Mise à jour de Debian GNU/Linux 5.0

30 janvier 2010

Le projet Debian a l'honneur d'annoncer la quatrième mise à jour de sa distribution stable Debian GNU/Linux 5.0 (nom de code lenny). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de l'ancienne version stable.

Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian GNU/Linux 5.0 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les CD et DVD de la version 5.0 mais simplement de faire une mise à jour via un miroir Debian après une installation, pour déclencher la mise à jour de tout paquet obsolète.

Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.

De nouvelles images de CD et de DVD contenant les paquets mis à jour et les média d'installation habituels ainsi que les archives des paquets seront prochainement disponibles à leurs emplacements habituels.

La mise à jour en ligne vers cette version se fait en faisant pointer l'outil de gestion des paquets aptitude (ou apt) (voir la page de manuel sources.list(5)) sur l'un des nombreux miroirs FTP ou HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :

http://www.debian.org/mirror/list

Corrections de bogues divers

Cette mise à jour de la distribution stable ajoute également quelques corrections importantes aux paquets suivants :

Paquet Raison
alien-arena exécution de code arbitraire à distance
amarok mise à jour de l'expression rationnelle pour rendre l'onglet Wikipedia de nouveau opérationnel
apache2 plusieurs problèmes
backup-manager fuite possible de mot de passe MySQL vers les utilisateurs locaux
backuppc interdiction de la modification d'alias du nom de client pour éviter des accès non autorisés aux fichiers
base-files mise à jour du fichier /etc/debian_version
choose-mirror amélioration de la sélection d'ensemble et validation des ensembles disponibles sur le miroir choisi
clock-setup prise en charge des dates du système avant epoch
consolekit pas de création de fichier d'étiquette pam-foreground-compat pour les utilisateurs distants
debmirror compression des fichiers Packages avec --rsyncable pour correspondre aux fichiers de l'archive
devscripts mise à jour de plusieurs scripts pour comprendre squeeze et lenny-backports
dhcp3 fuite mémoire et SIGPIPE dans le code LDAP
dpkg plusieurs corrections pour prendre en charge le nouveau format des paquets source
drupal6 problèmes XSS dans les modules Contact et Menu
fam utilisation du microprocesseur à 100 % par famd
fetchmail dépendances du script d'initialisation ; pas d'erreur due à l'absence de configuration lorsque désactivé
firebird2.0 déni de service avec message incorrect
gchempaint erreur de segmentation
gdebi appel de gksu sans option non prise en charge par le paquet Debian
geneweb prise en charge des bases de données dont le nom contient des espaces par le script de fin d'installation
ghc6 bogue d'interblocage (« deadlock ») sur les architectures 64 bits
glib2.0 configuration correcte par g_file_copy des permissions de fichiers cibles
glibc bogue dans realloc() lors de l'agrandissement d'une allocation mémoire
gnash diminution des messages créés par le greffon du navigateur pour éviter de remplir .xsession-errors
gnome-system-tools pas de modification du répertoire personnel du superutilisateur lors de la modification de l'utilisateur et correction de la création de groupe
haproxy plusieurs corrections de stabilité et de plantage
kazehakase refuse l'ajout de marque-pages pour les URI data:/javascript: (CVE-2007-1084)
killer prise en charge des noms d'utilisateur longs du champ ruser
libcgi-pm-perl conversion indésirable de ISO-8859-1 vers UTF-8 dans CGI::Util::escape()
libdbd-mysql-perl erreurs de segmentation dues à auto_reconnect
libdbd-pg-perl prise en charge des caractères non ASCII
libfinance-quote-perl ordonnancement des champs de données de Yahoo!
linux-2.6 plusieurs corrections
linux-kernel-di-alpha-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-amd64-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-arm-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-armel-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-hppa-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-i386-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-ia64-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-mips-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-mipsel-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-powerpc-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-s390-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
linux-kernel-di-sparc-2.6 reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21
lkl reconstruit pour obtenir une nouvelle somme de hachage MD5 (la précédente somme provoquait de faux positifs avec des antivirus)
movabletype-opensource désactivation par défaut de mt-wizard.cgi
munin prise en compte des modifications d'informations fournies par le noyau pour les graphes d'utilisation du microprocesseur
mysql-dfsg-5.0 retrait du contournement « dummy thread », source d'erreurs de segmentation et correction du plantage lors de l'utilisation des fonctions GIS
nss-ldapd traitement des noms d'utilisateurs et autres recherches avec prises en compte de la casse
openttd vulnérabilité de plantage distant
otrs2 pas de limite globale pour MaxRequestsPerChild d'Apache ni de rejet de domaines valables
partman-auto-crypto éviter l'alerte d'espace d'échange non chiffré lors de la configuration de LVM
planet-venus amélioration de la non prise en compte des flux traités
proftpd-dfsg faiblesse dans la vérification du certificat SSL
pyenchant add_to_personal() de nouveau fonctionnel
python-docutils utilisation de fichier temporaire non sûr en mode reStructuredText d'Emacs
python-xml deux dénis de service
qcontrol création de périphériques de saisie persistants pour prendre en charge les modifications d'udev 0.125-7+lenny3
redhat-cluster problème de basculement de ressources
request-tracker3.6 vulnérabilité de détournement de session
roundup régression de pagination dû au correctif de sécurité
samba régression dans les conventions de nommage
serveez dépassement de tampon distant
shadow prise en charge des lignes longues dans les fichiers d'utilisateurs ou de groupes
spamassassin ne pas considérer 2010 « grossly in the future » (loin dans le futur)
system-tools-backends régression dans les opérations sur certains éléments
texlive-bin plantage avec les gros fichiers
tor plantage à cause d'une situation de compétition (« race condition ») et mise à jour des clefs du tiers de confiance
totem mise à jour du greffon YouTube pour correspondre aux modifications du site
tzdata mise à jour de données de fuseau horaire
usbutils liste d'identifiants USB mise à jour
user-mode-linux reconstruit suite à la mise à jour de linux-source-2.6.26 2.6.26-21
vpb-driver plantage d'Asterisk avec un fichier de configuration manquant
watchdog s'assurer que l'exécution du démon est terminée avant d'en démarrer un nouveau
webauth éviter l'inclusion par inadvertance du mot de passe dans l'URL du cookie de test
wireshark plusieurs vulnérabilités
xfs utilisation de répertoire temporaire dans le script d'initialisation
xscreensaver vulnérabilité locale de contournement du verrouillage de l'écran

