Publication de la mise à jour de Debian 10.1
7 septembre 2019
Le projet Debian a l'honneur d'annoncer la première mise à jour de sa
distribution stable Debian 10 (codename Buster
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version stable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans
ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| acme-tiny | Traitement du changement du protocole ACME à venir |
| android-sdk-meta | Nouvelle version amont ; correction des expressions rationnelles pour l'ajout de la version Debian aux paquets binaires |
| apt-setup | Correction de la préconfiguration de Secure Apt pour les dépôts locaux au moyen de apt-setup/localX/ |
| asterisk | Correction de dépassement de tampon dans res_pjsip_messaging [AST-2019-002/CVE-2019-12827] ; correction d'une vulnérabilité de plantage distant dans chan_sip [AST-2019-003/CVE-2019-13161] |
| babeltrace | Passage des dépendances des symboles ctf à la version après fusion |
| backup-manager | Correction de la purge d'archives distantes au moyen de FTP ou de SSH |
| base-files | Mise à jour pour cette version |
| basez | Décodage correct des chaînes encodées avec base64url |
| bro | Corrections de sécurité [CVE-2018-16807 CVE-2018-17019] |
| bzip2 | Correction d'une régression lors de la décompression de certains fichiers |
| cacti | Correction de certains problèmes lors de la mise à niveau à partir de la version dans Stretch |
| calamares-settings-debian | Correction des droits de l'image initramfs quand le chiffrement de disque complet est activé [CVE-2019-13179] |
| ceph | Reconstruction avec le nouveau libbabeltrace |
| clamav | Extraction de « bombes zip » non récursives évitées ; nouvelle version amont stable avec des corrections de sécurité – ajout de limite de temps de balayage pour réduire le risque de « bombes zip » [CVE-2019-12625] ; correction d'écriture hors limites dans la bibliothèque NSIS bzip2 [CVE-2019-12900] |
| cloudkitty | Correction d'échecs de construction avec SQLAlchemy mis à jour |
| console-setup | Correction de problèmes d'internationalisation lors du changement de locales dans Perl >= 5.28 |
| cryptsetup | Correction de la prise en charge des en-têtes LUKS2 sans aucune limite taille de « keyslot » ; correction de dépassement de segments mappés dans les architectures 32 bits |
| cups | Correction de multiples problèmes de sécurité ou de divulgation – problèmes de dépassements de tampon SNMP [CVE-2019-8696 CVE-2019-8675], de dépassement de tampon IPP, de déni de service et de divulgation de mémoire dans l'ordonnanceur |
| dbconfig-common | Correction d'un problème provoqué par la modification du comportement de bash POSIX |
| debian-edu-config | Utilisation de l'option ipappend 2de PXE pour l'amorçage plus rapide des clients LTSP ; correction de la configuration de sudo-ldap ; correction de la perte d'adresses IP v4 dynamiquement allouées ; plusieurs corrections et améliorations de debian-edu-config.fetch-ldap-cert |
| debian-edu-doc | Mise à jour des manuels et des traductions de Debian Edu Buster et d'ITIL |
| dehydrated | Correction de la récupération des informations de compte ; corrections complémentaires pour la gestion des identifiants de compte et pour la compatibilité APIv1 |
| devscripts | debchange : cible buster-backports avec l'option --bpo |
| dma | Connexions TLS pas limitées à l'utilisation de TLS 1.0 |
| dpdk | Nouvelle version amont stable |
| dput-ng | Ajout des noms de code buster-backports et stretch-backports-sloppy |
| e2fsprogs | Correction de plantages de e4defrag dans les architectures 32 bits |
| enigmail | Nouvelle version amont ; corrections de sécurité [CVE-2019-12269] |
| epiphany-browser | Utilisation garantie de la copie fournie de libdazzle par l'extension web |
| erlang-p1-pkix | Correction de la gestion des certificats GnuTLS |
| facter | Correction de l'analyse des options de routage Linux non clé/valeur (par exemple onlink) |
| fdroidserver | Nouvelle version amont |
| fig2dev | Plus d'erreur de segmentation sur les pointes de flèche circulaires ou semi-circulaires avec un grossissement supérieur à 42 [CVE-2019-14275] |
| firmware-nonfree | atheros : ajout du microprogramme Qualcomm Atheros QCA9377 rev 1.0 version WLAN.TF.2.1-00021-QCARMSWP-1 ; realtek : ajout du microprogramme Bluetooth Realtek RTL8822CU ; atheros : annulation du changement du microprogramme QCA9377 rev 1.0 dans 20180518-1 ; misc-nonfree : ajout du microprogramme pour les puces sans fil MediaTek MT76x0/MT76x2u, les puces Bluetooth MediaTek MT7622/MT7668, et du microprogramme GV100 signé |
