Publication de la mise à jour de Debian 6.0.6
29 septembre 2012
Le projet Debian a l'honneur d'annoncer la sixième mise à jour de sa
distribution stable Debian 6.0 (nommée Squeeze
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de l'ancienne version stable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 6.0 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les CD et DVD de la version 6.0 mais simplement de faire une mise à jour via un miroir Debian après une installation, pour déclencher la mise à jour de tout paquet obsolète.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouveaux supports d'installation et des images de CD et de DVD contenant les paquets mis à jour seront prochainement disponibles à leurs emplacements habituels.
La mise à jour en ligne vers cette version se fait en faisant pointer l'outil de gestion des paquets aptitude (ou apt) (consultez la page de manuel sources.list(5)) sur l'un des nombreux miroirs FTP ou HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la distribution stable ajoute également quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| alpine | Correction du plantage dans la copie embarquée de UW-IMAP |
| apache2 | mod_negotiation - correction de CVE-2012-2687 ; mod_cache - non mise en cache des connexions partielles ; induction d'une réponse 408 à l'expiration du temps d'attente en lecture |
| automake1.10 | Correction de CVE-2012-3386 |
| automake1.11 | Correction de CVE-2012-3386 |
| automake1.7 | Correction de CVE-2012-3386 |
| automake1.9 | Correction de CVE-2012-3386 |
| base-files | Mise à jour du fichier /etc/debian_version |
| checkgmail | Correction de problèmes d'authentification à GMail |
| clamav | Nouvelle version amont |
| debian-archive-keyring | Ajout des clés de signature de l'archive et de Wheezy stable |
| dpkg | Garantie d'un dépaquetage sûr sur des systèmes SELinux |
| eglibc | Activation réelle du correctif patches/any/cvs-dlopen-tls.diff ; correction du contournement de protection de la chaîne de formatage FORTIFY_SOURCE ; correction d'un déni de service dans l'implémentation de RPC |
| emesene | Mise à jour du point terminal de contact à local-bay.contacts.msn.com |
| geshi | Correction de la vulnérabilité d'inclusion de fichier local dans un script contribué |
| gosa | Corrections de sécurité (protection manquante) |
| ia32-libs | Mise à jour des paquets |
| libconfig-inifiles-perl | Correction d'une utilisation peu sûre de fichiers temporaires |
| libgc | Contrôle de non débordement d'entier dans les routines internes malloc et calloc |
| libmtp | Correction des attributs pour quelques périphériques ; ajout de la prise en charge de nouveaux périphériques |
| libxslt | Correction de CVE-2011-1202, CVE-2011-3970 et CVE-2012-2825 |
| links2 | Corrections de sécurité |
| linux-2.6 | Corrections de DRM ; correction de la seconde intercalaire ; corrections de sécurité ; corrections de plusieurs pilotes |
| linux-kernel-di-amd64-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-armel-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-i386-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-ia64-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-mips-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-mipsel-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-powerpc-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-s390-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| linux-kernel-di-sparc-2.6 | Reconstruction en cohérence avec le noyau linux-2.6 2.6.32-46 |
| lockfile-progs | Garantie de l'utilisation de l'identifiant de processus correct lors de la création de fichiers de verrouillage |
