Publication de la mise à jour de Debian 10.4
9 mai 2020
Le projet Debian a l'honneur d'annoncer la quatrième mise à jour de sa
distribution stable Debian 10 (nom de code Buster
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version stable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans
ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| apt-cacher-ng | Appel sécurisé imposé au serveur pour le déclenchement de tâches de maintenance [CVE-2020-5202] ; compression .zst permise pour les archives ; augmentation de la taille du tampon de ligne de décompression pour la lecture de fichier de configuration |
| backuppc | Passage du nom d'utilisateur à start-stop-daemon lors du rechargement empêchant les échecs de rechargement |
| base-files | Mise à jour pour cette version |
| brltty | Réduction de la sévérité des messages de connexion pour éviter de générer trop de messages lors de l'utilisation des nouvelles versions d'Orca |
| checkstyle | Correction d'un problème d'injection d'entité externe XML [CVE-2019-9658 CVE-2019-10782] |
| choose-mirror | Mise à jour de la liste de miroirs incluse |
| clamav | Nouvelle version amont [CVE-2020-3123] |
| corosync | totemsrp : réduction du MTU pour éviter la création de paquets surdimensionnés |
| corosync-qdevice | Correction de démarrage du service |
| csync2 | Échec de la commande HELLO quand SSL est requis |
| cups | Correction de dépassement de tas [CVE-2020-3898] et de la fonction « ippReadIO » peut effectuer une lecture hors limite d'un champ d'extension[CVE-2019-8842] |
| dav4tbsync | Nouvelle version amont restaurant la compatibilité avec les dernières versions de Thunderbird |
| debian-edu-config | Ajout de fichiers de politique pour Firefox ESR et Thunderbird pour corriger la configuration de TLS/SSL |
| debian-installer | Mise à jour pour l'ABI du noyau 4.19.0-9 |
| debian-installer-netboot-images | Reconstruction avec proposed-updates |
| debian-security-support | Nouvelle version amont stable ; mise à jour de l'état de plusieurs paquets ; utilisation de runuserà la place de su |
| distro-info-data | Ajout d'Ubuntu 20.10 et de la date probable de fin de prise en charge de Stretch |
| dojo | Correction de mauvaise utilisation d'expressions rationnelles [CVE-2019-10785] |
| dpdk | Nouvelle version amont stable |
| dtv-scan-tables | Nouvel instantané amont ; ajout de tous les multiplexes de DVB-T2 allemand et du satellite Eutelsat-5-West-A |
| eas4tbsync | Nouvelle version amont restaurant la compatibilité avec les dernières versions de Thunderbird |
| edk2 | Correctifs de sécurité [CVE-2019-14558 CVE-2019-14559 CVE-2019-14563 CVE-2019-14575 CVE-2019-14586 CVE-2019-14587] |
| el-api | Correction des mises à niveau de Stretch à Buster qui incluent Tomcat 8 |
| fex | Correction d'un possible problème de sécurité dans fexsrv |
| filezilla | Correction d'une vulnérabilité de chemin de recherche non fiable [CVE-2019-5429] |
| frr | Correction de la capacité next hopétendue |
| fuse | Retrait des commandes udevadm obsolètes des scripts post-installation ; pas de retrait explicite de fuse.conf lors d'une purge |
| fuse3 | Retrait des commandes udevadm obsolètes des scripts post-installation ; pas de retrait explicite de fuse.conf lors d'une purge ; correction de fuite de mémoire dans fuse_session_new() |
| golang-github-prometheus-common | Extension de validité des certificats de test |
| gosa | Remplacement de (un)serializepar json_encode/json_decode pour réduire l'injection d'objet PHP [CVE-2019-14466] |
| hbci4java | Prise en charge de la directive européenne sur les services de paiement (PSD2) |
| hibiscus | Prise en charge de la directive européenne sur les services de paiement (PSD2) |
| iputils | Correction d'un problème dans lequel ping terminerait incorrectement avec un code d'erreur quand il y a encore des adresses non essayées disponibles dans la valeur de retour de l'appel de la bibliothèque getaddrinfo() |
| ircd-hybrid | Utilisation de dhparam.pem pour éviter un plantage au démarrage |
| jekyll | Utilisation de ruby-i18n 0.x et 1.x permise |
| jsp-api | Correction des mises à niveau de Stretch à Buster qui impliquent Tomcat 8 |
