Publication de la mise à jour de Debian 8.10
9 décembre 2017
Le projet Debian a l'honneur d'annoncer la dixième mise à jour de sa
distribution oldstable Debian 8 (nommée jessie
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version oldstable. Les
annonces de sécurité ont déjà été publiées séparément et sont simplement
référencées dans ce document.
Veuillez noter que cette révision ne constitue pas une nouvelle version
Debian 8 mais seulement une mise à jour de certains des paquets
qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de
jessie
. Après l'installation, les paquets peuvent être mis
à niveau vers les versions actuelles à l'aide d'un miroir Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette révision.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette révision d'oldstable ajoute quelques importantes corrections aux paquets suivants :
| Paquet | Raison |
|---|---|
| bareos | Correction des droits de la configuration de logrotate bareos-dir ; correction de corruption de fichier lors de l'utilisation d'une signature SHA1 |
| base-files | Mise à jour pour cette version |
| bind9 | Importation de DNSSEC KSK-2017 |
| cups | Désactivation de SSLv3 et de RC4 par défaut pour corriger la vulnérabilité POODLE |
| db | Pas d'accès à DB_CONFIG si db_home n'est pas configuré [CVE-2017-10140] |
| db5.3 | Pas d'accès à DB_CONFIG si db_home n'est pas configuré [CVE-2017-10140] |
| debian-installer | Reconstruction pour cette version |
| debian-installer-netboot-images | Reconstruction pour cette version |
| debmirror | Acceptation de lignes inconnues dans *.diff/Index ; mise en miroir des fichiers de métadonnées DEP-11 ; préférence de xz à gz, et solution si l'un ou l'autre manque ; mise en miroir et validation des fichiers InRelease |
| dns-root-data | Mise à jour de root.hints vers la version 2017072601 ; ajout de KSK-2017 au fichier root.key |
| dput | dput.cf : remplacement de security-master.debian.org par ftp.upload.security.debian.org |
| dwww | Correction du nom d'en-tête Last-Modified |
| elog | Mise à jour du correctif 0005_elogd_CVE-2016-6342_fix pour accorder un accès en tant qu'utilisateur ordinaire |
| flightgear | Correction d'une vulnérabilité d'écrasement de fichier arbitraire [CVE-2017-13709] |
| gsoap | Correction d'un dépassement d'entier à l'aide d'un grand document XML [CVE-2017-9765] |
| hexchat | Correction d'erreur de segmentation à la suite de la commande /server |
| icu | Correction de double libération dans createMetazoneMappings() [CVE-2017-14952] |
| kdepim | Correction de send Later with Delay bypasses OpenPGP[CVE-2017-9604] |
| kedpm | Correction d'une fuite d'informations du fichier history à l’aide d’une commande [CVE-2017-8296] |
| keyringer | Gestion des sous-clés sans date d'expiration et des clés publiques listées plusieurs fois |
| krb5 | Corrections de sécurité – des attaquants distants authentifiés peuvent planter KDC [CVE-2017-11368] ; KDC plante avec restrict_anon_to_tgt [CVE-2016-3120] ; déni de service distant avec ldap pour des attaquants authentifiés [CVE-2016-3119] ; contournement évité de l'exigence de pré-authentification [CVE-2015-2694] |
| libdatetime-timezone-perl | Mise à jour des données incluses |
| libdbi | Réactivation de l'appel à _error_handler_call dans dbi_result_next_row() |
| libembperl-perl | Passage à Recommends des dépendances dures à mod_perl dans zembperl.load, corrigeant un échec d'installation quand libapache2-mod-perl2 n'est pas installé |
| libio-socket-ssl-perl | Correction d'erreur de segmentation avec des certificats client mal formés |
| liblouis | Correction de plusieurs dépassements de tampon de pile [CVE-2014-8184] |
| libofx | Corrections de sécurité [CVE-2017-2816 CVE-2017-14731] |
