Publication de la mise à jour de Debian 11.10
29 juin 2024
Le projet Debian a l'honneur d'annoncer la dixième mise à jour de sa
distribution oldstable Debian 11 (nom de code Bullseye
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version oldstable. Les annonces
de sécurité ont déjà été publiées séparément et sont simplement référencées
dans ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 11 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Bullseye. Après installation, les paquets peuvent être mis à niveau vers les versions actuelles en utilisant un miroir Debian à jour.
Les personnes qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la version oldstable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| allegro5 | Correction de problèmes de dépassement de tampons [CVE-2021-36489] |
| amavisd-new | Gestion de plusieurs paramètres de limites qui contiennent des valeurs conflictuelles [CVE-2024-28054] |
| bart | Correction d'échec de tests de construction en assouplissant une comparaison de nombres en virgule flottante |
| bart-cuda | Correction d'échec de tests de construction en assouplissant une comparaison de nombres en virgule flottante |
| base-files | Mise à jour pour cette version |
| cloud-init-22.4.2 | Introduction d'un remplaçant d'une version supérieure du paquet cloud-init |
| cpu | Fourniture d'exactement une définition de globalLdap dans le greffon de LDAP |
| curl | Correction d'une fuite de mémoire quand un pushde serveur HTTP/2 est interrompu [CVE-2024-2398] |
| debian-installer | Passage de l'ABI du noyau Linux à la version 5.10.0-30 ; reconstruction avec proposed-updates |
| debian-installer-netboot-images | Reconstruction avec proposed-updates |
| debsig-verify | Reconstruction pour corriger un Built-Using obsolète |
| deets | Reconstruction pour corriger un Built-Using obsolète |
| distro-info-data | Déclaration des intentions pour Bullseye/Bookworm ; correction de données anciennes ; ajout d'Ubuntu 24.10 |
| django-mailman3 | Nettoyage des messages avant l'archivage |
| dns-root-data | Mise à jour de root.hints ; mise à jour des informations de sécurité expirées |
| emacs | Protection contre des ressources distantes non sûres [CVE-2024-30203 CVE-2024-30204 CVE-2024-30205] ; correction d'une fuite de mémoire dans le correctif pour le CVE-2022-48337 |
| galera-4 | Nouvelle version amont de correction de bogues ; mise à jour de la clé de signature de la version amont ; échec des tests relatifs aux dates évités |
| gdk-pixbuf | ANI : rejet des fichiers avec de multiples morceaux anih [CVE-2022-48622] ; ANI : rejet des fichiers avec de multiples morceaux INAM ou IART ; ANI : validation de la taille des morceaux anih |
| glib2.0 | Correction d'une (rare) fuite de mémoire |
| gnutls28 | Correction d'un échec d'assertion lors de la vérification d'une chaîne de certificats avec un cycle de signatures croisées [CVE-2024-0567] ; correction d'une attaque temporelle par canal auxiliaire dans l'échange de clés RSA-PSK [CVE-2024-0553] |
| gross | Correction d'un dépassement de pile [CVE-2023-52159] |
| hovercraft | Dépendance à python3-setuptools |
| imlib2 | Correction d'une vulnérabilité de dépassement de tas lors de l'utilisation de la fonction tgaflip dans loader_tga.c [CVE-2024-25447 CVE-2024-25448 CVE-2024-25450] |
| intel-microcode | Corrections pour INTEL-SA-INTEL-SA-00972 [CVE-2023-39368], INTEL-SA-INTEL-SA-00982 [CVE-2023-38575], INTEL-SA-INTEL-SA-00898 [CVE-2023-28746], INTEL-SA-INTEL-SA-00960 [CVE-2023-22655] et INTEL-SA-INTEL-SA-01045 [CVE-2023-43490] ; atténuation pour INTEL-SA-01051 [CVE-2023-45733], INTEL-SA-01052 [CVE-2023-46103], INTEL-SA-01036 [CVE-2023-45745, CVE-2023-47855] et de problèmes fonctionnels non précisés sur divers processeurs Intel |
| jose | Correction d'un problème de déni de service potentiel [CVE-2023-50967] |
| json-smart | Correction d'une récursion excessive menant à un dépassement de pile [CVE-2023-1370] ; correction d'un déni de service au moyen d'une requête contrefaite [CVE-2021-31684] |
| lacme | Correction de la logique de validation postémission |
| libapache2-mod-auth-openidc | Correction d'une absence de validation d'entrée menant à un déni de service [CVE-2024-24814] |
| libjwt | Correction d'une attaque temporelle par canal auxiliaire au moyen de strcmp() [CVE-2024-25189] |
| libkf5ksieve | Fuite de mots de passe évitée dans les journaux côté serveur |
| libmicrohttpd | Correction d'une lecture hors limites au moyen de requêtes POST contrefaites [CVE-2023-27371] |
