------------------------------------------------------------------------ Projet Debian https://www.debian.org/ Publication de la mise à jour de Debian 8.10 pr...@debian.org 9 décembre 2017 https://www.debian.org/News/2017/20171209 ------------------------------------------------------------------------
Le projet Debian a l'honneur d'annoncer la dixième mise à jour de sa distribution oldstable Debian 8 (nommée « jessie »). Tout en réglant quelques problèmes importants, cette mise à jour corrige principalement des problèmes de sécurité de la version oldstable. Les annonces de sécurité ont déjà été publiées séparément et sont simplement référencées dans ce document. Veuillez noter que cette révision ne constitue pas une nouvelle version Debian 8 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de « jessie ». Après l'installation, les paquets peuvent être mis à niveau vers les versions actuelles à l'aide d'un miroir Debian à jour. Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette révision. De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels. Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse : https://www.debian.org/mirror/list Corrections de bogues divers ---------------------------- Cette révision d'oldstable ajoute quelques importantes corrections aux paquets suivants : Paquet Raison bareos Correction des droits de la configuration de logrotate bareos-dir ; correction de corruption de fichier lors de l'utilisation d'une signature SHA1 base-files Mise à jour pour cette version bind9 Importation de DNSSEC KSK-2017 cups Désactivation de SSLv3 et de RC4 par défaut pour corriger la vulnérabilité POODLE db Pas d'accès à DB_CONFIG si db_home n'est pas configuré [CVE-2017-10140] db5.3 Pas d'accès à DB_CONFIG si db_home n'est pas configuré [CVE-2017-10140] debian-installer Reconstruction pour cette version debian-installer-netboot-images Reconstruction pour cette version debmirror Acceptation de lignes inconnues dans *.diff/Index ; mise en miroir des fichiers de métadonnées DEP-11 ; préférence de xz à gz, et solution si l'un ou l'autre manque ; mise en miroir et validation des fichiers InRelease dns-root-data Mise à jour de root.hints vers la version 2017072601 ; ajout de KSK-2017 au fichier root.key dput dput.cf : remplacement de security- master.debian.org par ftp.upload.security.debian.org dwww Correction du nom d'en-tête « Last-Modified » elog Mise à jour du correctif 0005_elogd_CVE-2016-6342_fix pour accorder un accès en tant qu'utilisateur ordinaire flightgear Correction d'une vulnérabilité d'écrasement de fichier arbitraire [CVE-2017-13709] gsoap Correction d'un dépassement d'entier à l'aide d'un grand document XML [CVE-2017-9765] hexchat Correction d'erreur de segmentation à la suite de la commande /server icu Correction de double libération dans createMetazoneMappings() [CVE-2017-14952] kdepim Correction de « send Later with Delay bypasses OpenPGP » [CVE-2017-9604] kedpm Correction d'une fuite d'informations du fichier history à l’aide d’une commande [CVE-2017-8296] keyringer Gestion des sous-clés sans date d'expiration et des clés publiques listées plusieurs fois krb5 Corrections de sécurité – des attaquants distants authentifiés peuvent planter KDC [CVE-2017-11368] ; KDC plante avec restrict_anon_to_tgt [CVE-2016-3120] ; déni de service distant avec ldap pour des attaquants authentifiés [CVE-2016-3119] ; contournement évité de l'exigence de pré-authentification [CVE-2015-2694] libdatetime-timezone- perl Mise à jour des données incluses libdbi Réactivation de l'appel à _error_handler_call dans dbi_result_next_row() libembperl-perl Passage à Recommends des dépendances dures à mod_perl dans zembperl.load, corrigeant un échec d'installation quand libapache2-mod-perl2 n'est pas installé libio-socket-ssl-perl Correction d'erreur de segmentation avec des certificats client mal formés liblouis Correction de plusieurs dépassements de tampon de pile [CVE-2014-8184] libofx Corrections de sécurité [CVE-2017-2816 CVE-2017-14731] libwnckmm Renforcement des dépendances entre paquets ; utilisation de jquery.js issu de libjs-jquery libwpd Correction de sécurité [CVE-2017-14226] libx11 Correction de « insufficient validation of data from the X server can cause out of boundary memory read (XGetImage()) or write (XListFonts()) » [CVE-2016-7942 CVE-2016-7943] libxfixes Correction de dépassement d'entier sur des réponses de serveur illégales [CVE-2016-7944] libxi Correction de « insufficient validation of data from the X server can cause out of boundary memory access or endless loops » [CVE-2016-7945 CVE-2016-7946] libxrandr Accès hors limites évités sur des réponses illégales [CVE-2016-7947 CVE-2016-7948] libxtst Correction de « insufficient validation of data from the X server can cause out of boundary memory access or endless loops » [CVE-2016-7951 CVE-2016-7952] libxv Correction de problèmes de gestion de protocole dans libXv [CVE-2016-5407] libxvmc Dépassement de tampon par le bas avec des chaînes vides évité [CVE-2016-7953] linux Nouvelle version stable du noyau 3.16.51 ncurses Correction de divers