| libwnckmm | Renforcement des dépendances entre paquets ; utilisation de jquery.js issu de libjs-jquery |
| libwpd | Correction de sécurité [CVE-2017-14226] |
| libx11 | Correction de insufficient validation of data from the X server can cause out of boundary memory read (XGetImage()) or write (XListFonts())[CVE-2016-7942 CVE-2016-7943] |
| libxfixes | Correction de dépassement d'entier sur des réponses de serveur illégales [CVE-2016-7944] |
| libxi | Correction de insufficient validation of data from the X server can cause out of boundary memory access or endless loops[CVE-2016-7945 CVE-2016-7946] |
| libxrandr | Accès hors limites évités sur des réponses illégales [CVE-2016-7947 CVE-2016-7948] |
| libxtst | Correction de insufficient validation of data from the X server can cause out of boundary memory access or endless loops[CVE-2016-7951 CVE-2016-7952] |
| libxv | Correction de problèmes de gestion de protocole dans libXv [CVE-2016-5407] |
| libxvmc | Dépassement de tampon par le bas avec des chaînes vides évité [CVE-2016-7953] |
| linux | Nouvelle version stable du noyau 3.16.51 |
| ncurses | Correction de divers bogues de plantage dans la bibliothèque et l'exécutable tic [CVE-2017-10684 CVE-2017-10685 CVE-2017-11112 CVE-2017-11113 CVE-2017-13728 CVE-2017-13729 CVE-2017-13730 CVE-2017-13731 CVE-2017-13732 CVE-2017-13734 CVE-2017-13733] |
| openssh | Test de la configuration avant le démarrage ou le rechargement de sshd sous systemd ; faire que --avant le nom d'hôte arrête le traitement d'argument et également après le nom d'hôte |
| pdns | Ajout de vérifications manquantes sur les opérations de l'API [CVE-2017-15091] |
| pdns-recursor | Correction d'injection de fichier de configuration dans l'API [CVE-2017-15093] |
| postgresql-9.4 | Nouvelle version amont de correction de bogues |
| python-tablib | Chargement sûr de YAML [CVE-2017-2810] |
| request-tracker4 | Correction d'une régression dans une précédente version de sécurité où des mots de passe SHA256 incorrects pourraient déclencher une erreur |
| ruby-ox | Plantage évité avec du code XML non valable passé à Oj.parse_obj() [CVE-2017-15928] |
| sam2p | Correction de plusieurs problèmes de dépassement d'entier ou de débordement de tampon de tas [CVE-2017-14628 CVE-2017-14629 CVE-2017-14630 CVE-2017-14631 CVE-2017-14636 CVE-2017-14637 CVE-2017-16663] |
| slurm-llnl | Correction du problème de sécurité provoqué par un traitement non sécurisé de chemin de fichier déclenché par l'échec d'un script Prolog [CVE-2016-10030] |
| sudo | Correction d'un accès arbitraire à un terminal [CVE-2017-1000368] |
| syslinux | Correction de problème de démarrage pour les micrologiciels anciens du BIOS en corrigeant l'ordre C/H/S |
| tor | Ajout du répertoire de tiers de confiance Bastet; mise à jour de geoip et geoip6 vers la base de données de pays Maxmind GeoLite2 du 4 octobre 2017 ; correction d'un memset() à la fin d'un tableau lors du remplissage de cellules |
| transfig | Ajout de vérification des entrées dans les fichiers FIG [CVE-2017-16899] ; vérification des entrées des motifs de remplissage |
| tzdata | Nouvelle version amont |
| unbound | Correction de l'installation de l'ancre de confiance quand deux ancres sont présentes ; inclusion de l'ancre de confiance racine id 20326 |
| weechat | logger : appel de strftime avant le remplacement des variables du tampon local[CVE-2017-14727] |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| libnet-ping-external-perl | non maintenu, problèmes de sécurité |
| aiccu | inutile depuis l'arrêt de SixXS |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de oldstable.URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution oldstable :
Mises à jour proposées à la distribution oldstable :
Informations sur la distribution oldstable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.