------------------------------------------------------------------------
Projet Debian
https://www.debian.org/
Publication de la mise à jour de Debian 10.1
press@debian.org
7 septembre 2019
https://www.debian.org/News/2019/20190907
------------------------------------------------------------------------
Le projet Debian a l'honneur d'annoncer la première mise à jour de sa distribution stable Debian 10 (codename « Buster »). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement
des problèmes de sécurité de la version stable. Les annonces de sécurité ont déjà été publiées séparément et sont simplement référencées dans ce
document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle
version de Debian 10 mais seulement une mise à jour de certains des
paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens
médias de la version Buster. Après installation, les paquets peuvent
être mis à niveau vers les versions courantes en utilisant un miroir
Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et
la plupart des mises à jour de security.debian.org sont comprises dans
cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à
leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux
miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
https://www.debian.org/mirror/list
Corrections de bogues divers
----------------------------
Cette mise à jour de la version stable apporte quelques corrections importantes aux paquets suivants :
Paquet Raison acme-tiny Traitement du changement du protocole ACME à venir android-sdk-meta Nouvelle version amont ; correction des expressions rationnelles pour l'ajout de la version Debian aux
paquets binaires apt-setup Correction de la préconfiguration de Secure Apt pour
les dépôts locaux au moyen de apt-setup/localX/
asterisk Correction de dépassement de tampon dans res_pjsip_messaging [AST-2019-002/CVE-2019-12827] ;
correction d'une vulnérabilité de plantage distant
dans chan_sip [AST-2019-003/CVE-2019-13161]
babeltrace Passage des dépendances des symboles ctf à la version
après fusion
backup-manager Correction de la purge d'archives distantes au moyen de FTP ou de SSH base-files Mise à jour pour cette version basez Décodage correct des chaînes encodées avec base64url
bro Corrections de sécurité [CVE-2018-16807 CVE-2018-17019] bzip2 Correction d'une régression lors de la décompression
de certains fichiers cacti Correction de certains problèmes lors de la mise à
niveau à partir de la version dans Stretch
calamares-settings-debian
Correction des droits de l'image initramfs quand le
chiffrement de disque complet est activé [CVE-2019-13179] ceph Reconstruction avec le nouveau libbabeltrace clamav Extraction de « bombes zip » non récursives évitées ;
nouvelle version amont stable avec des corrections de
sécurité – ajout de limite de temps de balayage pour
réduire le risque de « bombes zip » [CVE-2019-12625] ; correction d'écriture hors limites
dans la bibliothèque NSIS bzip2 [CVE-2019-12900]
cloudkitty Correction d'échecs de construction avec SQLAlchemy mis à jour
console-setup Correction de problèmes d'internationalisation lors du changement de locales dans Perl >= 5.28 cryptsetup Correction de la prise en charge des en-têtes LUKS2 sans aucune limite de taille de « keyslot » ;
correction de dépassement de segments mappés dans les
architectures 32 bits cups Correction de multiples problèmes de sécurité ou de
divulgation – problèmes de dépassements de tampon
SNMP [CVE-2019-8696 CVE-2019-8675], de dépassement de
tampon IPP, de déni de service et de divulgation de
mémoire dans l'ordonnanceur dbconfig-common Correction d'un problème provoqué par la modification du comportement de bash POSIX debian-edu-config Utilisation de l'option « ipappend 2 » de PXE pour l'amorçage plus rapide des clients LTSP ; correction
de la configuration de sudo-ldap ; correction de la
perte d'adresses IP v4 dynamiquement allouées ;
plusieurs corrections et améliorations de debian-edu-
