Publication de la mise à jour de Debian 10.12
26 mars 2022
Le projet Debian a l'honneur d'annoncer la douzième mise à jour de sa
distribution oldstable Debian 10 (nom de code Buster
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version stable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans ce
document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 10 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Buster. Après installation, les paquets peuvent être mis à niveau vers les versions courantes en utilisant un miroir Debian à jour.
Ceux qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Renforcement de la vérification de l'algorithme de signature d'OpenSSL
La mise à jour d'OpenSSL fournie dans cette version comprend une modification pour s'assurer que l'algorithme de signature exigé est pris en charge par le niveau de sécurité actif.
Bien que cela ne devrait pas affecter la plupart des cas d'utilisation, cela pourrait mener à la génération de messages d'erreur si un algorithme non pris en charge est exigé. Par exemple, l'utilisation de signatures RSA+SHA1 avec le niveau de sécurité par défaut (niveau 2).
Dans un cas comme celui-là, le niveau de sécurité devra être abaissé explicitement soit pour des requêtes individuelles, soit plus globalement. Cela peut nécessiter de modifier la configuration des applications. Pour OpenSSL lui-même, un abaissement à chaque requête peut être obtenu avec une option en ligne de commande telle que :
-cipher ALL:@SECLEVEL=1
avec la configuration adéquate au niveau du système qui se trouve dans /etc/ssl/openssl.cnf
Corrections de bogues divers
Cette mise à jour de la version oldstable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| apache-log4j1.2 | Problèmes de sécurité [CVE-2021-4104 CVE-2022-23302 CVE-2022-23305 CVE-2022-23307] résolus en supprimant la prise en charge des modules JMSSink, JDBCAppender, JMSAppender et Apache Chainsaw |
| apache-log4j2 | Correction d'un problème d'exécution de code à distance [CVE-2021-44832] |
| atftp | Correction d'un problème de fuite d'informations [CVE-2021-46671] |
| base-files | Mise à jour pour cette version 10.12 |
| beads | Reconstruction avec cimg mis à jour pour corriger plusieurs dépassements de tampon de tas [CVE-2020-25693] |
| btrbk | Correction d'une régression dans la mise à jour pour le CVE-2021-38173 |
| cargo-mozilla | Nouveau paquet, rétroporté à partir de Debian 11, pour aider la construction avec les nouvelles versions de Rust |
| chrony | Lecture permise du fichier de configuration de chronyd que génère timemaster(8) |
| cimg | Correction de problèmes de dépassement de tas [CVE-2020-25693] |
| clamav | Nouvelle version amont stable ; correction d'un problème de dépassement de tampon [CVE-2022-20698] |
| cups | Correction d'un problème de validation d'entrée qui pourrait permettre à une application malveillante de lire de la mémoire sensible[CVE-2020-10001] |
| debian-installer | Reconstruction avec oldstable-proposed-updates ; mise à jour de l'ABI du noyau vers la version -20 |
| debian-installer-netboot-images | Reconstruction avec oldstable-proposed-updates |
| detox | Correction du traitement de grands fichiers sur les architectures ARM |
| evolution-data-server | Correction de plantage avec une réponse du serveur mal formée [CVE-2020-16117] |
| flac | Correction d'un problème de lecture hors limites [CVE-2020-0499] |
| gerbv | Correction d'un problème d'exécution de code [CVE-2021-40391] |
| glibc | Importation de plusieurs corrections à partir de la branche stable de l'amont ; simplification de la vérification des versions du noyau prises en charge dans la mesure où les noyaux 2.x ne sont plus pris en charge ; prise en charge de l'installation des noyaux avec un numéro supérieur à 255 |
