Mise à jour de Debian GNU/Linux 5.0
30 janvier 2010
Le projet Debian a l'honneur d'annoncer la quatrième mise à jour de sa distribution stable Debian GNU/Linux 5.0 (nom de code lenny). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de l'ancienne version stable.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian GNU/Linux 5.0 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les CD et DVD de la version 5.0 mais simplement de faire une mise à jour via un miroir Debian après une installation, pour déclencher la mise à jour de tout paquet obsolète.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images de CD et de DVD contenant les paquets mis à jour et les média d'installation habituels ainsi que les archives des paquets seront prochainement disponibles à leurs emplacements habituels.
La mise à jour en ligne vers cette version se fait en faisant pointer l'outil de gestion des paquets aptitude (ou apt) (voir la page de manuel sources.list(5)) sur l'un des nombreux miroirs FTP ou HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la distribution stable ajoute également quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| alien-arena | exécution de code arbitraire à distance |
| amarok | mise à jour de l'expression rationnelle pour rendre l'onglet Wikipedia de nouveau opérationnel |
| apache2 | plusieurs problèmes |
| backup-manager | fuite possible de mot de passe MySQL vers les utilisateurs locaux |
| backuppc | interdiction de la modification d'alias du nom de client pour éviter des accès non autorisés aux fichiers |
| base-files | mise à jour du fichier /etc/debian_version |
| choose-mirror | amélioration de la sélection d'ensemble et validation des ensembles disponibles sur le miroir choisi |
| clock-setup | prise en charge des dates du système avant epoch |
| consolekit | pas de création de fichier d'étiquette pam-foreground-compat pour les utilisateurs distants |
| debmirror | compression des fichiers Packages avec --rsyncable pour correspondre aux fichiers de l'archive |
| devscripts | mise à jour de plusieurs scripts pour comprendre squeeze et lenny-backports |
| dhcp3 | fuite mémoire et SIGPIPE dans le code LDAP |
| dpkg | plusieurs corrections pour prendre en charge le nouveau format des paquets source |
| drupal6 | problèmes XSS dans les modules Contact et Menu |
| fam | utilisation du microprocesseur à 100 % par famd |
| fetchmail | dépendances du script d'initialisation ; pas d'erreur due à l'absence de configuration lorsque désactivé |
| firebird2.0 | déni de service avec message incorrect |
| gchempaint | erreur de segmentation |
| gdebi | appel de gksu sans option non prise en charge par le paquet Debian |
| geneweb | prise en charge des bases de données dont le nom contient des espaces par le script de fin d'installation |
| ghc6 | bogue d'interblocage (« deadlock ») sur les architectures 64 bits |
| glib2.0 | configuration correcte par g_file_copy des permissions de fichiers cibles |
| glibc | bogue dans realloc() lors de l'agrandissement d'une allocation mémoire |
| gnash | diminution des messages créés par le greffon du navigateur pour éviter de remplir .xsession-errors |
| gnome-system-tools | pas de modification du répertoire personnel du superutilisateur lors de la modification de l'utilisateur et correction de la création de groupe |
| haproxy | plusieurs corrections de stabilité et de plantage |
| kazehakase | refuse l'ajout de marque-pages pour les URI data:/javascript: (CVE-2007-1084) |
| killer | prise en charge des noms d'utilisateur longs du champ ruser |
| libcgi-pm-perl | conversion indésirable de ISO-8859-1 vers UTF-8 dans CGI::Util::escape() |
| libdbd-mysql-perl | erreurs de segmentation dues à auto_reconnect |
| libdbd-pg-perl | prise en charge des caractères non ASCII |
| libfinance-quote-perl | ordonnancement des champs de données de Yahoo! |
| linux-2.6 | plusieurs corrections |
| linux-kernel-di-alpha-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-amd64-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-arm-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-armel-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-hppa-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-i386-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-ia64-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-mips-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-mipsel-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-powerpc-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-s390-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| linux-kernel-di-sparc-2.6 | reconstruit suite à la mise à jour du noyau linux-2.6 2.6.26-21 |
