Publication de la mise à jour de Debian 10.2

16 novembre 2019

Le projet Debian a l'honneur d'annoncer la deuxième mise à jour de sa distribution stable Debian 10 (codename Buster). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de la version stable. Les annonces de sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document.

Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour.

Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.

De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.

Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :

https://www.debian.org/mirror/list

Corrections de bogues divers

Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants :

Paquet Raison
aegisub Correction de plantage lors de la sélection d'une langue à la fin de la liste Spell checker language ; correction de plantage lors d'un clic droit sur la zone de texte des sous-titres
akonadi Correction de divers problèmes de plantage ou de blocage
base-files Mise à jour de /etc/debian_version pour cette version
capistrano Correction d'échec pour supprimer les versions anciennes quand il y en a trop
cron Plus d'utilisation de l'API obsolète de SELinux
cyrus-imapd Correction de perte de données lors d'une mise à niveau à partir des versions 3.0.0 ou précédentes
debian-edu-config Gestion des nouveaux fichiers de configuration de Firefox ESR ; ajout d'un paragraphe post-up conditionnel à l'entrée eth0 de /etc/network/interfaces
debian-installer Correction de fontes illisibles sur les affichages HiDPI dans les images netboot démarrées avec EFI
debian-installer-netboot-images Reconstruction avec proposed-updates
distro-info-data Ajout d'Ubuntu 20.04 LTS, Focal Fossa
dkimpy-milter Nouvelle version amont stable ; correction de la prise en charge de sysvinit ; captation de plus d'erreurs d'encodage ASCII pour améliorer la résilience face aux mauvaises données ; correction de l'extraction de message de façon que la signature dans le filtre de courriel dans la même passe que la vérification fonctionne correctement
emacs Mise à jour de la clé d'empaquetage d'EPLA
fence-agents Correction de la suppression incomplète de fence_amt_ws
flatpak Nouvelle version amont stable
flightcrew Corrections de sécurité [CVE-2019-13032 CVE-2019-13241]
fonts-noto-cjk Correction de la sélection d'une fonte trop agressive parmi les fontes Noto CJK dans les navigateurs web modernes avec une « locale » chinoise
freetype Gestion correcte des points fantômes pour les fontes variables lissées
gdb Reconstruction avec la nouvelle version de libbabeltrace avec un numéro de version plus élevé pour éviter un conflit avec l'envoi précédent
glib2.0 Possibilité assurée d'authentification des clients libdbus avec un GDBusServer comme celui dans ibus
gnome-shell Nouvelle version amont stable ; correction de troncature des messages longs dans les boîtes de dialogue Shell modales ; plantage évité lors de la réallocation d'acteurs morts
gnome-sound-recorder Correction de plantage lors de la sélection d'un enregistrement
gnustep-base Désactivation du démon gdomap qui avait été accidentellement activé lors des mises à niveau à partir de Stretch
graphite-web Suppression de la fonction send_email inutilisée [CVE-2017-18638] ; erreur toutes les heures évitée dans cron quand il n'y pas de base de données Whisper
inn2 Correction de négociation des suites de chiffrement DHE
libapache-mod-auth-kerb Correction d'un bogue d'utilisation de mémoire après libération menant à un plantage
libdate-holidays-de-perl Marquage de la journée internationale de l'enfance (20 septembre) comme fériée à partir de 2019 en Thuringe
libdatetime-timezone-perl Mise à jour des données incluses
libofx Correction d'un problème de déréférencement de pointeur NULL [CVE-2019-9656]
libreoffice Correction du pilote de postgresql avec PostgreSQL 12
libsixel Correction de plusieurs problèmes de sécurité [CVE-2018-19756 CVE-2018-19757 CVE-2018-19759 CVE-2018-19761 CVE-2018-19762 CVE-2018-19763 CVE-2019-3573 CVE-2019-3574]
libxslt Correction de pointeur bancal dans xsltCopyText [CVE-2019-18197]
lucene-solr Désactivation de l'appel obsolète à ContextHandler dans solr-jetty9.xml ; correction des permissions de Jetty sur l'index SOLR
mariadb-10.3 Nouvelle version amont stable
modsecurity-crs Correction des règles de téléchargement de script PHP [CVE-2019-13464]
mutter Nouvelle version amont stable
ncurses Correction de plusieurs problèmes de sécurité [CVE-2019-17594 CVE-2019-17595] et d'autres problèmes dans tic
ndppd Fichier PID accessible en écriture à tous évité, ce qui cassait les scripts de démarrage du démon
network-manager Correction des permissions de fichier pour /var/lib/NetworkManager/secret_key et /var/lib/NetworkManager
node-fstream Correction d'un problème d'écrasement de fichier arbitraire [CVE-2019-13173]
node-set-value Correction de pollution de prototype [CVE-2019-10747]
node-yarnpkg Utilisation imposée de HTTPS pour les registres normaux
nx-libs Correction de régressions introduites dans l'envoi précédent, affectant x2go
open-vm-tools Correction de fuites de mémoire et de gestion d'erreur
openvswitch Mise à jour de debian/ifupdown.sh pour permettre la mise en place du MTU ; correction des dépendances à Python pour l'utilisation de Python 3
picard Mise à jour des traductions pour corriger un plantage avec la « locale » espagnole
plasma-applet-redshift-control Correction du mode manuel lors de son utilisation avec les versions de redshift supérieures à 1.12
postfix Nouvelle version amont stable ; contournement des mauvaises performances de la boucle locale TCP
python-cryptography Correction d'échec de la suite de tests lors de la construction avec les nouvelles versions d'OpenSSL ; correction d'une fuite de mémoire déclenchable lors de l'analyse d'extensions de certificat x509 comme AIA
python-flask-rdf Ajout de Depends à python{3,}-rdflib
python-oslo.messaging Nouvelle version amont stable ; correction de basculement de destination de connexion quand un nœud de grappe rabbitmq disparaît
python-werkzeug Assurance que les conteneurs Docker ont des codes PIN de débogage uniques [CVE-2019-14806]
python2.7 Correction de plusieurs problèmes de sécurité [CVE-2018-20852 CVE-2019-10160 CVE-2019-16056 CVE-2019-16935 CVE-2019-9740 CVE-2019-9947]
quota Correction de rpc.rquotad accaparant le processeur à 100 %
rpcbind Activation permise d’appels distants au moment de l'exécution
shelldap Réparation des authentifications SASL, ajout d'une option « sasluser »
sogo Correction d'affichage de courriels avec signature PGP
spf-engine Nouvelle version amont stable ; correction de la prise en charge de sysvinit
standardskriver Correction de l'avertissement d'obsolescence par config.RawConfigParser ; utilisation de la commande externe ip au lieu de la commande ifconfig obsolète
swi-prolog Utilisation de HTTPS lors du contact avec les serveurs de pack amont
systemd core : aucune propagation d'un échec de rechargement au résultat du service ; correction des échecs de sync_file_range dans les conteneurs nspawn sur arm et ppc ; correction de RootDirectory ne fonctionnant pas lors de son utilisation en association avec User ; assurance que les contrôles d'accès sur l'interface D-Bus de systemd-resolved sont appliqués correctement [CVE-2019-15718] ; correction de StopWhenUnneeded=true pour les unités (« units ») de montage ; MountFlags=shared remis en fonction
tmpreaper Casse évitée des services de systemd qui utilisent PrivateTmp=true
trapperkeeper-webserver-jetty9-clojure Rétablissement de la compatibilité de SSL avec les nouvelles versions de Jetty
tzdata Nouvelle version amont
ublock-origin Nouvelle version amont, compatible avec Firefox ESR68
uim Relance de libuim-data comme paquet de transition, corrigeant certains problèmes après les mises à niveau vers Buster
vanguards Nouvelle version amont stable ; rechargement évité de la configuration de tor au moyen de SIGHUP provoquant un déni de service pour les protections de vanguards