| gmp | Correction d'un problème de dépassement d'entier et de tampon [CVE-2021-43618] |
| graphicsmagick | Correction d'un problème de dépassement de tampon [CVE-2020-12672] |
| htmldoc | Correction d'un problème de lecture hors limites [CVE-2022-0534] et de problèmes de dépassement de tampon [CVE-2021-43579 CVE-2021-40985] |
| http-parser | Casse involontaire d'ABI résolue |
| icu | Correction de l'utilitaire pkgdata |
| intel-microcode | Mise en jour du microprogramme inclus ; atténuation de certains problèmes de sécurité [CVE-2020-8694 CVE-2020-8695 CVE-2021-0127 CVE-2021-0145 CVE-2021-0146 CVE-2021-33120] |
| jbig2dec | Correction d'un problème de dépassement de tampon [CVE-2020-12268] |
| jtharness | Nouvelle version amont pour prendre en charge des constructions avec les nouvelles versions d'OpenJDK-11 |
| jtreg | Nouvelle version amont pour prendre en charge des constructions avec les nouvelles versions d'OpenJDK-11 |
| lemonldap-ng | Correction du processus d'authentification dans les greffons de test de mot de passe [CVE-2021-20874] ; ajout d'une recommandation à gsfonts corrigeant captcha |
| leptonlib | Correction d'un problème de déni de service [CVE-2020-36277] et de problèmes de lecture excessive de tampon [CVE-2020-36278 CVE-2020-36279 CVE-2020-36280 CVE-2020-36281] |
| libdatetime-timezone-perl | Mise à jour des données incluses |
| libencode-perl | Correction d'une fuite de mémoire dans Encode.xs |
| libetpan | Correction d'un problème d'injection de réponse STARTTLS [CVE-2020-15953] |
| libextractor | Correction d'un problème de lecture non valable [CVE-2019-15531] |
| libjackson-json-java | Corrections de problèmes d'exécution de code [CVE-2017-15095 CVE-2017-7525] et de problèmes d'entité externe XML [CVE-2019-10172] |
| libmodbus | Correction de problèmes de lecture hors limites [CVE-2019-14462 CVE-2019-14463] |
| libpcap | Vérification de la longueur de l'entête PHB avant son utilisation pour allouer de la mémoire [CVE-2019-15165] |
| libsdl1.2 | Gestion correcte des événements de l'élément actif de saisie ; correction de problèmes de dépassement de tampon [CVE-2019-13616 CVE-2019-7637] et de problèmes de lecture excessive de tampon [CVE-2019-7572 CVE-2019-7573 CVE-2019-7574 CVE-2019-7575 CVE-2019-7576 CVE-2019-7577 CVE-2019-7578 CVE-2019-7635 CVE-2019-7636 CVE-2019-7638] |
| libxml2 | Correction d'un problème d'utilisation de mémoire après libération [CVE-2022-23308] |
| linux | Nouvelle version amont stable ; [rt] mise à jour vers la version 4.19.233-rt105 ; passage de l'ABI à la version 20 |
| linux-latest | Mise à jour vers la version 4.19.0-20 de l'ABI |
| linux-signed-amd64 | Nouvelle version amont stable ; [rt] mise à jour vers la version 4.19.233-rt105 ; passage de l'ABI à la version 20 |
| linux-signed-arm64 | Nouvelle version amont stable ; [rt] mise à jour vers la version 4.19.233-rt105 ; passage de l'ABI à la version 20 |
| linux-signed-i386 | Nouvelle version amont stable ; [rt] mise à jour vers la version 4.19.233-rt105 ; passage de l'ABI à la version 20 |
| llvm-toolchain-11 | Nouveau paquet, rétroporté à partir de Debian 11, pour aider la construction avec les nouvelles versions de Rust |
| lxcfs | Correction d'un mauvais rapport d'utilisation de swap |
| mailman | Correction d'un problème de script intersite [CVE-2021-43331] ; correction de la possibilité pour un modérateur de liste de découvrir le mot passe, chiffré dans un jeton CSFR, d'un administrateur de liste[CVE-2021-43332] ; correction d'une possible attaque CSRF à l'encontre d'un administrateur de liste par un membre ou un modérateur de liste [CVE-2021-44227] ; correction de régressions dans les correctifs pour CVE-2021-42097 et CVE-2021-44227 |