| lkl | reconstruit pour obtenir une nouvelle somme de hachage MD5 (la précédente somme provoquait de faux positifs avec des antivirus) |
| movabletype-opensource | désactivation par défaut de mt-wizard.cgi |
| munin | prise en compte des modifications d'informations fournies par le noyau pour les graphes d'utilisation du microprocesseur |
| mysql-dfsg-5.0 | retrait du contournement « dummy thread », source d'erreurs de segmentation et correction du plantage lors de l'utilisation des fonctions GIS |
| nss-ldapd | traitement des noms d'utilisateurs et autres recherches avec prises en compte de la casse |
| openttd | vulnérabilité de plantage distant |
| otrs2 | pas de limite globale pour MaxRequestsPerChild d'Apache ni de rejet de domaines valables |
| partman-auto-crypto | éviter l'alerte d'espace d'échange non chiffré lors de la configuration de LVM |
| planet-venus | amélioration de la non prise en compte des flux traités |
| proftpd-dfsg | faiblesse dans la vérification du certificat SSL |
| pyenchant | add_to_personal() de nouveau fonctionnel |
| python-docutils | utilisation de fichier temporaire non sûr en mode reStructuredText d'Emacs |
| python-xml | deux dénis de service |
| qcontrol | création de périphériques de saisie persistants pour prendre en charge les modifications d'udev 0.125-7+lenny3 |
| redhat-cluster | problème de basculement de ressources |
| request-tracker3.6 | vulnérabilité de détournement de session |
| roundup | régression de pagination dû au correctif de sécurité |
| samba | régression dans les conventions de nommage |
| serveez | dépassement de tampon distant |
| shadow | prise en charge des lignes longues dans les fichiers d'utilisateurs ou de groupes |
| spamassassin | ne pas considérer 2010 « grossly in the future » (loin dans le futur) |
| system-tools-backends | régression dans les opérations sur certains éléments |
| texlive-bin | plantage avec les gros fichiers |
| tor | plantage à cause d'une situation de compétition (« race condition ») et mise à jour des clefs du tiers de confiance |
| totem | mise à jour du greffon YouTube pour correspondre aux modifications du site |
| tzdata | mise à jour de données de fuseau horaire |
| usbutils | liste d'identifiants USB mise à jour |
| user-mode-linux | reconstruit suite à la mise à jour de linux-source-2.6.26 2.6.26-21 |
| vpb-driver | plantage d'Asterisk avec un fichier de configuration manquant |
| watchdog | s'assurer que l'exécution du démon est terminée avant d'en démarrer un nouveau |
| webauth | éviter l'inclusion par inadvertance du mot de passe dans l'URL du cookie de test |
| wireshark | plusieurs vulnérabilités |
| xfs | utilisation de répertoire temporaire dans le script d'initialisation |
| xscreensaver | vulnérabilité locale de contournement du verrouillage de l'écran |
Plusieurs paquets ont été reconstruits pour les architectures alpha, amd64 et ia64 pour inclure la correction du paquet ghc6 mis à jour :
| alex | arch2darcs |
| bnfc | c2hs |
| dfsbuild | drift |
| cpphs | darcs |
| darcs-buildpackage | darcs-monitor |
| datapacker | frown |
| geordi | haddock |
| happy | haskell-utils |
| hat | helium |
| hmake | hpodder |
| hscolour | lhs2tex |
| kaya | pxsl-tools |
| srcinst | uuagc |
| whitespace | xmonad |
Nouvelle version de l'installateur Debian
L'installateur Debian a été mis à jour pour offrir une meilleure prise en charge de l'installation de la distribution « oldstable » et depuis archive.debian.org. Le nouvel installateur permet également au système d'être mis à l'heure avec NTP si la date au démarrage est antérieure au 1er janvier 1970.
L'image du noyau utilisée par l'installateur a été mise à jour pour inclure plusieurs corrections importantes et relatives à la sécurité en plus de la prise en charge de nouveaux matériels.
Une mise à jour du paquet udev lors de la précédente version intermédiaire provoquait malheureusement au non fonctionnement des LED et du buzzer embarqués sur les périphériques NAS QNAP basés sur ARM ou armel lors de l'installation. C'est corrigé dans cette nouvelle publication de l'installateur.
Enfin il est de nouveau possible d'utiliser l'installateur avec l'architecture S/390 en démarrant depuis le CD.
