Publication de la mise à jour de Debian 6.0.8
20 octobre 2013
Le projet Debian a l'honneur d'annoncer la huitième mise à jour de sa
distribution oldstable Debian 6.0 (nommée Squeeze
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de l'ancienne version oldstable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 6.0 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les CD et DVD de la version 6.0, mais simplement de faire une mise à jour via un miroir Debian, après une installation, pour déclencher la mise à jour de tout paquet obsolète.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouveaux supports d'installation et des images de CD et de DVD contenant les paquets mis à jour seront prochainement disponibles à leurs emplacements habituels.
La mise à jour en ligne vers cette version se fait en faisant pointer l'outil de gestion des paquets aptitude (ou apt) (consultez la page de manuel sources.list(5)) sur l'un des nombreux miroirs FTP ou HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la distribution oldstable ajoute également quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| base-files | Mise à jour pour cette version |
| clamav | Nouvelle version amont ; corrections de sécurité |
| dpkg-ruby | Fermeture des fichiers une fois analysés, afin d'éviter les problèmes lors des mises à niveau |
| gdm3 | Correction d'un problème de sécurité potentiel avec les mises à niveau partielles vers Wheezy |
| graphviz | Utilisation de la version système de ltdl |
| grep | Correction de CVE-2012-5667 |
| ia32-libs | Mise à jour des paquets inclus depuis oldstable/security.d.o |
| ia32-libs-gtk | Mise à jour des paquets inclus depuis oldstable/security.d.o |
| inform | Suppression des appels cassés à update-alternatives |
| ldap2dns | Ne pas inclure /usr/share/debconf/confmodule en postinst quand ce n'est pas nécessaire |
| libapache-mod-security | Correction de déréférencement de pointeur NULL. CVE-2013-2765 |
| libmodule-signature-perl | CVE-2013-2145 : corrections d'exécution de code arbitraire lors de la vérification de SIGNATURE |
| libopenid-ruby | Correction CVE-2013-1812 |
| libspf2 | Corrections d'IPv6 |
| lm-sensors-3 | Sondage des EDID et cartes graphiques évité, car il pourrait causer des problèmes matériels |
| moin | Ne pas créer de pagedir vide (avec un edit-log vide) |
| net-snmp | Correction de CVE-2012-2141 |
| openssh | Correction d'un potentiel dépassement d'entier lorsque l'authentification gssapi-with-mac est utilisée (CVE-2011-5000) |
| openvpn | Correction de l'utilisation de memcmp de durée non constante pour la comparaison d'HMAC. CVE-2013-2061 |
| pcp | Correction de la gestion non sûre de tempfile |
| pigz | Utilisation de permissions plus restrictives pour les fichiers in-progress |
| policyd-weight | Suppression de shut-down njabl DNSBL |
| pyopencl | Suppression d'un fichier d'exemple non libre |
| pyrad | Utilisation d'un meilleur générateur de nombres aléatoires pour éviter le hashage de mot de passe et les identifiants de paquets prévisibles (CVE-2013-0294) |
| python-qt4 | Correction d'un plantage dans le fichier uic avec les boutons radio |
| request-tracker3.8 | Déplacement des données qui ne sont pas en cache vers /var/lib |
| samba | Correction de CVE-2013-4124 : déni de service − boucle CPU et allocation mémoire |
| smarty | Correction de CVE-2012-4437 |
| spamassassin | Suppression de shut-down njabl DNSBL ; correction de RCVD_ILLEGAL_IP pour ne pas considérer 5.0.0.0/8 comme étant invalide |
