Comment puis-je savoir si un CVE a été corrigé dans les dépôts d'Ubuntu ?

Bien que la réponse acceptée soit correcte, je constate souvent que je peux trouver cette information en consultant le journal des modifications d'un paquet, ce qui est plus facile que de parcourir les trackers CVE ou la liste des notifications de sécurité. Par exemple :

sudo apt-get update
apt-get changelog ntp

La sortie de la commande ci-dessus comprend :

...
ntp (1:4.2.6.p5+dfsg-3ubuntu3) vivid; urgency=medium

  * SECURITY UPDATE: weak default key in config_auth()
    - debian/patches/CVE-2014-9293.patch: use openssl for random key in
      ntpd/ntp_config.c, ntpd/ntpd.c.
    - CVE-2014-9293
  * SECURITY UPDATE: non-cryptographic random number generator with weak
    seed used by ntp-keygen to generate symmetric keys
    - debian/patches/CVE-2014-9294.patch: use openssl for random key in
      include/ntp_random.h, libntp/ntp_random.c, util/ntp-keygen.c.
    - CVE-2014-9294
  * SECURITY UPDATE: buffer overflows in crypto_recv(), ctl_putdata(), configure()
    - debian/patches/CVE-2014-9295.patch: check lengths in
      ntpd/ntp_control.c, ntpd/ntp_crypto.c.
    - CVE-2014-9295
  * SECURITY UPDATE: missing return on error in receive()
    - debian/patches/CVE-2015-9296.patch: add missing return in
      ntpd/ntp_proto.c.
    - CVE-2014-9296

 -- Marc Deslauriers <marc.deslauriers@ubuntu.com>  Sat, 20 Dec 2014 05:47:10 -0500
...

Ce qui montre clairement que les bogues que vous avez mentionnés ont été corrigés dans les dépôts ubuntu. Vous pouvez alors exécuter :

sudo apt-get upgrade

pour faire tomber la réparation.

Je pense que vous parlez de vérifier le changelog d'un paquet ? Pour voir ce qu'il y a de nouveau, les principales corrections, etc. Synaptic a un moyen facile d'essayer et de télécharger les changelogs.

Si le journal des modifications n'est pas disponible ou est trop bref, le meilleur moyen est de noter la version disponible et de se rendre sur le site Web du développeur pour voir les modifications plus détaillées.

Si vous exécutez ces commandes, vous obtiendrez tous les correctifs qui sont dans les référentiels -- mais ils ne le sont peut-être pas encore. Si vous avez activé Update Notifier (un widget de la barre d'état système), vous recevrez une notification chaque fois qu'il y aura des mises à jour du système ou de sécurité (et les mises à jour de sécurité seront indiquées comme telles). Vous obtiendrez alors les correctifs dès qu'ils seront disponibles pour Ubuntu, sans avoir à vous en préoccuper.