| freeorion | Correction de plantage lors du chargement ou de la sauvegarde des données de jeu |
| fuse-emulator | Préférence du dorsal X11 à celui de Wayland ; affichage de l'icône de Fuse dans la fenêtre GTK et dans le dialogue « About » |
| fusiondirectory | Vérifications plus strictes des recherches LDAP ; ajout de la dépendance manquante à php-xml |
| gcab | Correction de corruption lors de l'extraction |
| gdb | Reconstruction avec le nouveau libbabeltrace |
| glib2.0 | Création, par le dorsal de configuration GKeyFile, de ~/.config et de fichiers de configuration avec des droits restreints [CVE-2019-13012] |
| gnome-bluetooth | Plus de plantage de GNOME Shell lors de l'utilisation de gnome-shell-extension-bluetooth-quick-connect |
| gnome-control-center | Correction de plantage quand le panneau Détails -> Overview (info-overview) est sélectionné ; correction de fuites de mémoire dans le panneau Accès universel ; correction d'une régression qui empêchait les options Accès universel -> Zoom mouse tracking d'avoir un effet ; mise à jour des traductions islandaise et japonaise |
| gnupg2 | Rétroportage de nombreuses corrections de bogue et de correctifs de stabilité à partir de l'amont ; utilisation de keys.openpgp.org comme serveur de clés par défaut ; importation uniquement des auto-signatures par défaut |
| gnuplot | Correction d'initialisation incomplète ou non sûre de tableau ARGV |
| gosa | Vérifications plus strictes des recherches LDAP |
| hfst | Mises à niveau à partir de Strecth sans heurt assurées |
| initramfs-tools | Désactivation de resume quand il n'y a pas de périphérique swap utilisable ; MODULES=most : inclusion de tous les modules de pilote de clavier, des pilotes cros_ec_spi et SPI et de extcon-usbc-cros-ec ; MODULES=dep : inclusion des pilotes extcon |
| jython | Conservation de la rétrocompatibilité avec Java 7 |
| lacme | Mise à jour pour supprimer la prise en charge de GET non authentifié de l'API ACMEv2 de Let's Encrypt |
| libblockdev | Utilisation de l'API cryptsetup existante pour changer la phrase secrète de « keyslot » |
| libdatetime-timezone-perl | Mise à jour des données incluses |
| libjavascript-beautifier-perl | Ajout de la prise en charge de l'opérateur => |
| libsdl2-image | Correction de dépassements de tampon [CVE-2019-5058 CVE-2019-5052 CVE-2019-7635] ; correction d'accès hors limites dans la gestion de PCX [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218 CVE-2019-12219 CVE-2019-12220 CVE-2019-12221 CVE-2019-12222 CVE-2019-5051] |
| libtk-img | Arrêt de l'utilisation de copies internes des codecs JPEG, Zlib et PixarLog, corrigeant des plantages |
| libxslt | Correction de contournement de l'infrastructure de sécurité [CVE-2019-11068], lecture non initialisée de jeton xsl:number [CVE-2019-13117] et lecture non initialisée de caractères groupés UTF-8 [CVE-2019-13118] |
| linux | Nouvelle version amont stable |
| linux-latest | Mise à jour pour l'ABI du noyau 4.19.0-6 |
| linux-signed-amd64 | Nouvelle version amont stable |
| linux-signed-arm64 | Nouvelle version amont stable |
| linux-signed-i386 | Nouvelle version amont stable |
| lttv | Reconstruction avec le nouveau libbabeltrace |
| mapproxy | Correction des capacités WMS avec Python 3.7 |
| mariadb-10.3 | Nouvelle version amont stable ; corrections de sécurité [CVE-2019-2737 CVE-2019-2739 CVE-2019-2740 CVE-2019-2758 CVE-2019-2805] ; correction d'erreur de segmentation lors de l'accès à « information_schema » ; « mariadbcheck » renommé « mariadb-check » |
| musescore | Désactivation de la fonctionnalité webkit |
| ncbi-tools6 | Réempaquetage sans les données non libres d'UniVec.* |
| ncurses | Suppression de repdes descriptions de xterm-new et du terminfo dérivé |
| netdata | Suppression de Google Analytics de la documentation générée ; renonciation à l'envoi de statistiques anonymes ; suppression du bouton sign in |
| newsboat | Correction de problème d'utilisation de mémoire après libération |
| nextcloud-desktop | Ajout de la dépendance manquante de nextcloud-desktop-common à nextcloud-desktop-cmd |
| node-lodash | Correction de pollution de prototype [CVE-2019-10744] |
| node-mixin-deep | Correction d'un problème de pollution de prototype |
| nss | Correction de problèmes de sécurité [CVE-2019-11719 CVE-2019-11727 CVE-2019-11729] |
| nx-libs | Correction d'un certain nombre de fuites de mémoire |
| open-infrastructure-compute-tools | Correction de démarrage de conteneur |
