Informations de sécurité
Debian prend les questions de sécurité très au sérieux. Nous traitons tous les problèmes de sécurité qui sont portés à notre attention et nous nous assurons qu'ils sont corrigés avec un délai raisonnable. De nombreuses annonces de sécurité sont gérées en coordination avec les autres distributeurs de logiciel libre, et sont publiées le même jour que la vulnérabilité associée. L'équipe d'audit de sécurité est chargée d'inspecter l'archive à la recherche de bogues de sécurité nouveaux ou non corrigés.
L'expérience a montré que la sécurité par le secret
ne
fonctionne pas. Une diffusion publique des problèmes de sécurité apporte plus
rapidement des solutions meilleures. Dans cet esprit, cette page indique l'état
de Debian sur différents trous de sécurité connus, qui pourraient
potentiellement affecter Debian.
Debian participe aussi aux efforts de standardisation de sécurité : les annonces de sécurité Debian (Debian Security Advisories) sont compatibles avec le CVE (référez-vous aux renvois croisés) et Debian est représentée dans le comité du projet « Open Vulnerability Assessment Language ».
Garder un système Debian sûr
Pour obtenir les dernières informations de sécurité de Debian, abonnez-vous à la liste de diffusion (en anglais) debian-security-announce.
Il est pratique d'utiliser apt pour récupérer les mises à jour relatives à la sécurité. Cela nécessite une ligne telle que :
deb http://security.debian.org/ squeeze/updates main contrib non-free
dans votre fichier /etc/apt/sources.list.
exécutez ensuite
apt-get update && apt-get upgrade
pour télécharger et installer les mises à jour en attente.
Pour plus d'information au sujet de la sécurité dans Debian, lisez la FAQ de l'équipe en charge de la sécurité et le manuel appelé manuel pour sécuriser Debian.
Annonces récentes
Ces pages web contiennent une archive condensée des annonces de sécurité qui sont postées sur la liste de diffusion debian-security-announce.
[13 février 2012] DSA-2408 php5 - Plusieurs vulnérabilités
[9 février 2012] DSA-2407 cvs - Dépassement de zone de mémoire du système
[9 février 2012] DSA-2406 icedove - Plusieurs vulnérabilités
[6 février 2012] DSA-2405 apache2 - Plusieurs vulnérabilités
[6 février 2012] DSA-2403 php5 - Injection de code
[5 février 2012] DSA-2404 xen-qemu-dm-4.0 - Dépassement de tampon
[4 février 2012] DSA-2384 cacti - Plusieurs vulnérabilités
[2 février 2012] DSA-2402 iceape - Plusieurs vulnérabilités
[2 février 2012] DSA-2401 tomcat6 - Plusieurs vulnérabilités
[2 février 2012] DSA-2400 iceweasel - Plusieurs vulnérabilités
[31 janvier 2012] DSA-2399 php5 - Plusieurs vulnérabilités
[30 janvier 2012] DSA-2398 curl - Plusieurs vulnérabilités
[29 janvier 2012] DSA-2397 icu - Dépassement de tampon par le bas
[27 janvier 2012] DSA-2396 qemu-kvm - Dépassement de tampon par le bas
[27 janvier 2012] DSA-2395 wireshark - Dépassement de tampon par le bas
[27 janvier 2012] DSA-2394 libxml2 - Plusieurs vulnérabilités
[25 janvier 2012] DSA-2393 bip - Dépassement de tampon
[23 janvier 2012] DSA-2392 openssl - Lecture hors limites
[23 janvier 2012] DSA-2301 rails - Plusieurs vulnérabilités
[22 janvier 2012] DSA-2391 phpmyadmin - Plusieurs vulnérabilités
[15 janvier 2012] DSA-2390 openssl - Plusieurs vulnérabilités
[15 janvier 2012] DSA-2389 linux-2.6 - Augmentation de droits, déni de service, fuite d'informations
Les dernières informations de sécurité sont aussi disponibles au format RDF. Nous vous permettons également d'avoir un second fichier qui contient le premier paragraphe de l'alerte en question. Ainsi vous pourrez savoir de quoi traite le bulletin d'alerte.
Les annonces de sécurité plus anciennes sont également disponibles : 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003, 2002, 2001, 2000, 1999, 1997 et annonces de sécurités non datées, conservées pour la postérité.
Les distributions Debian ne sont pas vulnérables à tous les problèmes de sécurité. Le Debian Security Tracker collecte toutes les informations à propos de l'état de vulnérabilité des paquets Debian et permet d'effectuer des recherches par référence CVE ou par paquet.
Contacts
Veuillez lire la FAQ de l'équipe en charge de la sécurité avant de nous contacter, vos questions pourraient peut-être d'ores et déjà y trouver réponse !
Les informations nécessaires pour prendre contact se trouvent également dans la FAQ.