Publication de la mise à jour de Debian 8.7
------------------------------------------------------------------------
Projet Debian https://www.debian.org/
Publication de la mise à jour de Debian 8.7 press@debian.org
14 janvier 2017 https://www.debian.org/News/2017/20170114
------------------------------------------------------------------------
Le projet Debian a l'honneur d'annoncer la septième mise à jour de sa
distribution stable Debian 8 (nommée « jessie »). Tout en réglant
quelques problèmes importants, cette mise à jour corrige principalement
des problèmes de sécurité de la version stable. Les annonces de sécurité
ont déjà été publiées séparément et sont simplement référencées dans ce
document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle
version de Debian 8 mais seulement une mise à jour de certains des
paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens
CD et DVD de la version jessie mais simplement de faire une mise à jour
à l’aide d’un miroir Debian après une installation, pour déclencher la
mise à jour de tout paquet obsolète.
Ceux qui installent fréquemment les mises à jour à partir de
security.debian.org n'auront pas beaucoup de paquets à mettre à jour et
la plupart des mises à jour de security.debian.org sont comprises dans
cette mise à jour.
De nouveaux supports d'installation et des images de CD et de DVD
contenant les paquets mis à jour seront prochainement disponibles à
leurs emplacements habituels.
La mise à jour en ligne vers cette version se fait en faisant pointer
l'outil de gestion des paquets aptitude (ou apt) (consultez la page de
manuel sources.list(5)) sur l'un des nombreux miroirs FTP ou HTTP de
Debian. Une liste complète des miroirs est disponible à l'adresse :
https://www.debian.org/mirror/list
Corrections de bogues divers
----------------------------
Cette mise à jour de la version stable apporte quelques corrections
importantes aux paquets suivants :
Paquet Raison
ark Arrêt du plantage en quittant lors d'une utilisation
uniquement comme un KPart
asterisk Correction d'un problème de sécurité dû au traitement
de caractères ASCII non imprimables, comme des
espaces [CVE-2016-9938]
asused Utilisation de champs créés à la place de champs
modifiés, conforme à la modification des données
source
base-files Passage de /etc/debian_version à 8.7
bash Correction d'exécution de code arbitraire à travers
un nom d'hôte malveillant [CVE-2016-0634] et de
variables SHELLOPTS+PS4 contrefaites pour l'occasion
qui permettent une substitution de commande
[CVE-2016-7543]
ca-certificates Mise à jour du paquet de l'autorité de certification
Mozilla vers la version 2.9 ; postinst : exécution de
update-certificates sans connecteur pour remplir
initialement /etc/ssl/certs
cairo Correction de déni de service par l'utilisation de SVG
pour créer des pointeurs non valables [CVE-2016-9082]
ccache [amd64] Reconstruction dans un environnement propre
ceph Correction de problème de requête CORS courte
[CVE-2016-9579], déni de service sur le moniteur DoS
[CVE-2016-5009], lecture anomyne d'ACL [CVE-2016-7031],
déni de service de RGW [CVE-2016-8626]
chirp Désactivation du rapport de télémétrie par défaut
cyrus-imapd-2.4 Correction de la prise en charge de LIST GROUP
darktable Correction de dépassement d'entier dans ljpeg_start()
[CVE-2015-3885]
dbus Correction d'une vulnérabilité potentielle de format
de chaîne ; dbus.prerm : assurance que dbus.socket est
arrêté avant suppression
debian-edu-doc Mise à jour du manuel de Debian Edu Jessie à partir du
wiki ; correction des fichiers PO du manuel (da|nl) de
Jessie pour obtenir la construction des manuels au
format PDF ; mises à jour des traductions
debian-edu-install
Mise à jour du numéro de version vers 8+edu1
debian-installer Reconstruction pour cette version
debian-installer-netboot-images
Reconstruction pour cette version
duck Correction de chargement de code à partir
