Skip to content

Commit c0a590f

Browse files
hsbthsbt
authored
Merge pull request #2778 from vurtn/november-2021-to-december-2021
Translation of the latest news (fr)
2 parents 130db11 + 45eda43 commit c0a590f

7 files changed

+525
-0
lines changed

‎fr/news/_posts/2021-11-15-date-parsing-method-regexp-dos-cve-2021-41817.md

Lines changed: 36 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,36 @@
1+
---
2+
layout: news_post
3+
title: "CVE-2021-41817: Vulnérabilité de déni de service d'expression régulière (ReDoS) sur les méthodes d'analyse de date"
4+
author: "mame"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-15 08:00:00 +0000
7+
tags: security
8+
lang: fr
9+
---
10+
11+
Nous avons publié les versions 3.2.1, 3.1.2, 3.0.2 et 2.0.1 de la gemme date qui incluent un correctif de sécurité pour une vulnérabilité de déni de service d'expression régulière (ReDoS) sur les méthodes d'analyse de date. Un attaquant peut exploiter cette vulnérabilité pour provoquer une attaque DoS efficace. Cette vulnérabilité a reçu l'identifiant CVE [CVE-2021-41817](https://nvd.nist.gov/vuln/detail/CVE-2021-41817).
12+
13+
## Détails
14+
15+
Les méthodes d'analyse de date, y compris `Date.parse`, utilisent des expressions régulières en interne, dont certaines sont vulnérables au déni de service d'expression régulière (ReDoS). Les applications et bibliothèques qui utilisent de telles méthodes à des entrées non fiables peuvent être affectées.
16+
17+
Le correctif limite la longueur d'entrée jusqu'à 128 octets par défaut au lieu de modifier les expressions régulières. La raison est que la gemme Date utilise de nombreuses expressions régulières donc il existe peut-être des expressions régulières vulnérables non découvertes. Pour des raisons de compatibilité, il est permis de supprimer la limitation en passant explicitement le mots-clé `limit` à `nil` comme `Date.parse(str, limit: nil)`, mais notez que l'analyse peut prendre beaucoup de temps.
18+
19+
Veuillez mettre à jour la gemme de date vers la version 3.2.1, 3.1.2, 3.0.2, 2.0.1 ou ultérieure. Vous pouvez utiliser `gem update date` pour la mettre à jour. Si vous utilisez bundler, veuillez ajouter `gem "date", ">= 3.2.1"` à votre `Gemfile`.
20+
Vous pouvez également mettre à jour Ruby vers la version 3.0.3, 2.7.5, 2.6.9 ou ultérieure.
21+
22+
## Versions concernées
23+
24+
* Gemme date 2.0.0 ou antérieure (qui sont des versions inclusent dans la branche Ruby 2.6 avant la version Ruby 2.6.9)
25+
* Gemme date 3.0.1 ou antérieure (qui sont des versions inclusent dans la branche Ruby 2.7 avant la version Ruby 2.7.5)
26+
* Gemme date 3.1.1 ou antérieure (qui sont des versions inclusent dans la branche Ruby 3.0 avant la version Ruby 3.0.3)
27+
* Gemme date 3.2.0 ou antérieure
28+
29+
## Remerciements
30+
31+
Merci à [svalkanov](https://github.com/SValkanov/) pour la découverte de ce problème.
32+
33+
## Historique
34+
35+
* Paru initialement le 2021-11-15 08:00:00 (UTC)
36+
* Mention concernant les nouvelles versions de Ruby le 2021-11-24 13:20:00 (UTC)