config.fetch-ldap-cert debian-edu-doc Mise à jour des manuels et des traductions de Debian Edu Buster et d'ITIL dehydrated Correction de la récupération des informations de compte ; corrections complémentaires pour la
gestion des identifiants de compte et pour la
compatibilité APIv1 devscripts debchange : cible buster-backports avec l'option --bpo
dma Connexions TLS pas limitées à l'utilisation de
TLS 1.0
dpdk Nouvelle version amont stable dput-ng Ajout des noms de code buster-backports et stretch-backports-sloppy e2fsprogs Correction de plantages de e4defrag dans les architectures 32 bits enigmail Nouvelle version amont ; corrections de sécurité
[CVE-2019-12269]
epiphany-browser Utilisation garantie de la copie fournie de libdazzle par l'extension web erlang-p1-pkix Correction de la gestion des certificats GnuTLS facter Correction de l'analyse des options de routage Linux non clé/valeur (par exemple onlink) fdroidserver Nouvelle version amont
fig2dev Plus d'erreur de segmentation sur les pointes de flèche circulaires ou semi-circulaires avec un
grossissement supérieur à 42 [CVE-2019-14275]
firmware-nonfree atheros : ajout du microprogramme Qualcomm Atheros QCA9377 rev 1.0 version WLAN.TF.2.1-00021-
QCARMSWP-1 ; realtek : ajout du microprogramme
Bluetooth Realtek RTL8822CU ; atheros : annulation du
changement du microprogramme QCA9377 rev 1.0 dans
20180518-1 ; misc-nonfree : ajout du microprogramme
pour les puces sans fil MediaTek MT76x0/MT76x2u, les
puces Bluetooth MediaTek MT7622/MT7668, et du microprogramme GV100 signé freeorion Correction de plantage lors du chargement ou de la sauvegarde des données de jeu fuse-emulator Préférence du dorsal X11 à celui de Wayland ; affichage de l'icône de Fuse dans la fenêtre GTK et
dans le dialogue « About » fusiondirectory Vérifications plus strictes des recherches LDAP ; ajout de la dépendance manquante à php-xml
gcab Correction de corruption lors de l'extraction gdb Reconstruction avec le nouveau libbabeltrace glib2.0 Création, par le dorsal de configuration GKeyFile,
de ~/.config et de fichiers de configuration avec des
droits restreints[CVE-2019-13012] gnome-bluetooth Plus de plantage de GNOME Shell lors de l'utilisation de gnome-shell-extension-bluetooth-quick-connect
gnome-control-center
Correction de plantage quand le panneau Détails ->
Overview (info-overview) est sélectionné ; correction
de fuites de mémoire dans le panneau Accès
universel ; correction d'une régression qui empêchait
les options Accès universel -> Zoom mouse tracking
d'avoir un effet ; mise à jour des traductions
islandaise et japonaise gnupg2 Rétroportage de nombreuses corrections de bogue et de
correctifs de stabilité à partir de l'amont ;
utilisation de keys.openpgp.org comme serveur de clés
par défaut ; importation uniquement des auto-
signatures par défaut gnuplot Correction d'initialisation incomplète ou non sûre de
tableau ARGV gosa Vérifications plus strictes des recherches LDAP
hfst Mises à niveau à partir de Strecth sans heurt
assurées
initramfs-tools Désactivation de resume quand il n'y a pas de périphérique swap utilisable ; MODULES=most :
inclusion de tous les modules de pilote de clavier,
des pilotes cros_ec_spi et SPI et de extcon-usbc-
cros-ec ; MODULES=dep : inclusion des pilotes extcon
jython Conservation de la rétrocompatibilité avec Java 7
lacme Mise à jour pour supprimer la prise en charge de GET
non authentifié de l'API ACMEv2 de Let's Encrypt
libblockdev Utilisation de l'API cryptsetup existante pour changer la phrase secrète de « keyslot »
libdatetime-timezone-perl
Mise à jour des données incluses libjavascript-beautifier-perl
Ajout de la prise en charge de l'opérateur « => »
libsdl2-image Correction de dépassements de tampon [CVE-2019-5058 CVE-2019-5052 CVE-2019-7635] ; correction d'accès
hors limites dans la gestion de PCX [CVE-2019-12216
CVE-2019-12217 CVE-2019-12218 CVE-2019-12219
CVE-2019-12220 CVE-2019-12221 CVE-2019-12222
CVE-2019-5051]