| lemonldap-ng | Accès non désiré évité aux points de terminaison d'administration [CVE-2019-19791] ; correction du greffon GrantSession qui pourrait ne pas interdire la connexion lors de l'utilisation de l'authentification à deux facteurs ; correction de redirections arbitraires avec OIDC si redirect_uri n'est pas utilisé |
| libdatetime-timezone-perl | Mise à jour des données incluses |
| libreoffice | Correction de transition de diapositives d'OpenGL |
| libssh | Correction d'un potentiel problème de déni de service lors de la gestion de clés AES-CTR avec OpenSSL [CVE-2020-1730] |
| libvncserver | Correction de dépassement de tas [CVE-2019-15690] |
| linux | Nouvelle version amont stable |
| linux-latest | Mise à jour de l'ABI du noyau Linux 4.19.0-9 |
| linux-signed-amd64 | Nouvelle version amont stable |
| linux-signed-arm64 | Nouvelle version amont stable |
| linux-signed-i386 | Nouvelle version amont stable |
| lwip | Correction de dépassement de tampon [CVE-2020-8597] |
| lxc-templates | Nouvelle version amont stable ; gestion des langues encodées uniquement en UTF-8 |
| manila | Correction d'absence de droits d'accès [CVE-2020-9543] |
| megatools | Ajout de la prise en charge du nouveau format de liens de mega.nz |
| mew | Correction de vérification de validité de certificat SSL de serveur |
| mew-beta | Correction de vérification de validité de certificat SSL de serveur |
| mkvtoolnix | Reconstruction pour renforcer la dépendance de libmatroska6v5 |
| ncbi-blast+ | Désactivation de la prise en charge de SSE4.2 |
| node-anymatch | Retrait de dépendances non nécessaires |
| node-dot | Exécution de code évitée après pollution de prototype [CVE-2020-8141] |
| node-dot-prop | Correction de pollution de prototype [CVE-2020-8116] |
| node-knockout | Correction de protection avec les anciennes versions d'Internet Explorer [CVE-2019-14862] |
| node-mongodb | Rejet de _bsontypes non valables [CVE-2019-2391 CVE-2020-7610] |
| node-yargs-parser | Correction de pollution de prototype [CVE-2020-7608] |
| npm | Correction d'accès à un chemin arbitraire [CVE-2019-16775 CVE-2019-16776 CVE-2019-16777] |
| nvidia-graphics-drivers | Nouvelle version amont stable |
| nvidia-graphics-drivers-legacy-390xx | Nouvelle version amont stable |
| nvidia-settings-legacy-340xx | Nouvelle version amont |
| oar | Retour au comportement de Stretch pour la fonction Perl Storable::dclone corrigeant des problèmes de profondeur de récursion |
| opam | Mcss préféré à aspcud |
| openvswitch | Correction d'interruption de vswitchd quand un port est ajouté et que le contrôleur ne fonctionne pas |
| orocos-kdl | Correction de conversion de chaîne avec Python 3 |
| owfs | Retrait de paquets Python 3 cassés |
| pango1.0 | Correction de plantage dans pango_fc_font_key_get_variations() quand la clé est nulle |
| pgcli | Ajout de dépendance manquante à python3-pkg-resources |
| php-horde-data | Correction d'une vulnérabilité d'exécution authentifiée de code distant [CVE-2020-8518] |
| php-horde-form | Correction d'une vulnérabilité d'exécution authentifiée de code distant [CVE-2020-8866] |
| php-horde-trean | Correction d'une vulnérabilité d'exécution authentifiée de code distant [CVE-2020-8865] |
| postfix | Nouvelle version amont stable ; correction de panique avec la configuration de Postfix avec plusieurs Milterpendant MAIL FROM ; correction de modification d'exécution de d/init.d de sorte qu'il fonctionne à nouveau avec plusieurs instances |
| proftpd-dfsg | Correction d'un problème d'accès mémoire dans le code de clavier interactif dans mod_sftp ; gestion correcte des messages DEBUG, IGNORE, DISCONNECT et UNIMPLEMENTED dans le mode clavier interractif |
| puma | Correction d'un problème de déni de service [CVE-2019-16770] |
| purple-discord | Correction de plantages dans ssl_nss_read |
| python-oslo.utils | Correction de fuite d'informations sensibles au moyen de journaux de mistral [CVE-2019-3866] |
| rails | Correction d'une potentielle vulnérabilité de script intersite au moyen de l'assistant d'échappement de Javascript [CVE-2020-5267] |
| rake | Correction d'un vulnérabilité d'injection de commande [CVE-2020-8130] |