| libssh2 | Correction d'une vérification de mémoire hors limites dans _libssh2_packet_add [CVE-2020-22218] |
| links2 | Reconstruction pour corriger un Built-Using obsolète |
| nano | Correction d'un problème de lien symbolique malveillant [CVE-2024-5742] |
| ngircd | Respect de l'option SSLConnectpour les connexions entrantes ; validation du certificat de serveur sur les liens de serveur (S2S-TLS) ; METADATA : correction de la désactivation de cloakhost |
| nvidia-graphics-drivers | Fin de la prise en charge des pilotes Tesla 450 ; construction de libnvidia-fbc1 pour arm64 ; corrections de sécurité amont [CVE-2022-42265 CVE-2024-0074 CVE-2024-0078] ; correction de la construction pour ppc64el |
| nvidia-graphics-drivers-tesla-450 | Conversion en paquets de transition |
| nvidia-graphics-drivers-tesla-470 | Nouvelle version LTS amont [CVE-2024-0074 CVE-2024-0078 CVE-2022-42265] ; nouvelle version amont stable ; corrections de sécurité [CVE-2024-0090 CVE-2024-0092] ; correction de la construction pour ppc64el |
| nvidia-settings | Version amont de correction de bogues ; construction pour ppc64el |
| org-mode | Protection contre des ressources distantes non sûres [CVE-2024-30203 CVE-2024-30204 CVE-2024-30205] |
| php-composer-xdebug-handler | Chargement des dépendances système obligé |
| php-doctrine-annotations | Chargement des dépendances système obligé |
| php-phpseclib | Chargement des dépendances système obligé ; protection de isPrime() et randomPrime() pour BigInteger [CVE-2024-27354] ; limitation de longueur d'OID dans ASN1 [CVE-2024-27355] ; correction de getLength() de BigInteger |
| php-proxy-manager | Chargement des dépendances système obligé |
| php-symfony-contracts | Chargement des dépendances système obligé |
| php-zend-code | Chargement des dépendances système obligé |
| phpseclib | Chargement des dépendances système obligé ; protection de isPrime() et randomPrime() pour BigInteger [CVE-2024-27354] ; limitation de longueur d'OID dans ASN1 [CVE-2024-27355] ; correction de getLength() de BigInteger |
| postfix | Version amont de correction de bogues |
| postgresql-13 | Nouvelle version amont stable |
| pypdf2 | Correction d'un temps d'exécution quadratique avec un PDF mal formé manquant de marqueur xref [CVE-2023-36810] ; correction d'une boucle infinie avec une entrée contrefaite [CVE-2022-24859] |
| python-aiosmtpd | Correction d'un problème de dissimulation SMTP [CVE-2024-27305] ; correction d'un problème d'injection de commande STARTTLS non chiffrée [CVE-2024-34083] |
| python-dnslib | Validation d'identifiant de transaction dans client.py |
| python-idna | Correction d'un problème de déni de service [CVE-2024-3651] |
| python-stdnum | Correction d'un échec de construction à partir des sources quand la date du test n'est pas assez éloignée dans le futur |
| qtbase-opensource-src | Corrections de sécurité [CVE-2022-25255 CVE-2023-24607 CVE-2023-32762 CVE-2023-32763 CVE-2023-33285 CVE-2023-34410 CVE-2023-37369 CVE-2023-38197 CVE-2023-51714 CVE-2024-25580] |
| reportbug | Correction du nom de suite pour le mappage des noms de code pour refléter la version de Bookworm |
| rust-cbindgen-web | Nouveau paquet source pour prendre en charge la construction des nouvelles versions de Firefox ESR |
| rustc-web | Prise en charge de Firefox ESR et de Thunderbird dans Bullseye pour LTS |
| sendmail | Correction d'un problème de dissimulation SMTP [CVE-2023-51765] ; ajout d'une configuration oubliée pour rejeter NULL par défaut |
| symfony | Chargement des dépendances système obligé ; DateTypTest : assurance que l'année soumise est un choix acceptable |
| systemd | Meson : suppression du filtre arch dans la liste d'appels système ; pas de définition de TZ avant l'exécution de tests d'unité sensibles au fuseau horaire |
| wpa | Correction d'un problème de contournement d'authentification [CVE-2023-52160] |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| phppgadmin | Problèmes de sécurité |
| pytest-salt-factories | Nécessaire uniquement pour salt qui va être retiré |
| pytest-testinfra | Nécessaire uniquement pour salt qui va être retiré |
| salt | Prise en charge impossible, plus entretenu |
| snort | Problèmes de sécurité, plus entretenu |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de oldstable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution oldstable :
Mises à jour proposées à la distribution oldstable :
Informations sur la distribution oldstable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.