| open-vm-tools | Gestion correcte des versions de système d'exploitation sous la forme X, plutôt que X.Y |
| openldap | Limitation de proxyauthz de rootDN à ses propres bases de données [CVE-2019-13057] ; déclaration d'ACL sasl_ssf exigée à chaque connexion [CVE-2019-13565] ; correction de slapo-rwm pour ne pas vider le filtre original quand le filtre réécrit n'est pas valable |
| osinfo-db | Ajout des informations sur Buster 10.0 ; correction des URL pour le téléchargement de Stretch ; correction du nom du paramètre utilisé pour la configuration du nom complet lors de la création d'un fichier de préconfiguration |
| osmpbf | Reconstruction avec protobuf 3.6.1 |
| pam-u2f | Correction de gestion de fichier de débogage non sûre [CVE-2019-12209] ; correction de fuite de descripteur de fichier de débogage [CVE-2019-12210] ; correction d'accès hors limites ; correction d'erreur de segmentation consécutif à un échec d'allocation de tampon |
| passwordsafe | Installation des fichiers de localisation dans le répertoire correct |
| piuparts | Mise à jour des configurations pour la version de Buster ; correction d'un faux échec à la suppression de paquets dont le nom se termine par « + » ; création de noms d'archive distincts pour les chroots --merged-usr |
| postgresql-common | Correction de pg_upgradecluster de postgresql-common 200, 200+deb10u1, 201 et 202 va corrompre la configuration de data_directory lorsqu'il est utilisé *deux fois* pour mettre à niveau une grappe (par exemple 9.6 -> 10 -> 11) |
| pulseaudio | Correction de restauration de l'état muet |
| puppet-module-cinder | Correction de tentatives d'écriture dans /etc/init |
| python-autobahn | Correction des dépendances de construction de pyqrcode |
| python-django | Nouvelle version de sécurité amont [CVE-2019-12781] |
| raspi3-firmware | Ajout de la prise en charge de Raspberry Pi Compute Module 3 (CM3), Raspberry Pi Compute Module 3 Lite, et de Raspberry Pi Compute Module IO Board V3 |
| reportbug | Mise à jour des noms de version, suite à la publication de Buster ; réactivation des requêtes stretch-pu ; correction de plantages lors de la recherche de paquet ou de version ; ajout de la dépendance manquante à sensible-utils |
| ruby-airbrussh | Pas d'envoi d'exception lors de sortie SSH UTF-8 non valable |
| sdl-image1.2 | Correction de dépassements de tampon [CVE-2019-5052 CVE-2019-7635] et d'accès hors limites [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218 CVE-2019-12219 CVE-2019-12220 CVE-2019-12221 CVE-2019-12222 CVE-2019-5051] |
| sendmail | sendmail-bin.postinst, initscript : correspondance de start-stop-daemon avec un pidfile et un exécutable ; sendmail-bin.prerm : arrêt de sendmail avant la suppression des alternatives |
| slirp4netns | Nouvelle version amont stable avec des corrections de sécurité – vérification du résultat de sscanf lors de l'émulation d'ident [CVE-2019-9824] ; corrections de dépassement de tas dans la version de libslirp incluse [CVE-2019-14378] |
| systemd | Network : correction d'échec d'activation d'interface avec le noyau Linux 5.2 ; ask-password : dépassement de tampon évité lors de la lecture à partir du trousseau ; network : comportement plus élégant lorsqu'IPv6 a été désactivé |
| tzdata | Nouvelle version amont |
| unzip | Correction de problèmes de « bombe zip » [CVE-2019-13232] |
| usb.ids | Mise à jour ordinaire des identifiants USB |
| warzone2100 | Correction d'une erreur de segmentation lors de l'hébergement d'un jeu multijoueur |
| webkit2gtk | Nouvelle version amont stable ; plus d'exigence de processeur utilisant SSE2 |
| win32-loader | Reconstruction avec les paquets actuels, particulièrement de debian-archive-keyring ; correction d'échec de construction en imposant une « locale » POSIX |
| xymon | Correction de plusieurs problèmes de sécurité (serveur uniquement) [CVE-2019-13273 CVE-2019-13274 CVE-2019-13451 CVE-2019-13452 CVE-2019-13455 CVE-2019-13484 CVE-2019-13485 CVE-2019-13486] |
| yubikey-personalization | Rétroportage de mesures de sécurité supplémentaires |
| z3 | Pas de configuration du SONAME de libz3java.so à libz3.so.4 |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| pump | Non maintenu ; problèmes de sécurité |
| rustc | Suppression du code périmé de rust-doc |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution stable :
Mises à jour proposées à la distribution stable :
Informations sur la distribution stable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.