Comme plusieurs systèmes d'exploitation destinés à la production, FreeBSD publie des
``Avis de sécurité''. Ces avis sont généralement envoyés aux listes de diffusion traitant
de la sécurité et ajoutés dans l'errata une fois seulement que les versions
correspondantes ont été corrigées. Cette section aura pour objectif d'expliquer ce qu'est
un avis, comment le comprendre, et quelles mesures sont à prendre pour appliquer des
correctifs à un système.
Les avis de sécurité de FreeBSD ressemblent à celui présenté ci-dessous qui provient
de la liste de diffusion freebsd-security-notifications.
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
FreeBSD only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.freebsd.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. References

- Le champ Topic indique exactement quel est le problème.
C'est basiquement une introduction à l'avis de sécurité en tant que tel et mentionne
l'utilitaire contenant la vulnérabilité.

- Le champ Category fait référence à la partie du système
affectée qui peut être une parmi core, contrib, ou ports. La catégorie core signifie que la vulnérabilité affecte un composant système du système
d'exploitation FreeBSD. La catégorie contrib précise que la
vulnérabilité affecte du logiciel contribué au projet FreeBSD, comme sendmail. Et enfin la catégorie ports indique
que la vulnérabilité affecte un logiciel du catalogue des logiciels portés.

- Le champ Module fait référence à l'emplacement du composant,
par exemple sys. Dans notre exemple, nous voyons que le module
sys est affecté, par conséquent, cette vulnérabilité concerne un
composant utilisé dans le noyau.

- Le champ Announced reflète la date à laquelle l'avis de
sécurité a été publié, ou annoncé au monde entier. Cela signifie que l'équipe de sécurité
a vérifié que le problème existait vraiment et qu'un correctif a été ajouté au
référentiel des sources de FreeBSD.

- Le champ Credits donne le crédit de la découverte du
problème à la personne ou l'organisation qui a constaté et rapporté le problème.

- Le champ Affects explique quelles versions de FreeBSD sont
affectées par cette vulnérabilité. Pour le noyau, un coup d'oeil rapide à la sortie de la
commande ident sur les fichiers affectés aidera à déterminer la
révision. Pour les logiciels portés, le numéro de version est listé après le nom du
logiciel dans /var/db/pkg. Si le système ne se synchronise pas
avec le référentiel CVS FreeBSD et ne
recompile pas les sources quotidiennement, il y a des chances qu'il soit affecté par le
problème.

- Le champ Corrected indique la date, l'heure, le fuseau
horaire, et la version de publication qui a été corrigée.

- Le champ FreeBSD only précise si cette vulnérabilité affecte
juste FreeBSD, ou si elle concerne d'autres systèmes d'exploitation également.

- Le champ Background donne une information précise sur ce
qu'est l'utilitaire affecté. La plupart du temps, ce champ indique pourquoi l'utilitaire
existe sous FreeBSD, son rôle, et quelques informations sur la naissance de
l'utilitaire.

- Le champ Problem Description explique en profondeur le
problème de sécurité. Cela peut comprendre des informations sur le code défectueux, ou
même comment l'utilitaire pourrait être utilisé pour ouvrir un faille de sécurité.

- Le champ Impact décrit l'impact sur le système du problème
de sécurité. Par exemple, cela peut aller de l'attaque par refus de service, au gain de
droits supplémentaires par les utilisateurs, en passant par l'obtention des droits de
super-utilisateur par l'attaquant.

- Le champ Workaround offre une solution de contournement
possible pour les administrateurs qui ne sont pas en mesure de mettre à jour le système.
Cela pouvant être due à des contraintes de temps, à une disponibilité réseau, ou une tout
autre raison. Cependant, la sécurité ne devrait pas être prise à la légère, et un système
affecté devrait soit être corrigé soit implémenter une solution de contournement du
problème de sécurité.

- Le champ Solution donne les instructions sur l'application
de correctifs sur le système affecté. C'est une méthode pas à pas vérifiée et testée pour
obtenir un système corrigé et fonctionnant de manière sécurisée.

- Le champ Correction Details liste la branche CVS ou la version de publication avec les points remplacés
par des caractères souligné. Il donne également le numéro de révision des fichiers
affectés sur chaque branche.

- Le champ References donne en général d'autres sources
d'informations. Cela peut être des URLs web,
des ouvrages, des listes de diffusions, et des forums de discussion.