Bonjour, Six nouvelles annonces de sécurité ont été publiées. En voici une traduction. Merci d'avance pour vos relectures. Amicalement, jipege
#use wml::debian::translation-check translation="379642bc802016b86c0a837c2c4e7b3b114c099a" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs vulnérabilités ont été découvertes dans OpenSSH, une implémentation du protocole SSH.</p> <ul> <li><a href="https://security-tracker.debian.org/tracker/CVE-2021-41617";>CVE-2021-41617</a> <p>sshd échouait à initialiser correctement les groupes additionnels lors de l'exécution de AuthorizedKeysCommand ou AuthorizedPrincipalsCommand quand une directive AuthorizedKeysCommandUser ou AuthorizedPrincipalsCommandUser a été définie pour exécuter la commande sous un utilisateur différent. Au lieu de cela, ces commandes héritaient des groupes avec lesquels sshd avait démarré.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-28531";>CVE-2023-28531</a> <p>Luci Stanescu a signalé qu'une erreur empêchait la communication des contraintes à l'agent ssh lors de l'ajout à l'agent d'une clé de sécurité à puce avec des contraintes de destination <q>per-hop</q>, avec pour conséquence l'ajout de clés sans contrainte.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-48795";>CVE-2023-48795</a> <p>Fabian Baeumer, Marcus Brinkmann et Joerg Schwenk a découvert que le protocole SSH est prédisposé à une attaque par troncature de préfixe, connue sous le nom d'attaque <q>Terrapin</q>. Cette attaque permet à un attaquant de type <q>homme du milieu</q> d'effectuer un bris limité de l'intégrité du protocole de transport SSH chiffré ancien en envoyant des messages supplémentaires avant le commencement du chiffrement et en supprimant un nombre égal de messages successifs immédiatement après le début du chiffrement.</p> <p>Vous trouverez des détails à l'adresse <a href="https://terrapin-attaque.com/";>https://terrapin-attaque.com/</a>.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-51384";>CVE-2023-51384</a> <p>Lors de l'ajout de clés privés reposant sur PKCS#11, en spécifiant des contraintes de destination, si le jeton PKCS#11 renvoyait plusieurs clés, seule la première clé verra ses contraintes appliquées.</p></li> <li><a href="https://security-tracker.debian.org/tracker/CVE-2023-51385";>CVE-2023-51385</a> <p>Si un utilisateur ou un nom d'hôte non valables qui renfermaient des métacaractères de l’interpréteur de commande étaient passés à ssh, et qu'une directive ProxyCommand ou LocalCommand ou un prédicat <q>match exec</q> référençaient l'utilisateur ou le nom d'hôte au moyen de l'expansion de tokens, alors un attaquant qui pouvait fournir des noms d'utilisateur ou d'hôte à ssh pouvait éventuellement réaliser une injection de commande. La situation pouvait survenir dans le cas de dépôts git comprenant des sous-modules, où le dépôt pouvait contenir un sous-module avec des métacaractères de l'interpréteur dans son nom d'utilisateur ou son nom d'hôte.</p></li> </ul> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 1:8.4p1-5+deb11u3.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 1:9.2p1-2+deb12u2.</p> <p>Nous vous recommandons de mettre à jour vos paquets openssh.</p> <p>Pour disposer d'un état détaillé sur la sécurité de openssh, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/openssh";>\ https://security-tracker.debian.org/tracker/openssh</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5586.data" # $Id: $
#use wml::debian::translation-check translation="280de20a45d272979e22db3ba34b311546f4febb" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Un important problème de sécurité a été découvert dans Chromium qui pouvait avoir pour conséquence l'exécution de code arbitraire.</p> <p>Google a été informé qu'une exploitation du <a href="https://security-tracker.debian.org/tracker/CVE-2023-7024";>CVE-2023-7024</a> existe dans la nature.</p> <p>Pour la distribution oldstable (Bullseye), ce problème a été corrigé dans la version 120.0.6099.129-1~deb11u1.</p> <p>Pour la distribution stable (Bookworm), ce problème a été corrigé dans la version 120.0.6099.129-1~deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets chromium.</p> <p>Pour disposer d'un état détaillé sur la sécurité de chromium, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/chromium";>\ https://security-tracker.debian.org/tracker/chromium</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5585.data" # $Id: $
