Informations de sécurité

Debian prend les questions de sécurité très au sérieux. Nous traitons tous les problèmes de sécurité qui sont portés à notre attention et nous nous assurons qu'ils sont corrigés avec un délai raisonnable. De nombreuses annonces de sécurité sont gérées en coordination avec les autres distributeurs de logiciel libre, et sont publiées le même jour que la vulnérabilité associée. L'équipe d'audit de sécurité est chargée d'inspecter l'archive à la recherche de bogues de sécurité nouveaux ou non corrigés.

L'expérience a montré que la sécurité par le secret ne fonctionne pas. Une diffusion publique des problèmes de sécurité apporte plus rapidement des solutions meilleures. Dans cet esprit, cette page indique l'état de Debian sur différents trous de sécurité connus, qui pourraient potentiellement affecter Debian.

Debian participe aussi aux efforts de standardisation de sécurité : les annonces de sécurité Debian (Debian Security Advisories) sont compatibles avec le CVE (référez-vous aux renvois croisés) et Debian est représentée dans le comité du projet « Open Vulnerability Assessment Language ».

Garder un système Debian sûr

Pour obtenir les dernières informations de sécurité de Debian, abonnez-vous à la liste de diffusion (en anglais) debian-security-announce.

Il est pratique d'utiliser apt pour récupérer les mises à jour relatives à la sécurité. Cela nécessite une ligne telle que :

deb http://security.debian.org/ lenny/updates main contrib non-free

dans votre fichier /etc/apt/sources.list.

Pour plus d'information au sujet de la sécurité dans Debian, lisez la FAQ de l'équipe en charge de la sécurité et le manuel appelé manuel pour sécuriser Debian.

Annonces récentes

Ces pages web contiennent une archive condensée des annonces de sécurité qui sont postées sur la liste de diffusion debian-security-announce.

[7 novembre 2009] DSA-1930 drupal6
several vulnerabilities
[5 novembre 2009] DSA-1929 linux-2.6
privilege escalation/denial of service/sensitive memory leak
[5 novembre 2009] DSA-1928 linux-2.6.24
privilege escalation/denial of service/sensitive memory leak
[5 novembre 2009] DSA-1927 linux-2.6
privilege escalation/denial of service/sensitive memory leak
[4 novembre 2009] DSA-1926 typo3-src
several vulnerabilities
[31 octobre 2009] DSA-1925 proftpd-dfsg
insufficient input validation
[31 octobre 2009] DSA-1924 mahara
several vulnerabilities
[28 octobre 2009] DSA-1922 xulrunner
several vulnerabilities
[28 octobre 2009] DSA-1921 expat
denial of service
[27 octobre 2009] DSA-1923 libhtml-parser-perl
denial of service
[26 octobre 2009] DSA-1920 nginx
denial of service
[25 octobre 2009] DSA-1919 smarty
several vulnerabilities
[25 octobre 2009] DSA-1918 phpmyadmin
several vulnerabilities
[24 octobre 2009] DSA-1917 mimetex
several vulnerabilities
[23 octobre 2009] DSA-1916 kdelibs
insufficient input validation
[22 octobre 2009] DSA-1915 linux-2.6
privilege escalation/denial of service/sensitive memory leak
[22 octobre 2009] DSA-1914 mapserver
several vulnerabilities
[17 octobre 2009] DSA-1913 bugzilla
SQL injection vulnerability
[16 octobre 2009] DSA-1912 camlimages
integer overflow
[14 octobre 2009] DSA-1911 pygresql
missing escape function
[14 octobre 2009] DSA-1910 mysql-ocaml
missing escape function
[14 octobre 2009] DSA-1909 postgresql-ocaml
missing escape function
[14 octobre 2009] DSA-1908 samba
several vulnerabilities
[13 octobre 2009] DSA-1907 kvm
several vulnerabilities
[11 octobre 2009] DSA-1906 clamav
End-of-life announcement for clamav in stable and oldstable
[10 octobre 2009] DSA-1905 python-django
insufficient input validation
[9 octobre 2009] DSA-1904 wget
insufficient input validation

Les dernières informations de sécurité sont aussi disponibles au format RDF. Nous vous permettons également d'avoir un second fichier qui contient le premier paragraphe de l'alerte en question. Ainsi vous pourrez savoir de quoi traite le bulletin d'alerte.

Les annonces de sécurité plus anciennes sont également disponibles :

Les distributions Debian ne sont pas vulnérables à tous les problèmes de sécurité. Le Debian Security Tracker collecte toutes les informations à propos de l'état de vulnérabilité des paquets Debian et permet d'effectuer des recherches par référence CVE ou par paquet.

Contacts

Veuillez lire la FAQ de l'équipe en charge de la sécurité avant de nous contacter, vos questions pourraient peut-être d'ores et déjà y trouver réponse !

Les informations nécessaires pour prendre contact se trouvent également dans la FAQ.