| mysql-mmm | Ajout de libpath-class-perl aux dépendances |
| network-manager | Fin de l'autorisation de création de réseaux ad-hoc WPA, qui étaient créés comme réseaux ouverts à cause de bogues du noyau |
| nss-pam-ldapd | Prise en charge de valeurs gecos plus grandes ; corrections de fiabilité |
| nvidia-graphics-drivers | Correction de fuite d'informations dans le module du noyau ; correction d'une vulnérabilité d'accès arbitraire à la mémoire ; correction d'une augmentation de droits locale au moyen de la manipulation d'une fenêtre VGA |
| nvidia-graphics-modules | Reconstruction en cohérence avec les modules du noyau 195.36.31-6squeeze1 pour des corrections de sécurité ; reconstruction pour corriger CVE-2012-4225 |
| php-memcached | Correction de la gestion de session.gc_maxlifetime |
| plymouth | Correction du script d'initialisation pour ne pas échouer lorsque le paquet est supprimé |
| policyd-weight | Suppression des RBL rfc-ignorant.org (causés par une extinction imminente) et de rbl.ipv6-world.net |
| postgresql-common | Non suppression du fichier d'identifiant de processus après l'envoi d'un signal SIGKILL à postmaster pendant le dernier effort d'extinction en mode forcé |
| powertop | Correction d'une erreur de segmentation sur les noyaux récents avec des gros fichiers de configuration |
| publican | Ajout de libio-string-perl aux dépendances et dépendances de construction |
| rstatd | Prise en charge des noyaux Linux 3.x |
| spip | Correction de la divulgation du nom de base ; corrections de sécurité |
| tor | Nouvelle version amont ; correction de la renégociation TLS 1.1/1.2 avec openssl 1.0.1 ; correction d'un potentiel déni de service ; correction de deux plantages et d'un problème de divulgation d'informations |
| ttb | Ajout de python-glade2 aux dépendances |
| vte | Correction d'une vulnérabilité à l'épuisement de la mémoire |
| wims | Correction d'un problème d'installation |
| wireshark | Correction de plantages dans un détecteur ANSI A et des analyseurs pcap ou pcap-ng |
| xserver-xorg-video-intel | UXA/glyphs : solution de repli au lieu d'un plantage sur des longues chaînes |
| yaws | Correction de la force RNG ; correction du chargement de la configuration du courrier |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
| Identifiant | Paquet | Correction |
|---|---|---|
| DSA-2457 | iceweasel | Correction de régression |
| DSA-2458 | iceape | Correction de régression |
| DSA-2465 | php5 | Plusieurs vulnérabilités |
| DSA-2466 | rails | Script intersite |
| DSA-2467 | mahara | Défauts non sécurisés |
| DSA-2468 | libjakarta-poi-java | Allocation illimitée de mémoire |
| DSA-2470 | wordpress | Plusieurs vulnérabilités |
| DSA-2471 | ffmpeg | Plusieurs vulnérabilités |
| DSA-2472 | gridengine | Augmentation de droits |
| DSA-2473 | openoffice.org | Dépassement de tampon |
| DSA-2474 | ikiwiki | Script intersite |
| DSA-2475 | openssl | Dépassement d'entier par le bas |
| DSA-2476 | pidgin-otr | Vulnérabilité de chaîne de formatage |
| DSA-2477 | sympa | Contournement d'autorisation |
| DSA-2478 | sudo | Erreur de traitement |
| DSA-2479 | libxml2 | Décalage |
| DSA-2480 | request-tracker3.8 | Régression |
| DSA-2481 | arpwatch | Échec d'abandon de groupes supplémentaires |
| DSA-2482 | libgdata | Validation insuffisante de certificat |
| DSA-2483 | strongswan | Contournement d'authentification |
| DSA-2484 | nut | Déni de service |
| DSA-2485 | imp4 | Script intersite |
| DSA-2486 | bind9 | Déni de service |
| DSA-2487 | openoffice.org | Dépassement de tampon |
| DSA-2488 | iceweasel | Plusieurs vulnérabilités |
| DSA-2489 | iceape | Plusieurs vulnérabilités |
