------------------------------------------------------------------------ Projet Debian https://www.debian.org/ Publication de la mise à jour de Debian 10.3 pr...@debian.org 8 février 2020 https://www.debian.org/News/2020/20200208 ------------------------------------------------------------------------
Le projet Debian a l'honneur d'annoncer la troisième mise à jour de sa distribution stable Debian 10 (nom de code « Buster »). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de la version stable. Les annonces de sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document. Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour. Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour. De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels. Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse : https://www.debian.org/mirror/list Corrections de bogues divers ---------------------------- Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants : Paquet Raison alot Suppression des délais d'expiration des clés de l'ensemble de tests, corrigeant un échec de construction atril Correction d'erreur de segmentation quand aucun document n'est chargé ; correction de lecture de mémoire non initialisée [CVE-2019-11459] base-files Mise à jour pour cette version beagle Fourniture d'un script d'enveloppe plutôt que des liens symboliques vers les JAR, les rendant à nouveau opérationnels bgpdump Correction d'erreur de segmentation boost1.67 Correction d'un comportement indéfini menant au plantage de libboost-numpy brightd Comparaison réelle de la valeur lue à partir de /sys/class/power_supply/AC/ online avec « 0 » casacore-data-jplde Inclusion des tables jusqu'à 2040 clamav Nouvelle version amont ; correction d'un problème de déni de service [CVE-2019-15961] ; retrait de l'option ScanOnAccess, remplacée par clamonacc compactheader Nouvelle version amont compatible avec Thunderbird 68 console-common Correction d'une régression qui menait à ce que des fichiers ne soient pas inclus csh Correction d'erreur de segmentation sur la commande eval cups Correction de fuite de mémoire dans ppdOpen ; correction de la validation de la langue par défaut dans ippSetValuetag [CVE-2019-2228] cyrus-imapd Ajout du type BACKUP à cyrus-upgrade-db, corrigeant des problèmes de mise à niveau debian-edu-config Réglages du mandataire conservés sur le client si WPAD est inaccessible debian-installer Reconstruction avec proposed-updates ; adaptation de la création de mini.iso sur arm de telle sorte que l'amorçage réseau EFI fonctionne ; mise à jour de unstable à Buster de USE_UDEBS_FROM par défaut pour aider les utilisateurs à réaliser des constructions locales debian-installer-netboot-images Reconstruction avec proposed-updates debian-security-support Mise à jour de l’état de la prise en charge du suivi de sécurité de divers paquets debos Reconstruction avec golang-github-go-debos- fakemachine mis à jour dispmua Nouvelle version amont compatible avec Thunderbird 68 dkimpy Nouvelle version amont stable dkimpy-milter Correction de la gestion des privilèges au démarrage de telle sorte que les sockets Unix fonctionnement dpdk Nouvelle version amont stable e2fsprogs Correction d'un potentiel dépassement de pile par le bas dans e2fsck [CVE-2019- 5188] ; correction d'utilisation de mémoire après libération dans e2fsck fig2dev Chaînes de texte Fig v2 se terminant par de multiples ^A permises [CVE-2019-19555] ; rejet des grands types de flèches provoquant un dépassement d'entier [CVE-2019-19746] ; correction de divers plantages [CVE-2019-19797] freerdp2 Correction de la gestion de valeur de retour de realloc [CVE-2019-17177] freetds tds : assurance qu'UDT a varint réglé à 8 [CVE-2019-13508] git-lfs Correction de problèmes de construction avec les dernières versions de Go gnubg Augmentation de la taille des tampons statiques utilisés pour les messages de construction lors du démarrage du programme de sorte que la traduction en espagnol ne provoque pas de dépassement de tampon gnutls28 Correction de problèmes d'interopérabilité avec gnutls 2.x ; correction d'analyse de certificats utilisant RegisteredID gtk2-engines-murrine Correction de co-installabilité avec d'autres thèmes guile-2.2 Correction d'échec de construction libburn Correction de « la gravure multipiste de cdrskin était lente et bloquait après la piste 1 » libcgns Correction d'échec de construction sur ppc64el libimobiledevice Gestion correcte des écritures SSL partielles libmatroska Dépendance de la bibliothèque partagée haussée à 1.4.7 parce que cette version introduit de nouveaux symboles libmysofa Corrections de sécurité [CVE-2019-16091 