Publication de la mise à jour de Debian 10.8
6 février 2021
Le projet Debian a l'honneur d'annoncer la huitième mise à jour de sa distribution stable Debian 10 (nom de code Buster
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de la version stable. Les annonces de sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| atftp | Correction d'un problème de déni de service [CVE-2020-6097] |
| base-files | Mise à jour de /etc/debian_version pour cette version |
| ca-certificates | Mise à jour du paquet CA de Mozilla vers la version 2.40, AddTrust External Rootexpiré mis en liste noire |
| cacti | Correction d'un problème d'injection SQL [CVE-2020-35701] et d'un problème de script intersite (XSS) stocké |
| cairo | Correction de l'utilisation de masque dans image-compositor [CVE-2020-35492] |
| choose-mirror | Mise à jour de la liste des miroirs |
| cjson | Correction de boucle infinie dans cJSON_Minify |
| clevis | Correction de la création d'initramfs ; clevis-dracut : création d'initramfs déclenchée à l'installation |
| cyrus-imapd | Correction de la comparaison de versions dans le script cron |
| debian-edu-config | Déplacement du code de nettoyage des fichiers keytabs de gosa-modify-host vers un script autonome, réduisant les appels de LDAP à une requête unique |
| debian-installer | Utilisation de l'ABI du noyau Linux 4.19.0-14 ; reconstruction avec proposed-updates |
| debian-installer-netboot-images | Reconstruction avec proposed-updates |
| debian-installer-utils | Prise en charge des partitions sur les périphériques USB UAS |
| device-tree-compiler | Correction d'erreur de segmentation dans dtc -I fs /proc/device-tree |
| didjvu | Ajout de dépendance de construction manquante à tzdata |
| dovecot | Correction de plantage lors de la recherche dans des boîtes aux lettres contenant des messages MIME mal formés |
| dpdk | Nouvelle version amont stable |
| edk2 | CryptoPkg/BaseCryptLib : correction de déréférencement de pointeur NULL [CVE-2019-14584] |
| emacs | Pas de plantage quand les ID utilisateur de OpenPGP n'ont pas d'adresse de courriel |
| fcitx | Correction de la prise en charge de la méthode d'entrée des logiciels installés avec Flatpak |
| file | Augmentation à 50 de la profondeur par défaut de récursion de nom |
| geoclue-2.0 | Vérification du niveau maximal de précision permis même pour les applications système ; clé de l'API de Mozilla configurable et utilisation d'une clé spécifique à Debian par défaut ; correction de l'affichage de l'indicateur d'utilisation |
| gnutls28 | Correction d'erreur de la suite de tests provoquée par un certificat expiré |
| grub2 | Lors de la mise à niveau de grub-pc de façon non interactive, abandon si grub-install échoue ; vérification explicite de l'existence du périphérique cible avant l'exécution de grub-install ; grub-install : ajout de sauvegarde et restauration ; pas d'appel de grub-install sur une installation neuve de grub-pc |
| highlight.js | Correction de pollution de prototype [CVE-2020-26237] |
| intel-microcode | Mise à jour de divers microprogrammes |
| iproute2 | Correction de bogues dans la sortie JSON ; correction d’une situation de compétition qui provoque un déni de service pour le système lors de l'utilisation de ip netns addau démarrage |
| irssi-plugin-xmpp | Pas de déclenchement prématuré de la temporisation de connexion du noyau d'irssi, corrigeant ainsi les connexions STARTTLS |
| libdatetime-timezone-perl | Mise à jour vers la nouvelle version de tzdata |
| libdbd-csv-perl | Correction d'échec de test avec libdbi-perl 1.642-1+deb10u2 |
| libdbi-perl | Correction de sécurité [CVE-2014-10402] |
| libmaxminddb | Correction de lecture hors limites de tampon de tas [CVE-2020-28241] |
| lttng-modules | Correction de construction avec les versions du noyau >= 4.19.0-10 |
| m2crypto | Correction de la compatibilité avec OpenSSL 1.1.1i et suivants |
| mini-buildd | builder.py : appel de sbuild : réglé à --no-arch-allde façon explicite |
| net-snmp | snmpd : ajout des paramètres cacheTime et execType à EXTEND-MIB |
| node-ini | Chaînes aléatoires non valables interdites comme nom de section [CVE-2020-7788] |
| node-y18n | Correction d'un problème de pollution de prototype [CVE-2020-7774] |
| nvidia-graphics-drivers | Nouvelle version amont ; correction de déni de service et de divulgation d'informations potentiels [CVE-2021-1056] |
| nvidia-graphics-drivers-legacy-390xx | Nouvelle version amont ; correction de déni de service et de divulgation d'informations potentiels [CVE-2021-1056] |
| pdns | Corrections de sécurité [CVE-2019-10203 CVE-2020-17482] |
| pepperflashplugin-nonfree | Transformation en paquet factice en prenant soin de supprimer le greffon précédemment installé (plus fonctionnel ni pris en charge) |
| pngcheck | Correction de dépassement de tampon [CVE-2020-27818] |
| postgresql-11 | Nouvelle version amont stable ; corrections de sécurité [CVE-2020-25694 CVE-2020-25695 CVE-2020-25696] |
| postsrsd | Vérification que les indicateurs d’estampille temporelle ne sont pas trop longs avant d'essayer de les décoder [CVE-2020-35573] |
| python-bottle | Plus d'autorisation de ;comme séparateur de chaîne de requête [CVE-2020-28473] |
| python-certbot | Utilisation automatique de l'API ACMEv2 pour les renouvellements pour éviter des problèmes avec le retrait de l'API ACMEv1 |
| qxmpp | Correction d'erreur de segmentation potentielle lors d'une erreur de connexion |
| silx | python(3)-silx : ajout de dépendance à python(3)-scipy |
| slirp | Correction de dépassements de tampon [CVE-2020-7039 CVE-2020-8608] |
| steam | Nouvelle version amont |
| systemd | journal : pas d'assertion déclenchée quand NULL est passée à journal_file_close() |
| tang | Situation de compétition évitée entre keygen et update |
| tzdata | Nouvelle version amont ; mise à jour des données de fuseau horaire incluses |
| unzip | Application de corrections supplémentaires pour le CVE-2019-13232 |
| wireshark | Correction de divers plantages, boucles infinies et fuites de mémoire [CVE-2019-16319 CVE-2019-19553 CVE-2020-11647 CVE-2020-13164 CVE-2020-15466 CVE-2020-25862 CVE-2020-25863 CVE-2020-26418 CVE-2020-26421 CVE-2020-26575 CVE-2020-28030 CVE-2020-7045 CVE-2020-9428 CVE-2020-9430 CVE-2020-9431] |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| compactheader | Incompatible avec les versions actuelles de Thunderbird |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution stable :
Mises à jour proposées à la distribution stable :
Informations sur la distribution stable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.