‎fr/news/_posts/2021-11-24-buffer-overrun-in-cgi-escape_html-cve-2021-41816.md

Lines changed: 35 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,35 @@
1+
---
2+
layout: news_post
3+
title: "CVE-2021-41816: Dépassement de la mémoire tampon dans CGI.escape_html"
4+
author: "mame"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-24 12:00:00 +0000
7+
tags: security
8+
lang: fr
9+
---
10+
11+
Une vulnérabilité de dépassement de mémoire tampon a été découverte dans CGI.escape_html. Cette vulnérabilité a reçu l'identifiant CVE [CVE-2021-41816](https://nvd.nist.gov/vuln/detail/CVE-2021-41816).
12+
Nous vous recommandons fortement de mettre à jour Ruby.
13+
14+
## Détails
15+
16+
Cette vulnérabilité de sécurité provoque un débordement de la mémoire tampon lorsque vous transmettez une très grande chaîne de caractères (> 700 Mo) à `CGI.escape_html` sur une plate-forme où le type `long` prend 4 octets, généralement Windows.
17+
18+
Veuillez mettre à jour la gemme cgi vers la version 0.3.1, 0.2.1, 0.1.1 ou ultérieure. Vous pouvez utiliser `gem update cgi` pour la mettre à jour. Si vous utilisez bundler, veuillez ajouter `gem "cgi", ">= 0.3.1"` à votre `Gemfile`.
19+
Vous pouvez également mettre à jour Ruby vers la version 2.7.5 ou 3.0.3.
20+
21+
Ce problème a été introduit depuis Ruby 2.7, donc la version cgi fournie avec Ruby 2.6 n'est pas vulnérable.
22+
23+
## Versions concernées
24+
25+
* Gemme cgi 0.1.0 ou antérieure (qui sont des versions inclusent dans la branche Ruby 2.7 avant la version Ruby 2.7.5)
26+
* Gemme cgi 0.2.0 ou antérieure (qui sont des versions inclusent dans la branche Ruby 3.0 avant la version Ruby 3.0.3)
27+
* Gemme cgi 0.3.0 ou antérieure
28+
29+
## Remerciements
30+
31+
Merci à [chamal](https://hackerone.com/chamal) pour la découverte de ce problème.
32+
33+
## Historique
34+
35+
* Paru initialement le 2021-11-24 12:00:00 (UTC)

‎fr/news/_posts/2021-11-24-cookie-prefix-spoofing-in-cgi-cookie-parse-cve-2021-41819.md

Lines changed: 44 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,44 @@
1+
---
2+
layout: news_post
3+
title: "CVE-2021-41819: Usurpation de préfixes de cookie dans CGI::Cookie.parse"
4+
author: "mame"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-24 12:00:00 +0000
7+
tags: security
8+
lang: fr
9+
---
10+
11+
Une vulnérabilité d'usurpation de préfixes de cookie a été découverte dans CGI::Cookie.parse. Cette vulnérabilité a reçu l'identifiant CVE [CVE-2021-41819](https://nvd.nist.gov/vuln/detail/CVE-2021-41819).
12+
Nous vous recommandons fortement de mettre à jour Ruby.
13+
14+
## Détails
15+
16+
Les anciennes versions de `CGI::Cookie.parse` appliquent le décodage d'URL aux noms de cookies. Un attaquant pourrait exploiter cette vulnérabilité pour usurper les préfixes de sécurité dans les noms de cookies, ce qui pourrait tromper une application vulnérable.
17+
18+
Par ce correctif, `CGI::Cookie.parse` ne décode plus les noms de cookies. Notez qu'il s'agit d'une incompatibilité si les noms de cookies que vous utilisez incluent des caractères non alphanumériques URL encodés.
19+
20+
C'est le même problème que [CVE-2020-8184](https://nvd.nist.gov/vuln/detail/CVE-2020-8184).
21+
22+
Si vous utilisez Ruby 2.7 ou 3.0 :
23+
24+
* Veuillez mettre à jour la gemme cgi vers la version 0.3.1, 0.2.1, 0.1.1 ou ultérieure. Vous pouvez utiliser `gem update cgi` pour la mettre à jour. Si vous utilisez bundler, veuillez ajouter `gem "cgi", ">= 0.3.1"` à votre `Gemfile`.
25+
* Vous pouvez également mettre à jour Ruby vers la version 2.7.5 ou 3.0.3.
26+
27+
Si vous utilisez Ruby 2.6 :
28+
29+
* Veuillez mettre à jour Ruby vers la version 2.6.9. *Vous ne pouvez pas utiliser `gem update cgi` pour Ruby 2.6 ou antérieur.*
30+
31+
## Versions concernées
32+
33+
* Ruby 2.6.8 ou antérieure (Vous *ne pouvez pas* utiliser `gem update cgi` pour cette version.)
34+
* Gemme cgi 0.1.0 ou antérieure (qui sont des versions inclusent dans la branche Ruby 2.7 avant la version Ruby 2.7.5)
35+
* Gemme cgi 0.2.0 ou antérieure (qui sont des versions inclusent dans la branche Ruby 3.0 avant la version Ruby 3.0.3)
36+
* Gemme cgi 0.3.0 ou antérieure
37+
38+
## Remerciements
39+
40+
Merci à [ooooooo_q](https://hackerone.com/ooooooo_q) pour la découverte de ce problème.
41+
42+
## Historique
43+
44+
* Paru initialement le 2021-11-24 12:00:00 (UTC)

