Bulletin d'alerte Debian

DLA-2527-1 snapd -- Mise à jour de sécurité pour LTS

Date du rapport :

18 janvier 2021

Paquets concernés :

snapd

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2019-11840.

Plus de précisions :

golang-go.crypto a été récemment mis à jour avec un correctif pour CVE-2019-11840. En conséquence, cela requiert que tous les paquets utilisant le code affecté soient recompilés pour intégrer le correctif de sécurité.

CVE-2019-11840
Un problème a été découvert dans les bibliothèques Go additionnelles de chiffrement, c'est-à-dire, golang-googlecode-go-crypto. Si plus de 256 GiB de séquence de clé ou si par ailleurs le compteur dépasse 32 bits, l’implémentation de amd64 générera d’abord une sortie incorrecte et puis reviendra à la séquence de clé générée précédemment. Des octets répétés de séquence de clé peuvent conduire à une perte de confidentialité dans les applications de chiffrement ou à une prévisibilité dans les applications de chiffrement pseudo-aléatoire (CSPRNG).

Pour Debian 9 Stretch, ce problème a été corrigé dans la version 2.21-2+deb9u1.

Nous vous recommandons de mettre à jour vos paquets snapd.

Pour disposer d'un état détaillé sur la sécurité de snapd, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/snapd.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.