#use wml::debian::translation-check translation="4a3762cd09a693a0e68871f088203cfd4037c071" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Il a été signalé que l'implémentation du profil HID de BlueZ n'était pas conforme aux spécifications de HID qui imposent l'utilisation de Security Mode 4. L'option de configuration du profil HID ClassicBondedOnly a désormais la valeur <q>true</q> pour s'assurer que les connexions d'entrée proviennent uniquement de connexions de périphériques associés.</p> <p>Pour la distribution oldstable (Bullseye), ce problème a été corrigé dans la version 5.55-3.1+deb11u1.</p> <p>Pour la distribution stable (Bookworm), ce problème a été corrigé dans la version 5.66-1+deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets bluez.</p> <p>Pour disposer d'un état détaillé sur la sécurité de bluez, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/bluez";>\ https://security-tracker.debian.org/tracker/bluez</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5584.data" # $Id: $
#use wml::debian::translation-check translation="4354b521cd0e60008466066d6ad26586089761c7" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Un dépassement de tampon a été découvert dans le greffon vidéo AV1 pour l'environnement multimédia GStreamer qui pouvaient avoir pour conséquences un déni de service ou éventuellement l'exécution de code arbitraire lors de l'ouverture d'un fichier média mal formé.</p> <p>La distribution oldstable (Bullseye) n'est pas concernée.</p> <p>Pour la distribution stable (Bookworm), ce problème a été corrigé dans la version 1.22.0-4+deb12u4.</p> <p>Nous vous recommandons de mettre à jour vos paquets gst-plugins-bad1.0.</p> <p>Pour disposer d'un état détaillé sur la sécurité de gst-plugins-bad1.0, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/gst-plugins-bad1.0";>\ https://security-tracker.debian.org/tracker/gst-plugins-bad1.0</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5583.data" # $Id: $
#use wml::debian::translation-check translation="89dc42b42ffb9114d5ab54e508ea849eecb39c27" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs problèmes de sécurité ont été découverts dans Thunderbird qui pouvaient avoir pour conséquences un déni de service, l'exécution de code arbitraire ou l'usurpation de courriels signés avec PGP/MIME et SMIME.</p> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 1:115.6.0-1~deb11u1.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 1:115.6.0-1~deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets thunderbird.</p> <p>Pour disposer d'un état détaillé sur la sécurité de thunderbird, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/thunderbird";>\ https://security-tracker.debian.org/tracker/thunderbird</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5582.data" # $Id: $
#use wml::debian::translation-check translation="9fdb8bdda3cb100fe33a010fc83b055f001114db" maintainer="Jean-Pierre Giraud" <define-tag description>Mise à jour de sécurité</define-tag> <define-tag moreinfo> <p>Plusieurs problèmes de sécurité ont été découverts dans le navigateur web Firefox de Mozilla qui pouvaient éventuellement avoir pour conséquences l'exécution de code arbitraire, une sortie du bac à sable ou un détournement de clic.</p> <p>Pour la distribution oldstable (Bullseye), ces problèmes ont été corrigés dans la version 115.6.0esr-1~deb11u1.</p> <p>Pour la distribution stable (Bookworm), ces problèmes ont été corrigés dans la version 115.6.0esr-1~deb12u1.</p> <p>Nous vous recommandons de mettre à jour vos paquets firefox-esr.</p> <p>Pour disposer d'un état détaillé sur la sécurité de firefox-esr, veuillez consulter sa page de suivi de sécurité à l'adresse : <a href="https://security-tracker.debian.org/tracker/firefox-esr";>\ https://security-tracker.debian.org/tracker/firefox-esr</a>.</p> </define-tag> # do not modify the following line #include "$(ENGLISHDIR)/security/2023/dsa-5581.data" # $Id: $
Attachment:
signature.asc
Description: This is a digitally signed message part