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
| Identifiant | Paquet | Correction(s) |
|---|---|---|
| DSA-1796 | libwmf | déni de service |
| DSA-1825 | nagios3 | exécution de code arbitraire |
| DSA-1835 | tiff | plusieurs vulnérabilités |
| DSA-1836 | fckeditor | exécution de code arbitraire |
| DSA-1837 | dbus | déni de service |
| DSA-1839 | gst-plugins-good0.10 | exécution de code arbitraire |
| DSA-1849 | xml-security-c | forgeage de signature |
| DSA-1850 | libmodplug | exécution de code arbitraire |
| DSA-1860 | ruby1.9 | plusieurs problèmes |
| DSA-1863 | zope2.10 | exécution de code arbitraire |
| DSA-1866 | kdegraphics | plusieurs vulnérabilités |
| DSA-1868 | kde4libs | plusieurs vulnérabilités |
| DSA-1878 | devscripts | exécution de code à distance |
| DSA-1879 | silc-client | exécution de code arbitraire |
| DSA-1879 | silc-toolkit | exécution de code arbitraire |
| DSA-1880 | openoffice.org | exécution de code arbitraire |
| DSA-1882 | xapian-omega | script intersite |
| DSA-1884 | nginx | exécution de code arbitraire |
| DSA-1885 | xulrunner | plusieurs vulnérabilités |
| DSA-1886 | iceweasel | plusieurs vulnérabilités |
| DSA-1887 | rails | script intersite |
| DSA-1888 | openssl | signatures en somme de hachage MD2 obsolètes |
| DSA-1889 | icu | contournement de sécurité à cause d'analyse de suite multi-octets |
| DSA-1890 | wxwidgets2.6 | exécution de code arbitraire |
| DSA-1890 | wxwidgets2.8 | exécution de code arbitraire |
| DSA-1891 | changetrack | exécution de code arbitraire |
| DSA-1892 | dovecot | exécution de code arbitraire |
| DSA-1893 | cyrus-imapd-2.2 | exécution de code arbitraire |
| DSA-1893 | kolab-cyrus-imapd | exécution de code arbitraire |
| DSA-1894 | newt | exécution de code arbitraire |
| DSA-1895 | opensaml2 | conflit d'interprétation |
| DSA-1895 | shibboleth-sp2 | conflit d'interprétation |
| DSA-1895 | xmltooling | possibilité d'exécution de code |
| DSA-1896 | opensaml | possibilité d'exécution de code |
| DSA-1896 | shibboleth-sp | possibilité d'exécution de code |
| DSA-1897 | horde3 | exécution de code arbitraire |
| DSA-1898 | openswan | déni de service |
| DSA-1899 | strongswan | déni de service |
| DSA-1900 | postgresql-8.3 | plusieurs problèmes |
| DSA-1903 | graphicsmagick | plusieurs vulnérabilités |
| DSA-1904 | wget | faiblesse dans la vérification du certificat SSL |
| DSA-1905 | python-django | déni de service |
| DSA-1907 | kvm | plusieurs vulnérabilités |
| DSA-1908 | samba | plusieurs vulnérabilités |
| DSA-1909 | postgresql-ocaml | fonction d'échappement manquante |
| DSA-1910 | mysql-ocaml | fonction d'échappement manquante |
| DSA-1911 | pygresql | fonction d'échappement manquante |
| DSA-1912 | advi | exécution de code arbitraire |
| DSA-1912 | camlimages | exécution de code arbitraire |
| DSA-1913 | bugzilla | injection SQL |
| DSA-1914 | mapserver | plusieurs vulnérabilités |
| DSA-1915 | linux-2.6 | plusieurs vulnérabilités |
| DSA-1915 | user-mode-linux | plusieurs vulnérabilités |
| DSA-1916 | kdelibs | faiblesse dans la vérification du certificat SSL |
| DSA-1917 | mimetex | plusieurs vulnérabilités |
| DSA-1918 | phpmyadmin | plusieurs vulnérabilités |
| DSA-1919 | smarty | plusieurs vulnérabilités |
| DSA-1920 | nginx | déni de service |
| DSA-1921 | expat | déni de service |
| DSA-1922 | xulrunner | plusieurs vulnérabilités |
| DSA-1923 | libhtml-parser-perl | déni de service |
| DSA-1924 | mahara | plusieurs vulnérabilités |