bogues de plantage dans la bibliothèque et l'exécutable tic [CVE-2017-10684 CVE-2017-10685 CVE-2017-11112 CVE-2017-11113 CVE-2017-13728 CVE-2017-13729 CVE-2017-13730 CVE-2017-13731 CVE-2017-13732 CVE-2017-13734 CVE-2017-13733] openssh Test de la configuration avant le démarrage ou le rechargement de sshd sous systemd ; faire que « -- » avant le nom d'hôte arrête le traitement d'argument et également après le nom d'hôte pdns Ajout de vérifications manquantes sur les opérations de l'API [CVE-2017-15091] pdns-recursor Correction d'injection de fichier de configuration dans l'API [CVE-2017-15093] postgresql-9.4 Nouvelle version amont de correction de bogues python-tablib Chargement sûr de YAML [CVE-2017-2810] request-tracker4 Correction d'une régression dans une précédente version de sécurité où des mots de passe SHA256 incorrects pourraient déclencher une erreur ruby-ox Plantage évité avec du code XML non valable passé à Oj.parse_obj() [CVE-2017-15928] sam2p Correction de plusieurs problèmes de dépassement d'entier ou de débordement de tampon de tas [CVE-2017-14628 CVE-2017-14629 CVE-2017-14630 CVE-2017-14631 CVE-2017-14636 CVE-2017-14637 CVE-2017-16663] slurm-llnl Correction du problème de sécurité provoqué par un traitement non sécurisé de chemin de fichier déclenché par l'échec d'un script Prolog [CVE-2016-10030] sudo Correction d'un accès arbitraire à un terminal [CVE-2017-1000368] syslinux Correction de problème de démarrage pour les micrologiciels anciens du BIOS en corrigeant l'ordre C/H/S tor Ajout du répertoire de tiers de confiance « Bastet » ; mise à jour de geoip et geoip6 vers la base de données de pays Maxmind GeoLite2 du 4 octobre 2017 ; correction d'un memset() à la fin d'un tableau lors du remplissage de cellules transfig Ajout de vérification des entrées dans les fichiers FIG [CVE-2017-16899] ; vérification des entrées des motifs de remplissage tzdata Nouvelle version amont unbound Correction de l'installation de l'ancre de confiance quand deux ancres sont présentes ; inclusion de l'ancre de confiance racine id 20326 weechat logger : appel de strftime avant le remplacement des variables du tampon local » [CVE-2017-14727] Mises à jour de sécurité ------------------------ Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour : Identifiant Paquet DSA-3904 bind9 DSA-3908 nginx DSA-3909 samba DSA-3913 apache2 DSA-3914 imagemagick DSA-3916 atril DSA-3917 catdoc DSA-3921 enigmail DSA-3922 mysql-5.5 DSA-3924 varnish DSA-3928 firefox-esr DSA-3929 libsoup2.4 DSA-3930 freeradius DSA-3932 subversion DSA-3933 pjproject DSA-3934 git DSA-3935 postgresql-9.4 DSA-3937 zabbix DSA-3938 libgd2 DSA-3939 botan1.10 DSA-3940 cvs DSA-3942 supervisor DSA-3943 gajim DSA-3945 linux DSA-3946 libmspack DSA-3947 newsbeuter DSA-3948 ioquake3 DSA-3949 augeas DSA-3950 libraw DSA-3951 smb4k DSA-3952 libxml2 DSA-3956 connman DSA-3958 fontforge DSA-3960 gnupg DSA-3961 libgd2 DSA-3962 strongswan DSA-3963 mercurial DSA-3964 asterisk DSA-3969 xen DSA-3970 emacs24 DSA-3971 tcpdump DSA-3972 bluez DSA-3973 wordpress-shibboleth DSA-3974 tomcat8 DSA-3976 freexl DSA-3977 newsbeuter DSA-3978 gdk-pixbuf DSA-3979 pyjwt DSA-3980 apache2 DSA-3981 linux DSA-3982 perl DSA-3983 samba DSA-3984 git DSA-3986 ghostscript DSA-3987 firefox-esr DSA-3988 libidn2-0 DSA-3989 dnsmasq DSA-3990 asterisk DSA-3992 curl DSA-3995 libxfont DSA-3997 wordpress DSA-3998 nss DSA-3999 wpa DSA-4000 xorg-server DSA-4002 mysql-5.5 DSA-4004 jackson-databind DSA-4006 mupdf DSA-4007 curl DSA-4008 wget DSA-4011 quagga DSA-4012 libav DSA-4013 openjpeg2 DSA-4016 irssi DSA-4018 openssl DSA-4021 otrs2 DSA-4022 libreoffice DSA-4025 libpam4j DSA-4026 bchunk DSA-4027 postgresql-9.4 DSA-4029 postgresql-common DSA-4033 konversation DSA-4035 firefox-esr DSA-4037 jackson-databind DSA-4038 shibboleth-sp2 DSA-4039 opensaml2 DSA-4040 imagemagick DSA-4041 procmail DSA-4042 libxml-libxml-perl DSA-4043 samba DSA-4045 vlc DSA-4046 libspring-ldap-java DSA-4047 otrs2 DSA-4051 curl DSA-4052 bzr Paquets supprimés ----------------- Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle : Paquet Raison libnet-ping-external-perl non maintenu, problèmes de sécurité aiccu inutile depuis l'arrêt de SixXS Installateur Debian ------------------- L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de oldstable. URL --- Liste complète des paquets qui ont été modifiés dans cette version : http://ftp.debian.org/debian/dists/jessie/ChangeLog Adresse de l'actuelle distribution oldstable : http://ftp.debian.org/debian/dists/oldstable/ Mises à jour proposées à la distribution oldstable : http://ftp.debian.org/debian/dists/oldstable-proposed-updates Informations sur la distribution oldstable (notes de publication, errata, etc.) : https://www.debian.org/releases/oldstable/ Annonces et informations de sécurité : https://security.debian.org/ À propos de Debian ------------------ Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian. Contacts -------- Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <pr...@debian.org> ou contactez l'équipe de publication de la version stable à <debian-rele...@lists.debian.org>.