha3.8.g5 sur les plateformes 32 bits, telle qu’utilisée
dans NetBSD jusqu’à la version 6.1.5 et d’autres produits, pourrait permettre,
en fonction du contexte, à des attaquants d’exécuter du code arbitraire à
l'aide d'une large expression rationnelle, conduisant à un dépassement de
tas.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2015-2348";>CVE-2015-2348</a>
<p>L’implémentation de move_uploaded_file dans ext/standard/basic_fonctions.c
de PHP versions avant 5.4.39, 5.5.x avant 5.5.23 et 5.6.x avant 5.6.7, tronque
un nom de chemin si un caractère \x00 est rencontré. Cela permet aux
attaquants distants de contourner les restrictions voulues d’extension et
créer des fichiers avec des noms inattendus à l'aide d'un second argument
contrefait.</p>

<p><b>Note</b>: cette vulnérabilité existe à cause d’un correctif incomplet
pour <a href="https://security-tracker.debian.org/tracker/CVE-2006-7243";>CVE-2006-7243</a>.</p></li>
<li>CVE-2016-tmp, Bogue n° 71039
<p>Fonctions d’exécution ignorant la longueur mais recherchant une
terminaison NULL</p></li>

<li>CVE-2016-tmp, Bogue n° 71089
<p>Absence de vérification de double de zend_extension</p></li>

<li>CVE-2016-tmp, Bogue n° 71201
<p>Erreur de segmentation pour round() dans les constructions 64 bits</p></li>

<li>CVE-2016-tmp, Bogue n° 71459
<p>Dépassement d’entier dans iptcembed()</p></li>

<li>CVE-2016-tmp, Bogue n° 71354
<p>Corruption de tas dans l’analyseur tar/zip/phar</p></li>

<li>CVE-2016-tmp, Bogue n° 71391
<p>Déréférence de pointeur NULL dans phar_tar_setupmetadata()</p></li>

<li>CVE-2016-tmp, Bogue n° 70979
<p>Plantage lors de requête SOAP incorrecte</p></li>

</ul>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-444.data"
# $Id: dla-444.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $
#use wml::debian::translation-check translation="1.1" maintainer="Jean-Paul Guillonneau"
<define-tag description>Mise à jour de sécurité pour LTS</define-tag>
<define-tag moreinfo>
<p>Le correctif rétroporté pour résoudre
<a href="https://security-tracker.debian.org/tracker/CVE-2016-2569";>CVE-2016-2569</a>
donnait des échecs d’assertion, conduisant à un plantage de squid3 lors de la
fermeture de connexions. Le correctif pour ce CVE repose fortement sur la
gestion d’exceptions présente dans les versions plus récentes de squid3, que
je n’ai pas repérée dans la mise à jour précédente. J’ai repris le correctif
pour un fonctionnement plus sûr, en prenant en compte le fait que les
utilisateurs de Squeeze devraient migrer vers une version prise en charge par
Debian. Cette mise à jour postérieure à la fin de vie est voulue pour garder
un paquet squid3 fonctionnel dans l’archive.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2016/dla-445.data"
# $Id: dla-445.wml,v 1.1 2017/08/08 07:44:34 jptha-guest Exp $

Répondre à