| mariadb-10.3 | Nouvelle version amont stable ; corrections de sécurité [CVE-2021-35604 CVE-2021-46659 CVE-2021-46661 CVE-2021-46662 CVE-2021-46663 CVE-2021-46664 CVE-2021-46665 CVE-2021-46667 CVE-2021-46668 CVE-2022-24048 CVE-2022-24050 CVE-2022-24051 CVE-2022-24052] |
| node-getobject | Correction d'un problème de pollution de prototype [CVE-2020-28282] |
| opensc | Correction de problèmes d'accès hors limites [CVE-2019-15945 CVE-2019-15946], d'un plantage dû à la lecture de mémoire inconnue [CVE-2019-19479], d'un problème de double libération de mémoire [CVE-2019-20792] et de problèmes de dépassement de tampon [CVE-2020-26570 CVE-2020-26571 CVE-2020-26572] |
| openscad | Correction de dépassements de tampon dans l'analyseur STL [CVE-2020-28599 CVE-2020-28600] |
| openssl | Nouvelle version amont |
| php-illuminate-database | Correction d'un problème de liaison de requête [CVE-2021-21263] et d'un problème d'injection SQL lors d'utilisation avec Microsoft SQL Server |
| phpliteadmin | Correction d'un problème de script intersite [CVE-2021-46709] |
| plib | Correction d'un problème de débordement d'entier [CVE-2021-38714] |
| privoxy | Correction d'une fuite de mémoire [CVE-2021-44540] et d'un problème de script intersite [CVE-2021-44543] |
| publicsuffix | Mise à jour des données incluses |
| python-virtualenv | Tentative évitée d'installation de pkg_resources à partir de PyPI |
| raptor2 | Correction d'un problème d'accès à un tableau hors limites [CVE-2020-25713] |
| ros-ros-comm | Correction d'un problème de déni de service [CVE-2021-37146] |
| rsyslog | Correction de problèmes de dépassement de tas [CVE-2019-17041 CVE-2019-17042] |
| ruby-httpclient | Utilisation du magasin de certifications du système |
| rust-cbindgen | Nouveau paquet source pour prendre en charge la construction des dernières versions de firefox-esr et de thunderbird |
| rustc-mozilla | Nouveau paquet source pour prendre en charge la construction des dernières versions de firefox-esr et de thunderbird |
| s390-dasd | Plus de transmission de l'option obsolète -f à dasdfmt |
| spip | Correction d'un problème de script intersite |
| tzdata | Mise à jour des données pour les Fidji et la Palestine |
| vim | Correction de la possibilité d'exécuter du code dans le mode restreint [CVE-2019-20807], de problèmes de dépassement de tampon [CVE-2021-3770 CVE-2021-3778 CVE-2021-3875] et d'un problème d'utilisation de mémoire après libération [CVE-2021-3796] ; suppression d'un correctif inclus accidentellement |
| wavpack | Correction d'une utilisation de valeurs non initialisées [CVE-2019-1010317 CVE-2019-1010319] |
| weechat | Correction de plusieurs problèmes de déni de service [CVE-2020-8955 CVE-2020-9759 CVE-2020-9760 CVE-2021-40516] |
| wireshark | Correction de plusieurs problèmes de sécurité dans les dissecteurs [CVE-2021-22207 CVE-2021-22235 CVE-2021-39921 CVE-2021-39922 CVE-2021-39923 CVE-2021-39924 CVE-2021-39928 CVE-2021-39929] |
| xterm | Correction d'un problème de dépassement de tampon [CVE-2022-24130] |
| zziplib | Correction d'un problème de déni de service [CVE-2020-18442] |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| angular-maven-plugin | Plus nécessaire |
| minify-maven-plugin | Plus nécessaire |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de oldstable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution oldstable :
Mises à jour proposées à la distribution oldstable :
Informations sur la distribution oldstable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.