| raspi3-firmware | Correction d'erreur de noms dtb dans z50-raspi-firmware ; correction de démarrage sur les Raspberry Pi familles 1 et 0 |
| resource-agents | Correction de ethmonitor ne liste pas les interfaces sans adresses IP assignées; retrait du correctif de xen-toolstack qui n'est plus requis ; correction d'une utilisation non standard dans l'agent ZFS |
| rootskel | Désactivation de la prise en charge de plusieurs consoles lors de l'utilisation de la préconfiguration |
| ruby-i18n | Correction de génération de gemspec |
| rubygems-integration | Avertissements d'obsolescence évités quand les utilisateurs installent une nouvelle version de Rubygems au moyen de gem update --system |
| schleuder | Amélioration du correctif pour gérer les erreurs d'encodage introduites dans la version précédente ; passage de l'encodage par défaut à UTF-8 ; gestion par x-add-key de courriels des clés attachées encodées au format Quoted-Printable; correction de x-attach-listkey avec des courriels créés par Thunderbird qui comprennent des en-têtes protégés |
| scilab | Correction du chargement de la bibliothèque avec OpenJDK 11.0.7 |
| serverspec-runner | Prise en charge de Ruby 2.5 |
| softflowd | Correction d’agrégation de flux cassée qui pourrait provoquer un débordement de table de flux et une utilisation de processeur à 100 % |
| speech-dispatcher | Correction de la latence par défaut de pulseaudio qui déclenche une sortie scratchy |
| spl-linux | Correction de blocage |
| sssd | Correction d'attente active de sssd_be quand la connexion de LDAP est intermittente |
| systemd | Nouvelle résolution de callback/userdata à la place d'une mise en cache lors d'une autorisation au moyen de PolicyKit [CVE-2020-1712] ; installation de 60-block.rules dans udev-udeb et initramfs-tools |
| taglib | Correction de problèmes de corruption avec les fichiers OGG |
| tbsync | Nouvelle version amont restaurant la compatibilité avec les dernières versions de Thunderbird |
| timeshift | Correction d'utilisation de répertoire temporaire prévisible [CVE-2020-10174] |
| tinyproxy | Configuration de PIDDIR seulement si PIDFILE est une chaîne de longueur différente de zéro |
| tzdata | Nouvelle version amont stable |
| uim | Désinscription des modules qui ne sont pas installés, correction d'une régression dans l'envoi précédent |
| user-mode-linux | Correction d'échec de construction avec les noyaux stables actuels |
| vite | Correction de plantage quand il y a plus de 32 éléments |
| waagent | Nouvelle version amont ; prise en charge de la co-installation avec cloud-init |
| websocket-api | Correction des mises à niveau de Stretch à Buster qui incluent Tomcat 8 |
| wpa | Pas d'essai de détection d'erreur PSK durant la recomposition de PTK ; vérification de la prise en charge de FT lors de la sélection des suites FT ; correction d'un problème de randomisation de MAC avec certaines cartes |
| xdg-utils | xdg-open : correction de vérification de pcmanfm et de gestion de répertoires avec des espaces dans leur nom ; xdg-screensaver : nettoyage du nom de fenêtre avant de l'envoyer sur D-Bus ; xdg-mime : création du répertoire config s'il n'existe pas encore |
| xtrlock | Correction du blocage de (certains) périphériques multipoints lors du verrouillage [CVE-2016-10894] |
| zfs-linux | Correction de possibles problèmes de blocage |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| getlive | Cassé par des modifications de Hotmail |
| gplaycli | Cassé par des modifications de l'API de Google |
| kerneloops | Service amont plus disponible |
| lambda-align2 | [arm64 armel armhf i386 mips64el ppc64el s390x] Cassé sur les architectures non amd64 |
| libmicrodns | Problèmes de sécurité |
| libperlspeak-perl | Problèmes de sécurité ; non maintenu |
| quotecolors | Incompatible avec les dernières versions de Thunderbird |
| torbirdy | Incompatible avec les dernières versions de Thunderbird |
| ugene | Non libre ; échec de construction |
| yahoo2mbox | Cassé depuis plusieurs années |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution stable :
Mises à jour proposées à la distribution stable :
Informations sur la distribution stable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.