Bulletin d'alerte Debian

DLA-2374-1 gnome-shell -- Mise à jour de sécurité pour LTS

Date du rapport :

15 septembre 2020

Paquets concernés :

gnome-shell

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-17489.

Plus de précisions :

Il a été découvert qu’il existait un problème concernant la divulgation du mot de passe dans le composant gnome-shell du bureau GNOME.

Dans certaines configurations, lors de la déconnexion d’un compte, la boîte de dialogue de saisie de mot de passe de connexion pourrait réapparaître avec le mot de passe visible en texte non dissimulé.

CVE-2020-17489
Un problème a été découvert dans certaines configurations de GNOME gnome-shell jusqu’à la version 3.36.4. Lors de la déconnexion d’un compte, la boîte de dialogue de saisie de mot de passe de connexion pourrait réapparaître avec le mot de passe encore lisible. Si l’utilisateur avait décidé d’afficher le mot de passe de manière non dissimulée lors de la connexion, il est alors visible pendant un bref moment lors d’une déconnexion. (Si le mot de passe n’était jamais montré en texte lisible, seule la longueur du mot de passe est révélée.)

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 3.22.3-3+deb9u1.

Nous vous recommandons de mettre à jour vos paquets gnome-shell.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.