| DSA-2490 | nss | Déni de service |
| DSA-2491 | postgresql-8.4 | Plusieurs vulnérabilités |
| DSA-2492 | php5 | Dépassement de tampon |
| DSA-2493 | asterisk | Déni de service |
| DSA-2494 | ffmpeg | Plusieurs vulnérabilités |
| DSA-2495 | openconnect | Dépassement de tampon |
| DSA-2497 | quagga | Déni de service |
| DSA-2498 | dhcpcd | Dépassement de tas à distance |
| DSA-2499 | icedove | Plusieurs vulnérabilités |
| DSA-2500 | mantis | Plusieurs vulnérabilités |
| DSA-2501 | xen | Plusieurs vulnérabilités |
| DSA-2502 | python-crypto | Erreur de programmation |
| DSA-2503 | bcfg2 | Injection de commande d'interpréteur |
| DSA-2504 | libspring-2.5-java | Divulgation d'informations |
| DSA-2505 | zendframework | Divulgation d'informations |
| DSA-2506 | libapache-mod-security | Contournement de ModSecurity |
| DSA-2507 | openjdk-6 | Plusieurs vulnérabilités |
| DSA-2508 | kfreebsd-8 | Augmentation de droits |
| DSA-2509 | pidgin | Exécution de code à distance |
| DSA-2510 | extplorer | Contrefaçon de requête intersite |
| DSA-2511 | puppet | Plusieurs vulnérabilités |
| DSA-2512 | mono | Absence de vérification des entrées |
| DSA-2513 | iceape | Plusieurs vulnérabilités |
| DSA-2514 | iceweasel | Plusieurs vulnérabilités |
| DSA-2515 | nsd3 | Déréférencement de pointeur NULL |
| DSA-2516 | isc-dhcp | Déni de service |
| DSA-2517 | bind9 | Déni de service |
| DSA-2518 | krb5 | Déni de service |
| DSA-2519 | isc-dhcp | Déni de service |
| DSA-2520 | openoffice.org | Plusieurs dépassements de tampon basé sur le tas |
| DSA-2521 | libxml2 | Dépassements d'entier |
| DSA-2522 | fckeditor | Script intersite |
| DSA-2523 | globus-gridftp-server | Erreur de programmation |
| DSA-2523 | globus-gridftp-server-control | Erreur de programmation |
| DSA-2524 | openttd | Plusieurs vulnérabilités |
| DSA-2525 | expat | Plusieurs vulnérabilités |
| DSA-2526 | libotr | Dépassement de tampon |
| DSA-2527 | php5 | Plusieurs vulnérabilités |
| DSA-2528 | icedove | Plusieurs vulnérabilités |
| DSA-2529 | python-django | Plusieurs vulnérabilités |
| DSA-2530 | rssh | Injection de commande d'interpréteur |
| DSA-2531 | xen | Déni de service |
| DSA-2532 | libapache2-mod-rpaf | Déni de service |
| DSA-2533 | pcp | Plusieurs vulnérabilités |
| DSA-2534 | postgresql-8.4 | Plusieurs vulnérabilités |
| DSA-2535 | rtfm | Script intersite |
| DSA-2536 | otrs2 | Script intersite |
| DSA-2537 | typo3-src | Plusieurs vulnérabilités |
| DSA-2538 | moin | Augmentation de droits |
| DSA-2539 | zabbix | Injection SQL |
| DSA-2540 | mahara | Script intersite |
| DSA-2541 | beaker | Divulgation d'informations |
| DSA-2542 | qemu-kvm | Plusieurs vulnérabilités |
| DSA-2543 | xen-qemu-dm-4.0 | Plusieurs vulnérabilités |
| DSA-2544 | xen | Déni de service |
| DSA-2545 | qemu | Plusieurs vulnérabilités |
| DSA-2546 | freeradius | Exécution de code |
| DSA-2547 | bind9 | Assertion incorrecte |
| DSA-2548 | tor | Plusieurs vulnérabilités |
| DSA-2549 | devscripts | Plusieurs vulnérabilités |
Installateur Debian
L'installateur a été reconstruit pour intégrer les correctifs incorporés à stable par cette mise à jour.
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances en dehors de notre contrôle :
| Paquet | Raison |
|---|---|
| blockade | fichiers de données non distribuables |
| kcheckgmail | non maintenu ; cassé par des changements de Google |
| libtrash | non maintenu ; cassé |
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution stable :
Mises à jour proposées à la distribution stable :
Informations sur la distribution stable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.