libtk-img Arrêt de l'utilisation de copies internes des codecs
JPEG, Zlib et PixarLog, corrigeant des plantages
libxslt Correction de contournement de l'infrastructure de
sécurité [CVE-2019-11068], lecture non initialisée de
jeton xsl:number [CVE-2019-13117] et lecture non
initialisée de caractères groupés UTF-8 [CVE-2019-13118] linux Nouvelle version amont stable linux-latest Mise à jour pour l'ABI du noyau 4.19.0-6 linux-signed-amd64
Nouvelle version amont stable linux-signed-arm64
Nouvelle version amont stable linux-signed-i386 Nouvelle version amont stable lttv Reconstruction avec le nouveau libbabeltrace mapproxy Correction des capacités WMS avec Python 3.7 mariadb-10.3 Nouvelle version amont stable ; corrections de sécurité [CVE-2019-2737 CVE-2019-2739 CVE-2019-2740
CVE-2019-2758 CVE-2019-2805] ; correction d'erreur de
segmentation lors de l'accès à « information_
schema » ; « mariadbcheck » renommé « mariadb-check »
musescore Désactivation de la fonctionnalité webkit ncbi-tools6 Réempaquetage sans les données non libres d'UniVec.*
ncurses Suppression de « rep » des descriptions de xterm-new
et du terminfo dérivé netdata Suppression de Google Analytics de la documentation
générée ; renonciation à l'envoi de statistiques
anonymes ; suppression du bouton « sign in »
newsboat Correction de problème d'utilisation de mémoire après
libération
nextcloud-desktop Ajout de la dépendance manquante de nextcloud- desktop-common à nextcloud-desktop-cmd node-lodash Correction de pollution de prototype [CVE-2019-10744] node-mixin-deep Correction d'un problème de pollution de prototype nss Correction de problèmes de sécurité [CVE-2019-11719
CVE-2019-11727 CVE-2019-11729] nx-libs Correction d'un certain nombre de fuites de mémoire
open-infrastructure-compute-tools
Correction de démarrage de conteneur open-vm-tools Gestion correcte des versions de système d'exploitation sous la forme « X », plutôt que
« X.Y »
openldap Limitation de proxyauthz de rootDN à ses propres bases de données [CVE-2019-13057] ; déclaration d'ACL
sasl_ssf exigée à chaque connexion [CVE-2019-13565] ;
correction de slapo-rwm pour ne pas vider le filtre
original quand le filtre réécrit n'est pas valable
osinfo-db Ajout des informations sur Buster 10.0 ; correction
des URL pour le téléchargement de Stretch ;
correction du nom du paramètre utilisé pour la
configuration du nom complet lors de la création d'un
fichier de préconfiguration osmpbf Reconstruction avec protobuf 3.6.1 pam-u2f Correction de gestion de fichier de débogage non sûre
[CVE-2019-12209] ; correction de fuite de descripteur
de fichier de débogage [CVE-2019-12210] ; correction
d'accès hors limites ; correction d'erreur de
segmentation consécutif à un échec d'allocation de
tampon
passwordsafe Installation des fichiers de localisation dans le répertoire correct piuparts Mise à jour des configurations pour la version de Buster ; correction d'un faux échec à la suppression
de paquets dont le nom se termine par « + » ;
création de noms d'archive distincts pour les chroots
--merged-usr
postgresql-common Correction de « pg_upgradecluster de postgresql- common 200, 200+deb10u1, 201 et 202 va corrompre
la configuration de data_directory lorsqu'il est
utilisé *deux fois* pour mettre à niveau une grappe
(par exemple 9.6 -> 10 -> 11) » pulseaudio Correction de restauration de l'état muet puppet-module-cinder
Correction de tentatives d'écriture dans /etc/init
python-autobahn Correction des dépendances de construction de pyqrcode
python-django Nouvelle version de sécurité amont [CVE-2019-12781] raspi3-firmware Ajout de la prise en charge de Raspberry Pi Compute Module 3 (CM3), Raspberry Pi Compute Module 3 Lite,
et de Raspberry Pi Compute Module IO Board V3
reportbug Mise à jour des noms de version, suite à la publication de Buster ; réactivation des requêtes
stretch-pu ; correction de plantages lors de la
recherche de paquet ou de version ; ajout de la