Plusieurs paquets ont été reconstruits pour les architectures alpha, amd64 et ia64 pour inclure la correction du paquet ghc6 mis à jour :

alex arch2darcs
bnfc c2hs
dfsbuild drift
cpphs darcs
darcs-buildpackage darcs-monitor
datapacker frown
geordi haddock
happy haskell-utils
hat helium
hmake hpodder
hscolour lhs2tex
kaya pxsl-tools
srcinst uuagc
whitespace xmonad

Nouvelle version de l'installateur Debian

L'installateur Debian a été mis à jour pour offrir une meilleure prise en charge de l'installation de la distribution « oldstable » et depuis archive.debian.org. Le nouvel installateur permet également au système d'être mis à l'heure avec NTP si la date au démarrage est antérieure au 1er janvier 1970.

L'image du noyau utilisée par l'installateur a été mise à jour pour inclure plusieurs corrections importantes et relatives à la sécurité en plus de la prise en charge de nouveaux matériels.

Une mise à jour du paquet udev lors de la précédente version intermédiaire provoquait malheureusement au non fonctionnement des LED et du buzzer embarqués sur les périphériques NAS QNAP basés sur ARM ou armel lors de l'installation. C'est corrigé dans cette nouvelle publication de l'installateur.

Enfin il est de nouveau possible d'utiliser l'installateur avec l'architecture S/390 en démarrant depuis le CD.