| sympa | Correction d'une boucle infinie dans wwsympa lors du chargement de données de session incluant des métacaractères |
| texlive-extra | Correction de noms de fichiers temporaires prévisibles dans latex2man |
| tntnet | Correction de fichier tntnet.conf par défaut non sûr |
| tzdata | Nouvelle version amont |
| wv2 | Suppression effective de src/generator/generator_wword{6,8}.htm |
| xorg-server | Lien avec -lbsd sur kfreebsd pour faire fonctionner MIT-SHM avec des segments mémoire non accessibles à tous |
| xview | Correction de la gestion des alternatives |
| zabbix | Corrections d'injection SQL, déni de service de zabbix_agentd, potentielle divulgation de chemin, contournement de vérification de paramètre de nom de champ, capacité de surcharger la configuration LDAP lors de l'appel de user.login par l'API |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
| Identifiant | Paquet | Correction(s) |
|---|---|---|
| DSA-2628 | nss-pam-ldapd | Débordement de tampon |
| DSA-2629 | openjpeg | Plusieurs problèmes |
| DSA-2630 | postgresql-8.4 | Erreur d'implémentation |
| DSA-2631 | squid3 | Déni de service |
| DSA-2632 | user-mode-linux | Plusieurs problèmes |
| DSA-2632 | linux-2.6 | Plusieurs problèmes |
| DSA-2633 | fusionforge | Augmentation de privilèges |
| DSA-2634 | python-django | Plusieurs problèmes |
| DSA-2635 | cfingerd | Débordement de tampon |
| DSA-2636 | xen | Plusieurs problèmes |
| DSA-2637 | apache2 | Plusieurs problèmes |
| DSA-2638 | openafs | Débordement de tampon |
| DSA-2639 | php5 | Plusieurs problèmes |
| DSA-2640 | zoneminder | Plusieurs problèmes |
| DSA-2641 | perl | Défaut de re-hashage |
| DSA-2641 | libapache2-mod-perl2 | Échec de compilation avec la version à jour de perl |
| DSA-2642 | sudo | Plusieurs problèmes |
| DSA-2643 | puppet | Plusieurs problèmes |
| DSA-2644 | wireshark | Plusieurs problèmes |
| DSA-2645 | inetutils | Déni de service |
| DSA-2646 | typo3-src | Plusieurs problèmes |
| DSA-2647 | firebird2.1 | Débordement de tampon |
| DSA-2648 | firebird2.5 | Plusieurs problèmes |
| DSA-2649 | lighttpd | Correction de nom de socket dans le répertoire accessible en écriture à tous |
| DSA-2650 | libvirt | Modification de propriété de fichiers et nœuds de périphérique pour le groupe kvm |
| DSA-2651 | smokeping | Défaut de script intersite |
| DSA-2652 | libxml2 | Extension d'entité externe |
| DSA-2653 | icinga | Débordement de tampon |
| DSA-2654 | libxslt | Déni de service |
| DSA-2655 | rails | Plusieurs problèmes |
| DSA-2656 | bind9 | Déni de service |
| DSA-2657 | postgresql-8.4 | Nombres aléatoires devinables |
| DSA-2659 | libapache-mod-security | Vulnérabilité de traitement d'entité externe XML |
| DSA-2660 | curl | Vulnérabilité de fuite de cookie |
| DSA-2661 | xorg-server | Divulgation d'information |
| DSA-2662 | xen | Plusieurs problèmes |
| DSA-2663 | tinc | Dépassement de tampon basé sur la pile |
| DSA-2664 | stunnel4 | Débordement de tampon |
| DSA-2665 | strongswan | Contournement d'authentification |
| DSA-2666 | xen | Plusieurs problèmes |
| DSA-2668 | linux-2.6 | Plusieurs problèmes |
| DSA-2668 | user-mode-linux | Plusieurs problèmes |
| DSA-2670 | request-tracker3.8 | Plusieurs problèmes |
| DSA-2673 | libdmx | Plusieurs problèmes |
| DSA-2674 | libxv | Plusieurs problèmes |
| DSA-2675 | libxvmc | Plusieurs problèmes |
| DSA-2676 | libxfixes | Plusieurs problèmes |
| DSA-2677 | libxrender | Plusieurs problèmes |
| DSA-2678 | mesa | Plusieurs problèmes |
| DSA-2679 | xserver-xorg-video-openchrome | Plusieurs problèmes |
