Re: [RFR] wml://security/2020/dsa-469{8,9}.wml

2020-06-11 Par sujet bubu
Bonjour,

Le 12/06/2020 à 01:17, Jean-Pierre Giraud a écrit :
> Bonjour,
> deux nouvelles annonces de sécurité viennent d'être publiées. En voici
> une traduction. Merci d'avance pour vos relectures.
> Amicalement,
> jipege

détails,

amicalement,

bubu

--- dsa-4698.wml	2020-06-12 07:34:11.314333226 +0200
+++ dsa-4698.relu.wml	2020-06-12 07:47:26.650526841 +0200
@@ -57,7 +57,7 @@
 https://security-tracker.debian.org/tracker/CVE-2019-20811;>CVE-2019-20811
 
 L'outil Hulk Robot a découvert un bogue de compte de références dans une
-erreur de chemin dans le sous-système réseau.L'impact de sécurité de cela
+erreur de chemin dans le sous-système réseau. L'impact de sécurité de cela
 n'est pas clair.
 
 https://security-tracker.debian.org/tracker/CVE-2020-0543;>CVE-2020-0543
@@ -209,8 +209,8 @@
 https://security-tracker.debian.org/tracker/CVE-2020-12653;>CVE-2020-12653
 
 Le pilote WiFi mwifiex ne validait pas suffisamment les requêtes de
-balayag, avec pour conséquence un possible dépassement de tas. Un
-utilisateur local doté de la capacité CAP_NET_ADMIN pourrait  utiliser cela
+balayage, avec pour conséquence un possible dépassement de tas. Un
+utilisateur local doté de la capacité CAP_NET_ADMIN pourrait utiliser cela
 pour provoquer un déni de service (plantage ou corruption de mémoire) ou,
 éventuellement, pour une élévation de privilèges.
 
@@ -240,7 +240,7 @@
 
 
 Pour la distribution oldstable (Stretch), ces problèmes ont été corrigés
-dans la version 4.9.210-1+deb9u1.Cette version corrige aussi certains
+dans la version 4.9.210-1+deb9u1. Cette version corrige aussi certains
 bogues liés qui n'ont pas leur propre identifiant CVE et une régression
 dans le pilote macvlan introduite dans la version intermédiaire précédente
 (bogue nº 952660).
--- dsa-4699.wml	2020-06-12 07:18:21.913551541 +0200
+++ dsa-4699.relu.wml	2020-06-12 07:27:42.935104993 +0200
@@ -45,7 +45,7 @@
 Matthew Sheets a signalé des problèmes de déréférencement de pointeur
 NULL dans le sous-système SELinux lors de la réception de paquet CIPSO avec
 une catégorie vide. Un attaquant distant peut tirer avantage de ce défaut
-pour provoquer un déni de service (plantage). Notez que ce  problème
+pour provoquer un déni de service (plantage). Notez que ce problème
 n'affecte pas les paquets binaires distribués dans Debian dans la mesure où
 CONFIG_NETLABEL n'est pas activé.
 
@@ -111,7 +111,7 @@
 dans la version 4.19.118-2+deb10u1. Cette version corrige aussi certains
 bogues liés qui n'ont pas leur propre identifiant CVE et une régression
 dans l'en-tête UAPI de  introduite dans la version
-intermédiaire précédente bogue nº 960271).
+intermédiaire précédente (bogue nº 960271).
 
 Nous vous recommandons de mettre à jour vos paquets linux.
 


Re: [RFR] wml://security/2020/dsa-469{8,9}.wml

2020-06-11 Par sujet Grégoire Scano
Bonjour,

On 6/12/20 7:17 AM, Jean-Pierre Giraud wrote:
> deux nouvelles annonces de sécurité viennent d'être publiées. En voici
> une traduction. Merci d'avance pour vos relectures.

quelques suggestions.

Bien cordialement,
Grégoire

--- dsa-4698.wml	2020-06-12 09:11:07.251364237 +0800
+++ gregoire.dsa-4698.wml	2020-06-12 09:26:48.382333049 +0800
@@ -10,7 +10,7 @@
 https://security-tracker.debian.org/tracker/CVE-2019-2182;>CVE-2019-2182
 
 Hanjun Guo et Lei Li ont signalé une situation de compétition dans le
-code de gestion de la mémoire virtuel d'arm64 qui pourrait conduire à une
+code de gestion de la mémoire virtuelle d'arm64 qui pourrait conduire à une
 divulgation d'informations, un déni de service (plantage), ou
 éventuellement à une élévation de privilèges.
 