Mises à jour de sécurité

Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :

Identifiant Paquet Correction(s)
DSA-1796 libwmfdéni de service
DSA-1825 nagios3exécution de code arbitraire
DSA-1835 tiffplusieurs vulnérabilités
DSA-1836 fckeditorexécution de code arbitraire
DSA-1837 dbusdéni de service
DSA-1839 gst-plugins-good0.10exécution de code arbitraire
DSA-1849 xml-security-cforgeage de signature
DSA-1850 libmodplugexécution de code arbitraire
DSA-1860 ruby1.9plusieurs problèmes
DSA-1863 zope2.10exécution de code arbitraire
DSA-1866 kdegraphicsplusieurs vulnérabilités
DSA-1868 kde4libsplusieurs vulnérabilités
DSA-1878 devscriptsexécution de code à distance
DSA-1879 silc-clientexécution de code arbitraire
DSA-1879 silc-toolkitexécution de code arbitraire
DSA-1880 openoffice.orgexécution de code arbitraire
DSA-1882 xapian-omegascript intersite
DSA-1884 nginxexécution de code arbitraire
DSA-1885 xulrunnerplusieurs vulnérabilités
DSA-1886 iceweaselplusieurs vulnérabilités
DSA-1887 railsscript intersite
DSA-1888 opensslsignatures en somme de hachage MD2 obsolètes
DSA-1889 icucontournement de sécurité à cause d'analyse de suite multi-octets
DSA-1890 wxwidgets2.6exécution de code arbitraire
DSA-1890 wxwidgets2.8exécution de code arbitraire
DSA-1891 changetrackexécution de code arbitraire
DSA-1892 dovecotexécution de code arbitraire
DSA-1893 cyrus-imapd-2.2exécution de code arbitraire
DSA-1893 kolab-cyrus-imapdexécution de code arbitraire
DSA-1894 newtexécution de code arbitraire
DSA-1895 opensaml2conflit d'interprétation
DSA-1895 shibboleth-sp2conflit d'interprétation
DSA-1895 xmltoolingpossibilité d'exécution de code
DSA-1896 opensamlpossibilité d'exécution de code
DSA-1896 shibboleth-sppossibilité d'exécution de code
DSA-1897 horde3exécution de code arbitraire
DSA-1898 openswandéni de service
DSA-1899 strongswandéni de service
DSA-1900 postgresql-8.3plusieurs problèmes
DSA-1903 graphicsmagickplusieurs vulnérabilités
DSA-1904 wgetfaiblesse dans la vérification du certificat SSL
DSA-1905 python-djangodéni de service
DSA-1907 kvmplusieurs vulnérabilités
DSA-1908 sambaplusieurs vulnérabilités
DSA-1909 postgresql-ocamlfonction d'échappement manquante
DSA-1910 mysql-ocamlfonction d'échappement manquante
DSA-1911 pygresqlfonction d'échappement manquante
DSA-1912 adviexécution de code arbitraire
DSA-1912 camlimagesexécution de code arbitraire
DSA-1913 bugzillainjection SQL
DSA-1914 mapserverplusieurs vulnérabilités
DSA-1915 linux-2.6plusieurs vulnérabilités
DSA-1915 user-mode-linuxplusieurs vulnérabilités
DSA-1916 kdelibsfaiblesse dans la vérification du certificat SSL
DSA-1917 mimetexplusieurs vulnérabilités
DSA-1918 phpmyadminplusieurs vulnérabilités
DSA-1919 smartyplusieurs vulnérabilités
DSA-1920 nginxdéni de service
DSA-1921 expatdéni de service
DSA-1922 xulrunnerplusieurs vulnérabilités
DSA-1923 libhtml-parser-perldéni de service
DSA-1924 maharaplusieurs vulnérabilités
DSA-1925 proftpd-dfsgfaiblesse dans la vérification du certificat SSL
DSA-1926 typo3-srcplusieurs vulnérabilités
DSA-1930 drupal6plusieurs vulnérabilités
DSA-1931 nsprplusieurs vulnérabilités
DSA-1932 pidginexécution de code arbitraire
DSA-1933 cupsscript intersite
DSA-1934 apache2plusieurs problèmes
DSA-1934 apache2-mpm-itkplusieurs problèmes
DSA-1935 gnutls26vulnérabilité de certificat SSL vide
DSA-1936 libgd2plusieurs vulnérabilités
DSA-1937 gforgescript intersite
DSA-1938 php-mailvérification des entrées insuffisante
DSA-1939 libvorbisplusieurs vulnérabilités
DSA-1940 php5nombreux problèmes
DSA-1941 popplerplusieurs vulnérabilités
DSA-1942 wiresharkplusieurs vulnérabilités
DSA-1944 request-tracker3.6vulnérabilité de détournement de session
DSA-1945 gforgedéni de service
DSA-1947 opensaml2script intersite
DSA-1947 shibboleth-spscript intersite
DSA-1947 shibboleth-sp2script intersite
DSA-1948 ntpdéni de service
DSA-1949 php-net-pingexécution de code arbitraire
DSA-1950 webkitplusieurs vulnérabilités
DSA-1951 firefox-sagevérification des entrées insuffisante
DSA-1952 asteriskplusieurs vulnérabilités
DSA-1953 expatdéni de service
DSA-1954 cactivérification des entrées insuffisante
DSA-1956 xulrunnerplusieurs vulnérabilités
DSA-1957 aria2exécution de code arbitraire
DSA-1958 libtoolaugmentation de privilèges
DSA-1959 ganetiexécution de commande arbitraire
DSA-1960 acpidpermissions de fichier faible
DSA-1961 bind9empoisonnement du cache
DSA-1962 kvmplusieurs vulnérabilités
DSA-1963 unboundvalidation DNSSEC
DSA-1964 postgresql-8.3plusieurs vulnérabilités
DSA-1965 phpldapadmininclusion de fichier distant
DSA-1966 horde3script intersite
DSA-1967 transmissiontraversée de répertoires
DSA-1968 pdns-recursorpossibilité d'exécution de code
DSA-1969 krb5déni de service
DSA-1970 openssldéni de service
DSA-1971 libthaiexécution de code arbitraire
DSA-1972 audiofiledépassement de tampon
DSA-1974 gzipexécution de code arbitraire
DSA-1976 dokuwikiplusieurs vulnérabilités
DSA-1978 phpgroupwareplusieurs vulnérabilités
DSA-1979 lintiannombreuses vulnérabilités
DSA-1980 ircd-hybridexécution de code arbitraire