| DSA-2680 | libxt | Plusieurs problèmes |
| DSA-2681 | libxcursor | Plusieurs problèmes |
| DSA-2682 | libxext | Plusieurs problèmes |
| DSA-2683 | libxi | Plusieurs problèmes |
| DSA-2684 | libxrandr | Plusieurs problèmes |
| DSA-2685 | libxp | Plusieurs problèmes |
| DSA-2686 | libxcb | Plusieurs problèmes |
| DSA-2687 | libfs | Plusieurs problèmes |
| DSA-2688 | libxres | Plusieurs problèmes |
| DSA-2689 | libxtst | Plusieurs problèmes |
| DSA-2690 | libxxf86dga | Plusieurs problèmes |
| DSA-2691 | libxinerama | Plusieurs problèmes |
| DSA-2692 | libxxf86vm | Plusieurs problèmes |
| DSA-2693 | libx11 | Plusieurs problèmes |
| DSA-2694 | spip | Augmentation de privilèges |
| DSA-2698 | tiff | Débordement de tampon |
| DSA-2701 | krb5 | Déni de service |
| DSA-2702 | telepathy-gabble | Contournement de vérification TLS |
| DSA-2703 | subversion | Plusieurs problèmes |
| DSA-2708 | fail2ban | Déni de service |
| DSA-2710 | xml-security-c | Plusieurs problèmes |
| DSA-2711 | haproxy | Plusieurs problèmes |
| DSA-2713 | curl | Dépassement de zone de mémoire du système |
| DSA-2715 | puppet | Exécution de code |
| DSA-2717 | xml-security-c | Dépassement de zone de mémoire du système |
| DSA-2718 | wordpress | Plusieurs problèmes |
| DSA-2719 | poppler | Plusieurs problèmes |
| DSA-2723 | php5 | Corruption de tas |
| DSA-2725 | tomcat6 | Plusieurs problèmes |
| DSA-2726 | php-radius | Débordement de tampon |
| DSA-2727 | openjdk-6 | Plusieurs problèmes |
| DSA-2728 | bind9 | Déni de service |
| DSA-2729 | openafs | Plusieurs problèmes |
| DSA-2730 | gnupg | Fuite d'informations |
| DSA-2731 | libgcrypt11 | Fuite d'informations |
| DSA-2733 | otrs2 | Injection SQL |
| DSA-2734 | wireshark | Plusieurs problèmes |
| DSA-2736 | putty | Plusieurs problèmes |
| DSA-2739 | cacti | Plusieurs problèmes |
| DSA-2740 | python-django | Défaut de script intersite |
| DSA-2742 | php5 | Conflit d'interprétation |
| DSA-2744 | tiff | Plusieurs problèmes |
| DSA-2747 | cacti | Plusieurs problèmes |
| DSA-2748 | exactimage | Déni de service |
| DSA-2749 | asterisk | Plusieurs problèmes |
| DSA-2751 | libmodplug | Plusieurs problèmes |
| DSA-2752 | phpbb3 | Permissions trop larges |
| DSA-2753 | mediawiki | Divulgation de jeton suite à la falsification de requête de script intersite |
| DSA-2754 | exactimage | Déni de service |
| DSA-2755 | python-django | Traversée de répertoire |
| DSA-2756 | wireshark | Plusieurs problèmes |
| DSA-2758 | python-django | Déni de service |
| DSA-2760 | chrony | Plusieurs problèmes |
| DSA-2763 | pyopenssl | Contournement de vérification de nom |
| DSA-2766 | user-mode-linux | Plusieurs problèmes |
| DSA-2766 | linux-2.6 | Plusieurs problèmes |
| DSA-2767 | proftpd-dfsg | Déni de service |
| DSA-2770 | torque | Contournement d'authentification |
| DSA-2773 | gnupg | Plusieurs problèmes |
| DSA-2775 | ejabberd | Utilisation non sûre de SSL |
| DSA-2776 | drupal6 | Plusieurs problèmes |
| DSA-2778 | libapache2-mod-fcgid | Dépassement de tampon basé sur le tas |
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| irssi-plugin-otr | Problèmes de sécurité |
| libpam-rsa | Cassé, source de problèmes de sécurité |
Installateur Debian
L'installateur Debian a été mis à jour pour intégrer un nouveau noyau contenant plusieurs correctifs importants et liés à la sécurité.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution oldstable :
Mises à jour proposées pour la distribution oldstable :
Informations sur la distribution oldstable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.