@@ -27,7 +27,7 @@
 https://security-tracker.debian.org/tracker/CVE-2019-19319;>CVE-2019-19319
 
 Jungyeon a découvert qu'un système de fichiers contrefait peut faire que
-l'implémentation de ext4 désalloue ou reéalloue des blocs de journal. Un
+l'implémentation de ext4 désalloue ou réalloue des blocs de journal. Un
 utilisateur autorisé à monter des systèmes de fichiers pourrait utiliser
 cela pour provoquer un déni de service (plantage), ou, éventuellement, pour
 une élévation de privilèges.
@@ -97,7 +97,7 @@
 https://security-tracker.debian.org/tracker/CVE-2020-8649;>CVE-2020-8649
 
 L’outil Hulk Robot a trouvé un possible accès MMIO hors limites dans le
-pilote vgacon. Un utilisateur local autorisé à accéder à une terminal
+pilote vgacon. Un utilisateur local autorisé à accéder à un terminal
 virtuel (/dev/tty1, etc.) sur un sytème utilisant le pilote vgacon pourrait
 utiliser cela pour provoquer un déni de service (plantage ou corruption de
 mémoire) ou éventuellement pour une élévation de privilèges.
@@ -131,8 +131,8 @@
 https://security-tracker.debian.org/tracker/CVE-2020-10732;>CVE-2020-10732
 
 Une fuite d'informations de la mémoire privée du noyau vers l'espace
-utilisateur a été découverte dans l'implémentation du noyau des processus
-de l'espace utilisateur de vidage de mémoire.
+utilisateur a été découverte dans l'implémentation noyau du vidage mémoire
+des processus de l'espace utilisateur.
 
 https://security-tracker.debian.org/tracker/CVE-2020-10751;>CVE-2020-10751
 
@@ -165,8 +165,8 @@
 
 Entropy Moe a signalé que le système de fichiers de la mémoire partagée
 (tmpfs) ne gérait pas correctement une option de montage mpol
-indiquant une liste de nœuds vide, conduisant à une écriture basée sur la
-pile hors limites. Si les espaces de noms utilisateur sont activés, un
+indiquant une liste de nœuds vide, conduisant à une écriture hors limites
+basée sur la pile. Si les espaces de noms utilisateur sont activés, un
 utilisateur local pourrait utiliser cela pour provoquer un déni de service
 (plantage) ou éventuellement pour élévation de privilèges.
 
@@ -191,7 +191,7 @@
 https://security-tracker.debian.org/tracker/CVE-2020-12464;>CVE-2020-12464
 
 Kyungtae Kim a signalé une situation de compétition dans le noyau USB
-qui peut avoir pour conséquence dans une utilisation de mémoire après
+qui peut avoir pour conséquence une utilisation de mémoire après
 libération. Le moyen de l'exploiter n'est pas clair, mais elle pourrait
 avoir pour conséquence un déni de service (plantage ou corruption de
 mémoire) ou une élévation de privilèges.
@@ -217,7 +217,7 @@
 https://security-tracker.debian.org/tracker/CVE-2020-12654;>CVE-2020-12654
 
 Le pilote WiFi mwifiex ne validait pas suffisamment les paramètres WMM 
-paramètres WMM reçus d’un point d’accès (AP), avec pour conséquence un
+reçus d’un point d’accès (AP), avec pour conséquence un
 possible dépassement de tas. Un AP malveillant pourrait utiliser cela pour
 provoquer un déni de service (plantage ou corruption de mémoire) ou,
 éventuellement, pour exécuter du code sur un système vulnérable.
--- dsa-4699.wml	2020-06-12 09:11:03.323196543 +0800
+++ gregoire.dsa-4699.wml	2020-06-12 09:31:46.767086591 +0800
@@ -10,7 +10,7 @@
 https://security-tracker.debian.org/tracker/CVE-2019-3016;>CVE-2019-3016
 
 L'implémentation de KVM pour x86 ne réalisait pas toujours la purge des
-TLB, si la fonctionnalité de purge des TLB paravirtualisés était activée.
+TLB si la fonctionnalité de purge des TLB paravirtualisés était activée.
 Cela pourrait conduire à la divulgation d'informations sensibles dans une
 VM cliente.
 
@@ -18,7 +18,7 @@
 
 L'outil syzkaller a découvert une vérification d’erreur manquante dans
 la bibliothèque relay utilisée pour implémenter divers fichiers sous
-debugfs.Un utilisateur local autorisé à accéder à debugfs pourrait utiliser
+debugfs. Un utilisateur local autorisé à accéder à debugfs pourrait utiliser
 cela pour provoquer un déni de service (plantage) ou éventuellement pour
 une élévation de privilèges.
 