Mises à jour de sécurité

Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :

Identifiant Paquet
DSA-4509 apache2
DSA-4511 nghttp2
DSA-4512 qemu
DSA-4514 varnish
DSA-4515 webkit2gtk
DSA-4516 firefox-esr
DSA-4517 exim4
DSA-4518 ghostscript
DSA-4519 libreoffice
DSA-4520 trafficserver
DSA-4521 docker.io
DSA-4523 thunderbird
DSA-4524 dino-im
DSA-4525 ibus
DSA-4526 opendmarc
DSA-4527 php7.3
DSA-4528 bird
DSA-4530 expat
DSA-4531 linux-signed-amd64
DSA-4531 linux-signed-i386
DSA-4531 linux
DSA-4531 linux-signed-arm64
DSA-4532 spip
DSA-4533 lemonldap-ng
DSA-4534 golang-1.11
DSA-4535 e2fsprogs
DSA-4536 exim4
DSA-4538 wpa
DSA-4539 openssl
DSA-4539 openssh
DSA-4541 libapreq2
DSA-4542 jackson-databind
DSA-4543 sudo
DSA-4544 unbound
DSA-4545 mediawiki
DSA-4547 tcpdump
DSA-4549 firefox-esr
DSA-4550 file
DSA-4551 golang-1.11
DSA-4553 php7.3
DSA-4554 ruby-loofah
DSA-4555 pam-python
DSA-4556 qtbase-opensource-src
DSA-4557 libarchive
DSA-4558 webkit2gtk
DSA-4559 proftpd-dfsg
DSA-4560 simplesamlphp
DSA-4561 fribidi
DSA-4562 chromium

Paquets supprimés

Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :

Paquet Raison
firefox-esr [armel] prise en charge impossible à cause d'une dépendance de construction à nodejs

Installateur Debian

L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable.

URL

Liste complète des paquets qui ont été modifiés dans cette version :

http://ftp.debian.org/debian/dists/buster/ChangeLog

Adresse de l'actuelle distribution stable :

http://ftp.debian.org/debian/dists/stable/

Mises à jour proposées à la distribution stable :

http://ftp.debian.org/debian/dists/proposed-updates

Informations sur la distribution stable (notes de publication, errata, etc.) :

https://www.debian.org/releases/stable/

Annonces et informations de sécurité :

https://www.debian.org/security/

À propos de Debian

Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.

Contacts

Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.