Bonjour,
trois nouvelles annonces de sécurité ont été publiées. En voici une
traduction. Merci d'avance pour vos relectures.
Amicalement,
jipege
#use wml::debian::translation-check translation="cf54214a60d5c8495f2ec63169aacf0041d76119" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité pour LTS
La dernière mise à jour de sécurité de Java a introduit une modification
qui casse la prise en charge interactive de BD-J par libbluray. Cette mise
à jour établit la compatibilité avec ces modifications de Java.
Pour Debian 10 Buster, ce problème a été corrigé dans la version
1:1.1.0-1+deb10u1.
Nous vous recommandons de mettre à jour vos paquets libbluray.
Pour disposer d'un état détaillé sur la sécurité de libbluray, veuillez
consulter sa page de suivi de sécurité à l'adresse :
https://security-tracker.debian.org/tracker/libbluray;>\
https://security-tracker.debian.org/tracker/libbluray.
Plus d’informations à propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
https://wiki.debian.org/LTS;>https://wiki.debian.org/LTS.
# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2022/dla-3159.data"
# $Id: $
#use wml::debian::translation-check translation="0e2efeb6c97ae0b94b3ef8713283f6dc900ab323" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité pour LTS
Il a été découvert que wkhtmltopdf, un utilitaire en ligne de commande
de rendu de fichiers HTML en PDF, permettait par défaut l'accès au système
de fichiers local. Cette mise à jour désactive l'accès au système local de
fichiers, mais cet accès peut être activé si nécessaire
avec les options --enable-local-file-access ou --allow .
Pour Debian 10 Buster, ce problème a été corrigé dans la version
0.12.5-1+deb10u1.
Nous vous recommandons de mettre à jour vos paquets wkhtmltopdf.
Pour disposer d'un état détaillé sur la sécurité de wkhtmltopdf,
veuillez consulter sa page de suivi de sécurité à l'adresse :
https://security-tracker.debian.org/tracker/wkhtmltopdf;>\
https://security-tracker.debian.org/tracker/wkhtmltopdf.
Plus d’informations à propos des annonces de sécurité de Debian LTS,
comment appliquer ces mises à jour dans votre système et les questions
fréquemment posées peuvent être trouvées sur :
https://wiki.debian.org/LTS;>https://wiki.debian.org/LTS.
# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2022/dla-3158.data"
# $Id: $
#use wml::debian::translation-check translation="d74399e4b4de3445ba81e13bf5d88b77170669d4" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité pour LTS
Plusieurs vulnérabilités ont été découvertes dans BlueZ, la pile du
protocole Bluetooth de Linux. Un attaquant pouvait provoquer un déni de
service (DoS) ou divulguer des informations.
https://security-tracker.debian.org/tracker/CVE-2019-8921;>CVE-2019-8921
Fuite d'information de SDP ; la vulnérabilité réside dans le traitement
de SVC_ATTR_REQ par l'implémentation de SDP de BlueZ. En contrefaisant un
CSTATE, il est possible de piéger le serveur à renvoyer plus d'octets que
le tampon n'en contient en réalité, avec pour conséquence la divulgation de
données arbitraires du tas.
https://security-tracker.debian.org/tracker/CVE-2019-8922;>CVE-2019-8922
Dépassement de tas de SDP ; cette vulnérabilité réside dans le
traitement par le protocole SDP des requêtes d'attribut également. En
demandant un très grand nombre d'attributs en même temps, un attaquant peut
faire déborder le tampon statique fourni pour contenir la réponse.
https://security-tracker.debian.org/tracker/CVE-2021-41229;>CVE-2021-41229
sdp_cstate_alloc_buf alloue de la mémoire qui sera toujours attachée à
la liste liée individuellement de cstates et ne sera pas libérée. Cela
provoquera une fuite de mémoire avec le temps. Les données peuvent être un
très grand objet, ce qui peut être provoqué par un attaquant envoyant en
continu des paquets sdp et cela peut faire planter le service du
périphérique cible.
https://security-tracker.debian.org/tracker/CVE-2021-43400;>CVE-2021-43400
Une utilisation de mémoire après libération dans gatt-database.c peut
survenir quand un client se déconnecte durant le traitement par D-Bus d'un
appel WriteValue.
https://security-tracker.debian.org/tracker/CVE-2022-0204;>CVE-2022-0204
Une vulnérabilité de dépassement de tas a été découverte dans bluez. Un
attaquant doté d'un accès au réseau local pouvait passer des fichiers
contrefaits pour l'occasion faisant qu'une application s'arrête ou plante,
menant à un déni de service.
https://security-tracker.debian.org/tracker/CVE-2022-39176;>CVE-2022-39176
BlueZ permet à des attaquants proches physiquement d'obtenir des
informations sensibles parce que profiles/audio/avrcp.c ne valide pas
params_len.
https://security-tracker.debian.org/tracker/CVE-2022-39177;>CVE-2022-39177
BlueZ permet à des attaquants proches physiquement de provoquer un déni
de service parce que des