Paquets supprimés

Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :

Paquet Raison
destar problèmes de sécurité ; non maintenu ; abandonné en amont
electricsheep ne fonctionne plus
gnudip problèmes de sécurité ; non maintenu ; abandonné en amont
kcheckgmail ne fonctionne plus
libgnucrypto-java problèmes de sécurité ; obsolète

De plus, les parties de libwww-search-perl et libperl4caml-ocaml-dev qui dépendent de l'interface de programmation (API) de recherche SOAP de Google (fournie par libnet-google-perl) ne sont plus fonctionnelles puisque l'API a été enlevée par Google. Les parties restantes des paquets fonctionneront toujours comme avant.

URL

Liste complète des paquets qui ont été modifiés dans cette version :

http://ftp.debian.org/debian/dists/lenny/ChangeLog

Adresse de l'actuelle distribution stable :

http://ftp.debian.org/debian/dists/stable/

Mises à jour proposées à la distribution stable :

http://ftp.debian.org/debian/dists/proposed-updates/

Informations sur la distribution stable (notes de publication, errata, etc.) :

http://www.debian.org/releases/stable/

Annonces et informations de sécurité :

http://security.debian.org/

À propos de Debian

Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian GNU/Linux.

Contacts

Pour de plus amples informations, veuillez consulter le site Internet de Debian http://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>. <debian-release@lists.debian.org>.