CVE-2019-16092 CVE-2019-16093 CVE-2019-16094 CVE-2019-16095] libole-storage-lite-perl Correction de l'interprétation des années à partir de 2020 libparse-win32registry-perl Correction de l'interprétation des années à partir de 2020 libperl4-corelibs-perl Correction de l'interprétation des années à partir de 2020 libsolv Correction de dépassement de tas [CVE-2019-20387] libspreadsheet-wright-perl Correction des feuilles de calcul OpenDocument précédemment inutilisables et du passage d'options de formatage de JSON libtimedate-perl Correction de l'interprétation des années à partir de 2020 libvirt Apparmor : exécution de pygrub autorisée ; pas de rendu de osxsave et ospke dans la ligne de commande de QEMU ; cela aide les versions récentes de QEMU avec certaines configurations générées par virt-install libvncserver RFBserver : pas de fuite de mémoire de pile vers un un attaquant distant [CVE-2019-15681] ; gel durant la clôture de connexion et erreur de segmentation résolus dans les serveurs VNC multifils ; correction d'un problème de connexion aux serveurs VMWare ; correction de plantage de x11vnc lors de la connexion de vncviewer limnoria Correction de divulgation d'informations et d'exécution potentielle de code à distance dans le greffon Math [CVE-2019-19010] linux Nouvelle version amont stable linux-latest Mise à jour de l'ABI du noyau Linux 4.19.0-8 linux-signed-amd64 Nouvelle version amont stable linux-signed-arm64 Nouvelle version amont stable linux-signed-i386 Nouvelle version amont stable mariadb-10.3 Nouvelle version amont stable [CVE-2019-2938 CVE-2019-2974 CVE-2020-2574] mesa Appel shmget() avec les permissions 0600 à la place de 0777 [CVE-2019-5068] mnemosyne Ajout de dépendance manquante à PIL modsecurity Correction d'un bogue d'analyse d'en-tête de cookie [CVE-2019-19886] node-handlebars Appel direct de « helperMissing » et « blockHelperMissing » interdit [CVE-2019-19919] node-kind-of Correction d'une vulnérabilité de vérification de type dans ctorName() [CVE-2019-20149] ntpsec Correction de la lenteur des nouveaux essais DNS ; correction de ntpdate -s (syslog) pour corriger l'accroche (hook) if-up ; corrections de la documentation numix-gtk-theme Correction de co-installabilité avec d'autres thèmes nvidia-graphics-drivers-legacy-340xx Nouvelle version amont stable nyancat Reconstruction dans un environnement propre pour ajouter un fichier unit de systemd pour nyancat-server openjpeg2 Correction de dépassement de tas [CVE-2018-21010] et de dépassement d'entier [CVE-2018-20847] opensmtpd Avertissement des utilisateurs de la modification de la syntaxe de smtpd.conf (dans les versions antérieures) ; installation de smtpctl setgid opensmtpq ; gestion du code de retour non nul à partir du nom d'hôte durant la phase de configuration openssh Déni d'IPC (non fatal) dans le bac à sable seccomp, correction d'échecs avec OpenSSL 1.1.1d et Linux <3.19 sur certaines architectures php-horde Correction d'un problème de script intersite stocké dans Cloud Block de Horde [CVE-2019-12095] php-horde-text-filter Correction d'expressions rationnelles non valables postfix Nouvelle version amont stable postgresql-11 Nouvelle version amont stable print-manager Correction de plantage si CUPS renvoie le même identifiant pour plusieurs tâches d'impression proftpd-dfsg Correction de problèmes de CRL [CVE-2019-19270 CVE-2019-19269] pykaraoke Correction du chemin vers les fontes python-evtx Correction d'importation de « hexdump » python-internetarchive Fermeture du fichier après obtention du hachage évitant l'épuisement du descripteur de fichier python3.7 Corrections de sécurité [CVE-2019-9740 CVE-2019-9947 CVE-2019-9948 CVE-2019-10160 CVE-2019-16056 CVE-2019-16935] qtbase-opensource-src Ajout de la prise en charge des imprimantes non PPD et repli silencieux évité pour une imprimante prenant en charge PPD ; correction de plantage lors de l'utilisation de QLabels avec le format « Rich Text » ; correction des événements de survol (hover) des tablettes graphiques qtwebengine-opensource-src Correction d'analyse de PDF ; désactivation de la pile exécutable quassel Correction des dénis d'AppArmor de quasselcore lors de la sauvegarde de la configuration ; correction du canal par défaut pour Debian ; retrait d'un fichier NEWS inutile qwinff Correction d'un plantage dû à une détection incorrecte de fichier raspi3-firmware Correction de la détection de la console série avec les noyaux 5.x ros-ros-comm Correction de problèmes de sécurité [CVE-2019-13566 CVE-2019-13465 CVE-2019-13445] roundcube Nouvelle version amont stable ; correction de permissions non sûres dans le greffon