| DSA-1925 | proftpd-dfsg | faiblesse dans la vérification du certificat SSL |
| DSA-1926 | typo3-src | plusieurs vulnérabilités |
| DSA-1930 | drupal6 | plusieurs vulnérabilités |
| DSA-1931 | nspr | plusieurs vulnérabilités |
| DSA-1932 | pidgin | exécution de code arbitraire |
| DSA-1933 | cups | script intersite |
| DSA-1934 | apache2 | plusieurs problèmes |
| DSA-1934 | apache2-mpm-itk | plusieurs problèmes |
| DSA-1935 | gnutls26 | vulnérabilité de certificat SSL vide |
| DSA-1936 | libgd2 | plusieurs vulnérabilités |
| DSA-1937 | gforge | script intersite |
| DSA-1938 | php-mail | vérification des entrées insuffisante |
| DSA-1939 | libvorbis | plusieurs vulnérabilités |
| DSA-1940 | php5 | nombreux problèmes |
| DSA-1941 | poppler | plusieurs vulnérabilités |
| DSA-1942 | wireshark | plusieurs vulnérabilités |
| DSA-1944 | request-tracker3.6 | vulnérabilité de détournement de session |
| DSA-1945 | gforge | déni de service |
| DSA-1947 | opensaml2 | script intersite |
| DSA-1947 | shibboleth-sp | script intersite |
| DSA-1947 | shibboleth-sp2 | script intersite |
| DSA-1948 | ntp | déni de service |
| DSA-1949 | php-net-ping | exécution de code arbitraire |
| DSA-1950 | webkit | plusieurs vulnérabilités |
| DSA-1951 | firefox-sage | vérification des entrées insuffisante |
| DSA-1952 | asterisk | plusieurs vulnérabilités |
| DSA-1953 | expat | déni de service |
| DSA-1954 | cacti | vérification des entrées insuffisante |
| DSA-1956 | xulrunner | plusieurs vulnérabilités |
| DSA-1957 | aria2 | exécution de code arbitraire |
| DSA-1958 | libtool | augmentation de privilèges |
| DSA-1959 | ganeti | exécution de commande arbitraire |
| DSA-1960 | acpid | permissions de fichier faible |
| DSA-1961 | bind9 | empoisonnement du cache |
| DSA-1962 | kvm | plusieurs vulnérabilités |
| DSA-1963 | unbound | validation DNSSEC |
| DSA-1964 | postgresql-8.3 | plusieurs vulnérabilités |
| DSA-1965 | phpldapadmin | inclusion de fichier distant |
| DSA-1966 | horde3 | script intersite |
| DSA-1967 | transmission | traversée de répertoires |
| DSA-1968 | pdns-recursor | possibilité d'exécution de code |
| DSA-1969 | krb5 | déni de service |
| DSA-1970 | openssl | déni de service |
| DSA-1971 | libthai | exécution de code arbitraire |
| DSA-1972 | audiofile | dépassement de tampon |
| DSA-1974 | gzip | exécution de code arbitraire |
| DSA-1976 | dokuwiki | plusieurs vulnérabilités |
| DSA-1978 | phpgroupware | plusieurs vulnérabilités |
| DSA-1979 | lintian | nombreuses vulnérabilités |
| DSA-1980 | ircd-hybrid | exécution de code arbitraire |
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| destar | problèmes de sécurité ; non maintenu ; abandonné en amont |
| electricsheep | ne fonctionne plus |
| gnudip | problèmes de sécurité ; non maintenu ; abandonné en amont |
| kcheckgmail | ne fonctionne plus |
| libgnucrypto-java | problèmes de sécurité ; obsolète |
De plus, les parties de libwww-search-perl et libperl4caml-ocaml-dev qui dépendent de l'interface de programmation (API) de recherche SOAP de Google (fournie par libnet-google-perl) ne sont plus fonctionnelles puisque l'API a été enlevée par Google. Les parties restantes des paquets fonctionneront toujours comme avant.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution stable :
Mises à jour proposées à la distribution stable :
Informations sur la distribution stable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian GNU/Linux.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>. <debian-release@lists.debian.org>.