Bonjour,
deux nouvelles annonces de sécurité viennent d'être publiées. En voici
une traduction. Merci d'avance pour vos relectures.
Amicalement,
jipege
#use wml::debian::translation-check translation="9366447bdb2abdccc3962d87981f5cce43bf471c" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité
Les vulnérabilités suivantes ont été découvertes dans le moteur web
webkit2gtk :
https://security-tracker.debian.org/tracker/CVE-2020-3885;>CVE-2020-3885
Ryan Pickren a découvert qu'une URL de fichier peut être traitée
incorrectement.
https://security-tracker.debian.org/tracker/CVE-2020-3894;>CVE-2020-3894
Sergei Glazunov a découvert qu'une situation de compétition peut
permettre à une application peut lire de la mémoire sensible.
https://security-tracker.debian.org/tracker/CVE-2020-3895;>CVE-2020-3895
grigoritchy a découvert que le traitement de contenu web contrefait
pourrait conduire à l'exécution de code arbitraire.
https://security-tracker.debian.org/tracker/CVE-2020-3897;>CVE-2020-3897
Brendan Draper a découvert qu'un attaquant distant pourrait être en
mesure de provoquer l'exécution de code arbitraire.
https://security-tracker.debian.org/tracker/CVE-2020-3899;>CVE-2020-3899
OSS-Fuzz a découvert qu'un attaquant distant pourrait être en mesure de
provoquer l'exécution de code arbitraire.
https://security-tracker.debian.org/tracker/CVE-2020-3900;>CVE-2020-3900
Dongzhuo Zhao a découvert que le traitement de contenu web contrefait
pourrait conduire à l'exécution de code arbitraire.
https://security-tracker.debian.org/tracker/CVE-2020-3901;>CVE-2020-3901
Benjamin Randazzo a découvert que le traitement de contenu web
contrefait pourrait conduire à l'exécution de code arbitraire.
https://security-tracker.debian.org/tracker/CVE-2020-3902;>CVE-2020-3902
Yigit Can Yilmaz a découvert que le traitement de contenu web contrefait
pourrait conduire à une attaque par script intersite.
Pour la distribution stable (Buster), ces problèmes ont été corrigés
dans la version 2.28.2-2~deb10u1.
Nous vous recommandons de mettre à jour vos paquets webkit2gtk.
Pour disposer d'un état détaillé sur la sécurité de webkit2gtk, veuillez
consulter sa page de suivi de sécurité à l'adresse :
https://security-tracker.debian.org/tracker/webkit2gtk;>\
https://security-tracker.debian.org/tracker/webkit2gtk.
# do not modify the following line
#include "$(ENGLISHDIR)/security/2020/dsa-4681.data"
# $Id: $
#use wml::debian::translation-check translation="0cfee114b2d0c22d16e262ece0a0804aac60d237" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité
Plusieurs vulnérabilités ont été découvertes dans la servlet Tomcat et
le moteur JSP. Elles pourraient avoir pour conséquence une attaque de
dissimulation de requête HTTP, l'exécution de code dans le connecteur AJP
(désactivé par défaut dans Debian) ou à une attaque de type « homme du
milieu » à l'encontre de l'interface JMX.
Pour la distribution stable (Buster), ces problèmes ont été corrigés
dans la version 9.0.31-1~deb10u1. Le correctif pour
https://security-tracker.debian.org/tracker/CVE-2020-1938;>\
CVE-2020-1938 peut nécessiter des changements de configuration quand
Tomcat est utilisé avec le connecteur AJP, par exemple en combinaison avec
libapache-mod-jk. Par exemple, l'attribut secretRequired est réglé à
true par défaut désormais. Pour les configurations qui sont
affectées, il est recommandé d'examiner
https://tomcat.apache.org/tomcat-9.0-doc/config/ajp.html;>\
https://tomcat.apache.org/tomcat-9.0-doc/config/ajp.html
avant de déployer la mise à jour.
Nous vous recommandons de mettre à jour vos paquets tomcat9.
Pour disposer d'un état détaillé sur la sécurité de tomcat9, veuillez
consulter sa page de suivi de sécurité à l'adresse :
https://security-tracker.debian.org/tracker/tomcat9;>\
https://security-tracker.debian.org/tracker/tomcat9.
# do not modify the following line
#include "$(ENGLISHDIR)/security/2020/dsa-4680.data"
# $Id: $