d'emplacements non fiables [CVE-2016-1239]
e2fsprogs Reconstruction avec dietlibc 0.33~cvs20120325-6+deb8u1,
pour bénéficier des corrections de sécurité incluses
ebook-speaker Correction de suggestion d'installation de html2text
pour lire les fichiers html
elog Correction d'envoi d'entrée sous un nom d'utilisateur
arbitraire [CVE-2016-6342]
evolution-data-server
Correction d'abandon de connexion prématuré avec des
tailles de fenêtre TCP réduites et ayant pour
conséquence la perte de données
exim4 Correction de fuite de mémoire de GnuTLS
file Correction de fuite de mémoire dans le chargeur
magique
ganeti-instance-debootstrap
Correction d'invocations de losetup en remplaçant -s
par --show
glibc Pas d'utilisation inconditionnelle de l'instruction
fsqrt sur les CPU PowerPC 64 bits ; correction d'une
régression introduite par cvs-resolv-ipv6-
nameservers.diff dans hesiod ; désactivation de
l'omission de verrouillage (alias Intel TSX) sur les
architectures x86
glusterfs Quota : la correction ne devrait pas générer de
problème de montage supplémentaire
gnutls28 Correction de validation incorrecte de certificat
lors de l'utilisation de réponses OCSP
[GNUTLS-SA-2016-3 / CVE-2016-7444] ; compatibilité
assurée avec nettle et la correction CVE-2016-6489
hplip Utilisation d'empreinte de clé gpg complète lors de
la récupération de clé à partir des serveurs de clés
[CVE-2015-0839]
ieee-data Désactivation de la tâche cron de mise à jour
mensuelle
intel-microcode Mise à jour du micro-logiciel
irssi Correction d'un problème de fuite d'informations avec
buf.pl et /upgrade [CVE-2016-7553] ; correction
de déréférencement de pointeur NULL dans la fonction
nickcmp [CVE-2017-5193], d'utilisation de mémoire après
libération lors de la réception de message nick non
valable [CVE-2017-5194] et de lecture hors limite dans
certains codes de contrôle incomplets [CVE-2017-5195]
isenkram Téléchargement de micro-logiciel avec curl ;
utilisation de HTTPS lors du téléchargement de
modalias ; migration de miroir de http.debian.net à
httpredir.debian.org
jq Correction de dépassement de tas [CVE-2015-8863] et
d'épuisement de pile [CVE-2016-4074]
libclamunrar Correction d'accès hors bande
libdatetime-timezone-perl
Mise à jour pour 2016h ; mise à jour des données
incluses pour 2016i ; mise à jour pour 2016j ;
mise à jour pour 2016g
libfcgi-perl Correction de « numerous connections cause segfault
DoS » [CVE-2012-6687]
libio-socket-ssl-perl
Correction d'un problème d'erreur « unreadable SSL_key_
file » lors d'utilisation des ACL du système de
fichiers
libmateweather Migration de weather.noaa.gov interrompu à
aviationweather.gov
libphp-adodb Correction de vulnérabilité de script intersite
[CVE-2016-4855] et de problème d'injection SQL
[CVE-2016-7405]
libpng Correction d'un problème de déréférencement de
pointeur NULL [CVE-2016-10087]
libwmf Correction d'allocation de grands blocs de mémoire
[CVE-2016-9011]
linkchecker Correction de vérification HTTPS
linux Mise à jour vers stable 3.16.39 ; ajout du pilote
chaoskey, rétroporté à partir de 4.8, prise en charge
du périphérique flash SPI n25q256a11 ; sécurité,
perf : désactivation permise de l'utilisation non
privilégiée de perf_event_open ; plusieurs corrections
de bogues et de sécurité
lxc Attach : pas d'envoi de procfd au processus attaché
[CVE-2016-8649] ; remontage des montages bind si
l'étiquette lecture seule est fournie ; correction de
la création de conteneur d'Alpine Linux
mapserver Correction de FTBFS avec php >= 5.6.25 ; correction de
fuite d'informations par les messages d'erreur
[CVE-2016-9839]
mdadm Permission à « --grow --continue » de réorganiser avec
succès un volume lors de l'utilisation d'un espace de
sauvegarde sur un périphérique « de secours »
metar Mise à jour de l'URL du rapport
minissdpd Correction d'une vulnérabilité de validation incorrecte
d'index de volume [CVE-2016-3178 CVE-2016-3179]