‎fr/news/_posts/2021-11-24-ruby-2-6-9-released.md

Lines changed: 57 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,57 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 2.6.9 est disponible"
4+
author: "usa"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-24 12:00:00 +0000
7+
lang: fr
8+
---
9+
10+
Ruby 2.6.9 est disponible.
11+
12+
Cette version contient des corrections concernant des problèmes de sécurité.
13+
Merci de regarder les sujets suivants pour plus de détails.
14+
15+
* [CVE-2021-41817: Vulnérabilité de déni de service d'expression régulière (ReDoS) sur les méthodes d'analyse de date]({%link fr/news/_posts/2021-11-15-date-parsing-method-regexp-dos-cve-2021-41817.md %})
16+
* [CVE-2021-41819: Usurpation de préfixes de cookie dans CGI::Cookie.parse]({%link fr/news/_posts/2021-11-24-cookie-prefix-spoofing-in-cgi-cookie-parse-cve-2021-41819.md %})
17+
18+
Voir les [logs de commit](https://github.com/ruby/ruby/compare/v2_6_8...v2_6_9) pour de plus amples informations.
19+
20+
Ruby 2.6 se trouve dans la phase de maintenance de sécurité jusqu'à la fin mars 2022. Après cette date, la branche 2.6 de Ruby ne sera alors plus officiellement supportée.
21+
Nous vous recommandons donc de passer sur de nouvelles versions de Ruby comme la 3.0 ou 2.7.
22+
23+
## Téléchargement
24+
25+
{% assign release = site.data.releases | where: "version", "2.6.9" | first %}
26+
27+
* <{{ release.url.bz2 }}>
28+
29+
SIZE: {{ release.size.bz2 }}
30+
SHA1: {{ release.sha1.bz2 }}
31+
SHA256: {{ release.sha256.bz2 }}
32+
SHA512: {{ release.sha512.bz2 }}
33+
34+
* <{{ release.url.gz }}>
35+
36+
SIZE: {{ release.size.gz }}
37+
SHA1: {{ release.sha1.gz }}
38+
SHA256: {{ release.sha256.gz }}
39+
SHA512: {{ release.sha512.gz }}
40+
41+
* <{{ release.url.xz }}>
42+
43+
SIZE: {{ release.size.xz }}
44+
SHA1: {{ release.sha1.xz }}
45+
SHA256: {{ release.sha256.xz }}
46+
SHA512: {{ release.sha512.xz }}
47+
48+
* <{{ release.url.zip }}>
49+
50+
SIZE: {{ release.size.zip }}
51+
SHA1: {{ release.sha1.zip }}
52+
SHA256: {{ release.sha256.zip }}
53+
SHA512: {{ release.sha512.zip }}
54+
55+
## Commentaire de version
56+
57+
Merci aux contributeurs, développeurs et utilisateurs qui, en reportant les bugs, nous ont permis de sortir cette version.