enigma [CVE-2018-1000071] schleuder Correction de la reconnaissance des mots clés dans les courriels avec « protected headers » et un sujet vide ; retrait des signatures qui ne sont pas pas des auto-signatures lors du rafraîchissement ou de la récupération de clés ; erreur si l'argument fourni à « refresh_keys » n'est pas une liste existante ; ajout de l'en-tête List-Id absent pour les messages de notification envoyés aux administrateurs ; gestion élégante des problèmes de déchiffrement ; passage à l'encodage ASCII-8BIT pas par défaut simplesamlphp Correction d'incompatibilité avec PHP 7.3 sogo-connector Nouvelle version amont compatible avec Thunderbird 68 spf-engine Correction de la gestion des privilèges au démarrage de telle sorte que les sockets Unix fonctionnent ; mise à jour de la documentation pour TestOnly sudo Correction d'un dépassement de tampon (non exploitable dans Buster) quand pwfeedback est activé et que l'entrée n'est pas un périphérique tty [CVE-2019-18634] systemd Réglage de fs.file-max sysctl à LONG_MAX plutôt qu'à ULONG_MAX ; modification de l’appartenance et du mode des répertoires d'exécution également pour les utilisateurs statiques, assurant que les répertoires d'exécution comme CacheDirectory et StateDirectory ont été correctement affectés à l'utilisateur spécifié dans User= avant de charger le service tifffile Correction de script d'enveloppe tigervnc Corrections de sécurité [CVE-2019-15691 CVE-2019-15692 CVE-2019-15693 CVE-2019-15694 CVE-2019-15695] tightvnc Corrections de sécurité [CVE-2014-6053 CVE-2018-20021 CVE-2018-20022 CVE-2018-20748 CVE-2018-7225 CVE-2019-8287 CVE-2019-15678 CVE-2019-15679 CVE-2019-15680 CVE-2019-15681] uif Correction des chemins vers ip(6)tables-restore au vu de la migration vers nftables unhide Correction d'épuisement de pile x2goclient Retrait de ~/, ~user{,/}, ${HOME}{,/} et $HOME{,/} des chemins de destination en mode SCP ; corrections de régression avec les dernières versions de libssh avec application des correctifs pour le CVE-2019-14889 xmltooling Correction d'une situation de compétition qui pourrait mener à un plantage en charge Mises à jour de sécurité ------------------------ Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour : Identifiant Paquet DSA-4546 openjdk-11 DSA-4563 webkit2gtk DSA-4564 linux DSA-4564 linux-signed-i386 DSA-4564 linux-signed-arm64 DSA-4564 linux-signed-amd64 DSA-4565 intel-microcode DSA-4566 qemu DSA-4567 dpdk DSA-4568 postgresql-common DSA-4569 ghostscript DSA-4570 mosquitto DSA-4571 enigmail DSA-4571 thunderbird DSA-4572 slurm-llnl DSA-4573 symfony DSA-4575 chromium DSA-4577 haproxy DSA-4578 libvpx DSA-4579 nss DSA-4580 firefox-esr DSA-4581 git DSA-4582 davical DSA-4583 spip DSA-4584 spamassassin DSA-4585 thunderbird DSA-4586 ruby2.5 DSA-4588 python-ecdsa DSA-4589 debian-edu-config DSA-4590 cyrus-imapd DSA-4591 cyrus-sasl2 DSA-4592 mediawiki DSA-4593 freeimage DSA-4595 debian-lan-config DSA-4597 netty DSA-4598 python-django DSA-4599 wordpress DSA-4600 firefox-esr DSA-4601 ldm DSA-4602 xen DSA-4603 thunderbird DSA-4604 cacti DSA-4605 openjdk-11 DSA-4606 chromium DSA-4607 openconnect DSA-4608 tiff DSA-4609 python-apt DSA-4610 webkit2gtk DSA-4611 opensmtpd DSA-4612 prosody-modules DSA-4613 libidn2 DSA-4615 spamassassin Paquets supprimés ----------------- Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle : Paquet Raison caml-crush [armel] non constructible du fait de l'absence d'ocaml-native-compilers firetray Incompatible avec les versions actuelles de Thunderbird koji Problèmes de sécurité python-lamson Cassé par des modifications dans python-daemon radare2 Problèmes de sécurité ; l'amont n'offre pas de prise en charge stable radare2-cutter Dépend de radare2 qui doit être retiré Installateur Debian ------------------- L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable. URL --- Liste complète des paquets qui ont été modifiés dans cette version : http://ftp.debian.org/debian/dists/buster/ChangeLog Adresse de l'actuelle distribution stable : http://ftp.debian.org/debian/dists/stable/ Mises à jour proposées à la distribution stable : http://ftp.debian.org/debian/dists/proposed-updates Informations sur la distribution stable (notes de publication, errata, etc.) : https://www.debian.org/releases/stable/ Annonces et informations de sécurité : https://www.debian.org/security/ À propos de Debian ------------------ Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian. Contacts -------- Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <pr...@debian.org> ou contactez l'équipe de publication de la version stable à <debian-rele...@lists.debian.org>.