Comme plusieurs systèmes d'exploitation destinés à la production, FreeBSD publie des
``Avis de sécurité''. Ces avis sont généralement envoyés aux listes de diffusion traitant
de la sécurité et ajoutés dans l'errata une fois seulement que les versions
correspondantes ont été corrigées. Cette section aura pour objectif d'expliquer ce qu'est
un avis, comment le comprendre, et quelles mesures sont à prendre pour appliquer des
correctifs à un système.
Les avis de sécurité de FreeBSD ressemblent à celui présenté ci-dessous qui provient
de la liste de diffusion freebsd-security-notifications.
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
FreeBSD only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.freebsd.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. References

- Le champ Topic indique exactement quel est le problème.
C'est basiquement une introduction à l'avis de sécurité en tant que tel et mentionne
l'utilitaire contenant la vulnérabilité.

- Le champ Category fait référence à la partie du système
affectée qui peut être une parmi core, contrib, ou ports. La catégorie core signifie que la vulnérabilité affecte un composant système du
système d'exploitation FreeBSD. La catégorie contrib précise
que la vulnérabilité affecte du logiciel contribué au projet FreeBSD, comme sendmail. Et enfin la catégorie ports
indique que la vulnérabilité affecte un logiciel du catalogue des logiciels
portés.

- Le champ Module fait référence à l'emplacement du
composant, par exemple sys. Dans notre exemple, nous voyons
que le module sys est affecté, par conséquent, cette
vulnérabilité concerne un composant utilisé dans le noyau.

- Le champ Announced reflète la date à laquelle l'avis de
sécurité a été publié, ou annoncé au monde entier. Cela signifie que l'équipe de
sécurité a vérifié que le problème existait vraiment et qu'un correctif a été ajouté
au référentiel des sources de FreeBSD.

- Le champ Credits donne le crédit de la découverte du
problème à la personne ou l'organisation qui a constaté et rapporté le problème.

- Le champ Affects explique quelles versions de FreeBSD sont
affectées par cette vulnérabilité. Pour le noyau, un coup d'oeil rapide à la sortie
de la commande ident sur les fichiers affectés aidera à
déterminer la révision. Pour les logiciels portés, le numéro de version est listé
après le nom du logiciel dans /var/db/pkg. Si le système ne
se synchronise pas avec le référentiel CVS
FreeBSD et ne recompile pas les sources quotidiennement, il y a des chances qu'il
soit affecté par le problème.

- Le champ Corrected indique la date, l'heure, le fuseau
horaire, et la version de publication qui a été corrigée.

- Le champ FreeBSD only précise si cette vulnérabilité
affecte juste FreeBSD, ou si elle concerne d'autres systèmes d'exploitation
également.

- Le champ Background donne une information précise sur ce
qu'est l'utilitaire affecté. La plupart du temps, ce champ indique pourquoi
l'utilitaire existe sous FreeBSD, son rôle, et quelques informations sur la naissance
de l'utilitaire.

- Le champ Problem Description explique en profondeur le
problème de sécurité. Cela peut comprendre des informations sur le code défectueux,
ou même comment l'utilitaire pourrait être utilisé pour ouvrir un faille de
sécurité.

- Le champ Impact décrit l'impact sur le système du problème
de sécurité. Par exemple, cela peut aller de l'attaque par refus de service, au gain
de droits supplémentaires par les utilisateurs, en passant par l'obtention des droits
de super-utilisateur par l'attaquant.

- Le champ Workaround offre une solution de contournement
possible pour les administrateurs qui ne sont pas en mesure de mettre à jour le
système. Cela pouvant être due à des contraintes de temps, à une disponibilité
réseau, ou une tout autre raison. Cependant, la sécurité ne devrait pas être prise à
la légère, et un système affecté devrait soit être corrigé soit implémenter une
solution de contournement du problème de sécurité.

- Le champ Solution donne les instructions sur l'application
de correctifs sur le système affecté. C'est une méthode pas à pas vérifiée et testée
pour obtenir un système corrigé et fonctionnant de manière sécurisée.

- Le champ Correction Details liste la branche
CVS ou la version de publication avec les
points remplacés par des caractères souligné. Il donne également le numéro de
révision des fichiers affectés sur chaque branche.

- Le champ References donne en général d'autres sources
d'informations. Cela peut être des URLs
web, des ouvrages, des listes de diffusions, et des forums de discussion.