‎fr/news/_posts/2021-11-24-ruby-2-7-5-released.md

Lines changed: 57 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,57 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 2.7.5 est disponible"
4+
author: "usa"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-24 12:00:00 +0000
7+
lang: fr
8+
---
9+
10+
Ruby 2.7.5 est disponible.
11+
12+
Cette version contient des corrections concernant des problèmes de sécurité.
13+
Merci de regarder les sujets suivants pour plus de détails.
14+
15+
* [CVE-2021-41817: Vulnérabilité de déni de service d'expression régulière (ReDoS) sur les méthodes d'analyse de date]({%link fr/news/_posts/2021-11-15-date-parsing-method-regexp-dos-cve-2021-41817.md %})
16+
* [CVE-2021-41816: Dépassement de la mémoire tampon dans CGI.escape_html]({%link fr/news/_posts/2021-11-24-buffer-overrun-in-cgi-escape_html-cve-2021-41816.md %})
17+
* [CVE-2021-41819: Usurpation de préfixes de cookie dans CGI::Cookie.parse]({%link fr/news/_posts/2021-11-24-cookie-prefix-spoofing-in-cgi-cookie-parse-cve-2021-41819.md %})
18+
19+
Voir les [logs de commit](https://github.com/ruby/ruby/compare/v2_7_4...v2_7_5) pour de plus amples informations.
20+
21+
## Téléchargement
22+
23+
{% assign release = site.data.releases | where: "version", "2.7.5" | first %}
24+
25+
* <{{ release.url.bz2 }}>
26+
27+
SIZE: {{ release.size.bz2 }}
28+
SHA1: {{ release.sha1.bz2 }}
29+
SHA256: {{ release.sha256.bz2 }}
30+
SHA512: {{ release.sha512.bz2 }}
31+
32+
* <{{ release.url.gz }}>
33+
34+
SIZE: {{ release.size.gz }}
35+
SHA1: {{ release.sha1.gz }}
36+
SHA256: {{ release.sha256.gz }}
37+
SHA512: {{ release.sha512.gz }}
38+
39+
* <{{ release.url.xz }}>
40+
41+
SIZE: {{ release.size.xz }}
42+
SHA1: {{ release.sha1.xz }}
43+
SHA256: {{ release.sha256.xz }}
44+
SHA512: {{ release.sha512.xz }}
45+
46+
* <{{ release.url.zip }}>
47+
48+
SIZE: {{ release.size.zip }}
49+
SHA1: {{ release.sha1.zip }}
50+
SHA256: {{ release.sha256.zip }}
51+
SHA512: {{ release.sha512.zip }}
52+
53+
## Commentaire de version
54+
55+
Merci aux contributeurs, développeurs et utilisateurs qui, en reportant les bugs, nous ont permis de sortir cette version.
56+
57+
La maintenance de Ruby 2.7, incluant cette version, est basée sur l' "Agreement for the Ruby stable version" de la Ruby Association.

‎fr/news/_posts/2021-11-24-ruby-3-0-3-released.md

Lines changed: 48 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,48 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 3.0.3 est disponible"
4+
author: "nagachika"
5+
translator: "Kevin Rosaz"
6+
date: 2021-11-24 12:00:00 +0000
7+
lang: fr
8+
---
9+
10+
Ruby 3.0.3 est disponible.
11+
12+
Cette version contient des corrections concernant des problèmes de sécurité.
13+
Merci de regarder les sujets suivants pour plus de détails.
14+
15+
* [CVE-2021-41817: Vulnérabilité de déni de service d'expression régulière (ReDoS) sur les méthodes d'analyse de date]({%link fr/news/_posts/2021-11-15-date-parsing-method-regexp-dos-cve-2021-41817.md %})
16+
* [CVE-2021-41816: Dépassement de la mémoire tampon dans CGI.escape_html]({%link fr/news/_posts/2021-11-24-buffer-overrun-in-cgi-escape_html-cve-2021-41816.md %})
17+
* [CVE-2021-41819: Usurpation de préfixes de cookie dans CGI::Cookie.parse]({%link fr/news/_posts/2021-11-24-cookie-prefix-spoofing-in-cgi-cookie-parse-cve-2021-41819.md %})
18+
19+
Voir les [logs de commit](https://github.com/ruby/ruby/compare/v3_0_2...v3_0_3) pour de plus amples informations.
20+
21+
## Téléchargement
22+
23+
{% assign release = site.data.releases | where: "version", "3.0.3" | first %}
24+
25+
* <{{ release.url.gz }}>
26+
27+
SIZE: {{ release.size.gz }}
28+
SHA1: {{ release.sha1.gz }}
29+
SHA256: {{ release.sha256.gz }}
30+
SHA512: {{ release.sha512.gz }}
31+
32+
* <{{ release.url.xz }}>
33+
34+
SIZE: {{ release.size.xz }}
35+
SHA1: {{ release.sha1.xz }}
36+
SHA256: {{ release.sha256.xz }}
37+
SHA512: {{ release.sha512.xz }}
38+
39+
* <{{ release.url.zip }}>
40+
41+
SIZE: {{ release.size.zip }}
42+
SHA1: {{ release.sha1.zip }}
43+
SHA256: {{ release.sha256.zip }}
44+
SHA512: {{ release.sha512.zip }}
45+
46+
## Commentaire de version
47+
48+
Merci aux contributeurs, développeurs et utilisateurs qui, en reportant les bugs, nous ont permis de sortir cette version.

0 commit comments

Comments
 (0)