dépendance manquante à sensible-utils ruby-airbrussh Pas d'envoi d'exception lors de sortie SSH UTF-8 non valable
sdl-image1.2 Correction de dépassements de tampon [CVE-2019-5052 CVE-2019-7635] et d'accès hors limites [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218
CVE-2019-12219 CVE-2019-12220 CVE-2019-12221
CVE-2019-12222 CVE-2019-5051] sendmail sendmail-bin.postinst, initscript : correspondance de
start-stop-daemon avec un pidfile et un exécutable ;
sendmail-bin.prerm : arrêt de sendmail avant la
suppression des alternatives slirp4netns Nouvelle version amont stable avec des corrections de sécurité – vérification du résultat de sscanf lors de
l'émulation d'ident [CVE-2019-9824] ; corrections de
dépassement de tas dans la version de libslirp
incluse [CVE-2019-14378] systemd Network : correction d'échec d'activation d'interface
avec le noyau Linux 5.2 ; ask-password : dépassement
de tampon évité lors de la lecture à partir du
trousseau ; network : comportement plus élégant
lorsqu'IPv6 a été désactivé tzdata Nouvelle version amont unzip Correction de problèmes de « bombe zip » [CVE-2019-13232] usb.ids Mise à jour ordinaire des identifiants USB warzone2100 Correction d'une erreur de segmentation lors de l'hébergement d'un jeu multijoueur webkit2gtk Nouvelle version amont stable ; plus d'exigence de processeur utilisant SSE2 win32-loader Reconstruction avec les paquets actuels, particulièrement de debian-archive-keyring ;
correction d'échec de construction en imposant une
« locale » POSIX xymon Correction de plusieurs problèmes de sécurité
(serveur uniquement) [CVE-2019-13273 CVE-2019-13274
CVE-2019-13451 CVE-2019-13452 CVE-2019-13455
CVE-2019-13484 CVE-2019-13485 CVE-2019-13486]
yubikey-personalization
Rétroportage de mesures de sécurité supplémentaires
z3 Pas de configuration du SONAME de libz3java.so à
libz3.so.4
Mises à jour de sécurité
------------------------
Cette révision ajoute les mises à jour de sécurité suivantes à la version stable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Identifiant Paquet
DSA-4477 zeromq3
DSA-4478 dosbox
DSA-4479 firefox-esr
DSA-4480 redis
DSA-4481 ruby-mini-magick
DSA-4482 thunderbird
DSA-4483 libreoffice
DSA-4484 linux
DSA-4484 linux-signed-i386
DSA-4484 linux-signed-arm64
DSA-4484 linux-signed-amd64
DSA-4486 openjdk-11
DSA-4488 exim4
DSA-4489 patch
DSA-4490 subversion
DSA-4491 proftpd-dfsg
DSA-4493 postgresql-11
DSA-4494 kconfig
DSA-4495 linux-signed-amd64
DSA-4495 linux-signed-arm64
DSA-4495 linux
DSA-4495 linux-signed-i386
DSA-4496 pango1.0
DSA-4498 python-django
DSA-4499 ghostscript
DSA-4501 libreoffice
DSA-4502 ffmpeg
DSA-4503 golang-1.11
DSA-4504 vlc
DSA-4505 nginx
DSA-4507 squid
DSA-4508 h2o
DSA-4509 apache2
DSA-4510 dovecot
Paquets supprimés
-----------------
Les paquets suivants ont été supprimés à cause de circonstances hors
de notre contrôle :
Paquet Raison
pump Non maintenu ; problèmes de sécurité
rustc Suppression du code périmé de rust-doc
Installateur Debian
-------------------
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de stable.
URL
---
Liste complète des paquets qui ont été modifiés dans cette version :
http://ftp.debian.org/debian/dists/buster/ChangeLog
Adresse de l'actuelle distribution stable :
http://ftp.debian.org/debian/dists/stable/
Mises à jour proposées à la distribution stable :
http://ftp.debian.org/debian/dists/proposed-updates
Informations sur la distribution stable (notes de publication, errata, etc.) :
https://www.debian.org/releases/stable/
Annonces et informations de sécurité :
https://www.debian.org/security/
À propos de Debian
------------------
Le projet Debian est une association de développeurs de logiciels
libres qui offrent volontairement leur temps et leurs efforts pour
produire le système d'exploitation complètement libre Debian.
Contacts
--------
Pour de plus amples informations, veuillez consulter le site Internet
de Debian
https://www.debian.org/ ou envoyez un courrier électronique à <press@d