@@ -52,8 +52,8 @@
 https://security-tracker.debian.org/tracker/CVE-2020-10732;>CVE-2020-10732
 
 Une fuite d'informations de la mémoire privée du noyau vers l'espace

[RFR] wml://security/2020/dsa-469{8,9}.wml

2020-06-11 Par sujet Jean-Pierre Giraud
Bonjour,
deux nouvelles annonces de sécurité viennent d'être publiées. En voici
une traduction. Merci d'avance pour vos relectures.
Amicalement,
jipege
#use wml::debian::translation-check translation="501651fe873cfe804f689d7045c72f30c925c805" maintainer="Jean-Pierre Giraud"
Mise à jour de sécurité

Plusieurs vulnérabilités ont été découvertes dans noyau Linux qui
pourraient conduire à une élévation de privilèges, un déni de service ou
des fuites d'informations.



https://security-tracker.debian.org/tracker/CVE-2019-3016;>CVE-2019-3016

L'implémentation de KVM pour x86 ne réalisait pas toujours la purge des
TLB, si la fonctionnalité de purge des TLB paravirtualisés était activée.
Cela pourrait conduire à la divulgation d'informations sensibles dans une
VM cliente.

https://security-tracker.debian.org/tracker/CVE-2019-19462;>CVE-2019-19462

L'outil syzkaller a découvert une vérification d’erreur manquante dans
la bibliothèque relay utilisée pour implémenter divers fichiers sous
debugfs.Un utilisateur local autorisé à accéder à debugfs pourrait utiliser
cela pour provoquer un déni de service (plantage) ou éventuellement pour
une élévation de privilèges.

https://security-tracker.debian.org/tracker/CVE-2020-0543;>CVE-2020-0543

Des chercheurs de l'Université libre d'Amsterdam ont découvert que, sur
certains processeurs Intel prenant en charge les instructions RDRAND et
RDSEED, une partie d'une valeur aléatoire générée par ces instructions
pouvait être utilisée dans une exécution spéculative ultérieure dans
n'importe quel cœur du même processeur physique. Selon la manière dont ces
instructions sont utilisées par les applications, un utilisateur local ou
une machine virtuelle pourrait utiliser cela pour obtenir des informations
sensibles telles que des clés de chiffrement d'autres utilisateurs ou
machines virtuelles.

Cette vulnérabilité peut être atténuée par une mise à jour du microcode,
soit dans le cadre des microprogrammes du système (BIOS) ou au moyen du
paquet intel-microcode de la section non-free de l'archive Debian. Cette
mise à jour du noyau ne fournit que le rapport de la vulnérabilité et
l'option de désactiver la mitigation si elle n'est pas nécessaire.

https://security-tracker.debian.org/tracker/CVE-2020-10711;>CVE-2020-10711

Matthew Sheets a signalé des problèmes de déréférencement de pointeur
NULL dans le sous-système SELinux lors de la réception de paquet CIPSO avec
une catégorie vide. Un attaquant distant peut tirer avantage de ce défaut
pour provoquer un déni de service (plantage). Notez que ce  problème
n'affecte pas les paquets binaires distribués dans Debian dans la mesure où
CONFIG_NETLABEL n'est pas activé.

https://security-tracker.debian.org/tracker/CVE-2020-10732;>CVE-2020-10732

Une fuite d'informations de la mémoire privée du noyau vers l'espace
utilisateur a été découverte dans l'implémentation du noyau des processus
de l'espace utilisateur de vidage de mémoire.

https://security-tracker.debian.org/tracker/CVE-2020-10751;>CVE-2020-10751

Dmitry Vyukov a signalé que le sous-système SELinux ne gérait pas
correctement la validation de messages multiples, ce qui pourrait permettre
à un attaquant privilégié de contourner les restrictions netlink de
SELinux.

https://security-tracker.debian.org/tracker/CVE-2020-10757;>CVE-2020-10757

Fan Yang a signalé un défaut dans la manière dont mremap gérait les très
grandes pages DAX, permettant une élévation des privilèges d'un utilisateur
local.

https://security-tracker.debian.org/tracker/CVE-2020-12114;>CVE-2020-12114

Piotr Krysiuk a découvert une situation de compétition entre les
opérations umount et pivot_root dans le noyau du système de fichiers (vfs).
Un utilisateur local doté de la capacité CAP_SYS_ADMIN dans un espace de
noms d'utilisateur pourrait éventuellement utiliser cela pour provoquer un
déni de service (plantage).

https://security-tracker.debian.org/tracker/CVE-2020-12464;>CVE-2020-12464

Kyungtae Kim a signalé une situation de compétition dans le noyau USB
qui peut avoir pour conséquence dans une utilisation de mémoire après
libération. Le moyen de l'exploiter n'est pas clair, mais elle pourrait
avoir pour conséquence un déni de service (plantage ou corruption de
mémoire) ou une élévation de privilèges.

https://security-tracker.debian.org/tracker/CVE-2020-12768;>CVE-2020-12768

Un bogue a été découvert dans l'implémentation de KVM pour les
processeurs AMD qui pourrait avoir pour conséquence une fuite de mémoire.
L'impact de sécurité de cela n'est pas clair.

https://security-tracker.debian.org/tracker/CVE-2020-12770;>CVE-2020-12770

Le pilote sg (SCSI générique) ne libérait pas correctement des
ressources internes dans un cas d'erreur particulier. Un utilisateur local
autorisé à accéder à un service sg pourrait éventuellement utiliser cela
pour provoquer un déni de service (épuisement de ressource).

https://security-tracker.debian.org/tracker/CVE-2020-13143;>CVE-2020-13143

Kyungtae Kim a signalé une possible écriture de