Bulletin d'alerte Debian

DLA-2593-1 ca-certificates -- Mise à jour de sécurité pour LTS

Date du rapport :
14 mars 2021
Paquets concernés :
ca-certificates
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 962596.
Plus de précisions :

Cette mise à jour rétablit la liste noire de Symantec CA (originellement du bogue n° 911289). Les certificats racine suivants ont été rajoutés (+) :

  • + GeoTrust Global CA
  • + GeoTrust Primary Certification Authority
  • + GeoTrust Primary Certification Authority - G2
  • + GeoTrust Primary Certification Authority - G3
  • + GeoTrust Universal CA
  • + thawte Primary Root CA
  • + thawte Primary Root CA – G2
  • + thawte Primary Root CA – G3
  • + VeriSign Class 3 Public Primary Certification Authority – G4
  • + VeriSign Class 3 Public Primary Certification Authority – G5
  • + VeriSign Universal Root Certification Authority

Remarque : à cause du bogue n° 743339, les certificats CA rajoutés dans cette version ne seront pas automatiquement acceptés de nouveau lors d’une mise à niveau. Les utilisateurs affectés devront peut être reconfigurer le paquet pour retrouver l’état désiré.

Pour Debian 9 Stretch, ce problème a été corrigé dans la version 20200601~deb9u2.

Nous vous recommandons de mettre à jour vos paquets ca-certificates.

Pour disposer d'un état détaillé sur la sécurité de ca-certificates, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/ca-certificates.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.