Re: [RFR] wml://lts/security/2020/dla-225{0,1}.wml

2020-06-20 Par sujet daniel . malgorn 


On 20/06/2020 10:59, JP Guillonneau wrote:
> Bonjour,
> 
> Ces annonces de sécurité ont été publiées.
> Les fichiers sont aussi disponibles ici :
> https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2020/dla-.wml
> https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2020/dla-.wml
> 
> Merci d’avance pour vos relectures.
> 
> Amicalement.
> 
> --
> Jean-Paul
> 
Bonjour J_Paul

suggestion du W.E.

Amicalement.
--- dla-2251A.wml	2020-06-20 11:31:24.064684085 +0400
+++ dla-2251.wml	2020-06-20 11:32:12.055347606 +0400
@@ -15,7 +15,7 @@
 cas, l’information fournie par l’utilisateur pourrait être divulguée par
 inadvertance à partir des paramètres forts. Particulièrement, la valeur renvoyée
 par « each », « each_value » ou « each_pair » renverrait le hachage de données
-sous-jacentes non fiables qui était lu de ces paramètres. Les 
+sous-jacentes non fiables qui était lu pour ces paramètres. Les 
 applications qui utilisent cette valeur de retour pourraient involontairement
 utiliser des entrées utilisateur non fiables.

[RFR] wml://lts/security/2020/dla-225{0,1}.wml

2020-06-20 Par sujet JP Guillonneau 
Bonjour,

Ces annonces de sécurité ont été publiées.
Les fichiers sont aussi disponibles ici :
https://salsa.debian.org/webmaster-team/webwml/raw/master/english/lts/security/2020/dla-.wml
https://salsa.debian.org/webmaster-team/webwml/raw/master/french/lts/security/2020/dla-.wml

Merci d’avance pour vos relectures.

Amicalement.

--
Jean-Paul
#use wml::debian::translation-check translation="3263a88b9236350e8abab16cabd24c004e2aabc6" maintainer="Jean-Paul Guillonneau"
Mise à jour de sécurité pour LTS


Deux vulnérabilités ont été trouvées dans Ruby on Rails, un cadriciel MVC
basé sur Ruby adapté au développement d’applications web, qui pourraient
conduire à une exécution de code à distance et l’utilisation de saisies
utilisateur, selon l’application.



https://security-tracker.debian.org/tracker/CVE-2020-8164";>CVE-2020-8164

Vecteur de contournement de paramètres forts dans ActionPack. Dans certains
cas, l’information fournie par l’utilisateur pourrait être divulguée par
inadvertance à partir des paramètres forts. Particulièrement, la valeur renvoyée
par « each », « each_value » ou « each_pair » renverrait le hachage de données
sous-jacentes non fiables qui était lu de ces paramètres. Les 
applications qui utilisent cette valeur de retour pourraient involontairement
utiliser des entrées utilisateur non fiables.

https://security-tracker.debian.org/tracker/CVE-2020-8165";>CVE-2020-8165

Déconversion potentielle inattendue d’objets fournis par l’utilisateur dans
MemCacheStore. Il existait éventuellement un comportement inattendu dans
MemCacheStore où, lorsque des entrées utilisateur non fiables étaient écrites
dans le stockage de cache en utilisant le paramètre « raw: true », la relecture
du résultat à partir du cache pouvait juger la saisie d’utilisateur comme un
objet déconverti au lieu d’un texte simple. La déconversion d’une saisie
utilisateur non fiable pouvait avoir un impact pouvant aller jusqu’à une 
exécution de code à distance. Au minimum, cette vulnérabilité permettait à un
attaquant d’injecter des objets Ruby dans une application web.

En plus de la mise à niveau vers la dernière version de Rails, les
développeurs doivent faire en sorte que chaque fois qu’ils appellent
« Rails.cache.fetch », il utilisent des valeurs cohérentes du paramètre « raw »
pour la lecture comme l’écriture.



Pour Debian 8 Jessie, ces problèmes ont été corrigés dans
la version 2:4.1.8-1+deb8u7.

Nous vous recommandons de mettre à jour vos paquets rails.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS.


# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2020/dla-2251.data"
# $Id: $
#use wml::debian::translation-check translation="33ebf1e904556cb0c2760b7b76854f20b0df290b" maintainer="Jean-Paul Guillonneau"
Mise à jour de sécurité pour LTS


Drupal 7 possédait une vulnérabilité de redirection d’ouverture. Par
exemple, un utilisateur pourrait être amené à visiter un lien contrefait pour
l'occasion qui redirigerait vers une URL externe arbitraire.

Pour Debian 8 Jessie, ce problème a été corrigé dans
la version 7.32-1+deb8u18.

Nous vous recommandons de mettre à jour vos paquets drupal7.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment
appliquer ces mises à jour dans votre système et les questions fréquemment posées
peuvent être trouvées sur : https://wiki.debian.org/LTS";>https://wiki.debian.org/LTS.


# do not modify lea following line
#include "$(ENGLISHDIR)/lts/security/2020/dla-2250.data"
# $Id: $