monotone Modification du test sigpipe pour écrire 1 Mo de
données de test pour augmenter la possibilité de
déborder le tampon de tube
most Correction d'attaque d'injection de commande lors de
l'ouverture de fichiers compressés avec lzma
[CVE-2016-1253]
mpg123 Correction d'un déni de service avec des étiquettes
ID3v2 contrefaites
musl Correction de dépassement d'entier [CVE-2016-8859]
nbd Arrêt du mélange d'étiquettes globales dans le champ
des étiquettes qui est envoyé au noyau, de manière à ce
que la connexion à nbd-server >= 3.9 ne fasse pas que
chaque exportation soit marquée en lecture seule, de
façon incorrecte
nettle Protection contre les attaques potentielles par canal
auxiliaire à l'encontre des opérations d'exponentiation
[CVE-2016-6489]
nss-pam-ldapd Retour de l'action d'arrêt du script d'initialisation
seulement quand nslcd s'est vraiment arrêté
nvidia-graphics-drivers
Mise à jour vers la version du pilote comprenant les
corrections de sécurité [CVE-2016-8826 CVE-2016-7382
CVE-2016-7389]
nvidia-graphics-drivers-legacy-304xx
Mise à jour vers la version du pilote comprenant les
corrections de sécurité [CVE-2016-8826 CVE-2016-7382
CVE-2016-7389]
nvidia-graphics-modules
Reconstruction avec nvidia-kernel-source 340.101
openbox Ajout de la dépendance de construction libxcursor-dev
pour corriger le chargement de notifications de
démarrage ; remplacement de getgrent par getgroups pour
ne pas énumérer tous les groupes au démarrage
opendkim Correction de la mise en forme canonique assouplie des
en-têtes imbriqués qui casse les signatures
pam Correction de gestion de loginuid dans les conteneurs
pgpdump Correction de boucle infinie à l'analyse d'entrée
falsifiée pour l'occasion dans read_binary
[CVE-2016-4021] et de dépassement de tampon dans
read_radix64
postgresql-9.4 Nouvelle version stable amont
postgresql-common
Pg_upgradecluster : mise à niveau correcte des bases
de données avec des propriétaires non autorisés à se
connecter ; pg_ctlcluster : protection contre les liens
symboliques dans /var/ log/postgresql/ permettant la
création de fichiers arbitraires ailleurs
[CVE-2016-1255]
potrace Correction de sécurité [CVE-2016-8694 CVE-2016-8695
CVE-2016-8696 CVE-2016-8697 CVE-2016-8698 CVE-2016-8699
CVE-2016-8700 CVE-2016-8701 CVE-2016-8702
CVE-2016-8703]
python-crypto Avertissement lancé quand un IV est utilisé avec ECB
(« Electronic Code Book ») ou CTR (« CounTer Mode ») et
ignore l'IV [CVE-2013-7459]
python-werkzeug Correction de script intersite dans le débogueur
qtbase-opensource-src
Évitement de déréférencement bad-ptrs dans
QNetworkConfigurationManagerPrivate ; correction des
icônes de la zone de notification de X11 sur
certains bureaux
rawtherapee Correction de dépassement de tampon dans dcraw
[CVE-2015-8366]
redmine Gestion de l'échec de vérification de dépendance au
déclenchement pour éviter de casser au milieu des
dist-upgrades ; ouverture évitée de la configuration de
bases de données qui ne sont pas lisibles
samba Correction de « client side SMB2/3 required signing can
be downgraded » [CVE-2016-2119], de diverses
régressions introduites dans les corrections de
sécurité 4.2.10 et d'erreur de segmentation dans les
grappes
sed Garantie de droits cohérents avec différents umasks
shutter Correction d'utilisation non sécurisée de system()
[CVE-2015-0854]
sniffit Correction de sécurité [CVE-2014-5439]
suckless-tools Correction de SEGV dans slock quand le compte de
l'utilisateur a été désactivé [CVE-2016-6866]
sympa Correction de la configuration de logrotate pour que
sympa ne soit pas laissé dans un état confus quand
systemd est utilisé
systemd Pas de retour d'erreur dans manager_dispatch_notify_
fd() [CVE-2016-7796] ; core : réécriture logique pour
déterminer quand décider d'ajouter des dépendances
automatiques pour les montages ; diverses corrections
d'ordonnancement pour ifupdown ; systemctl : correction
de la gestion d'argument lorsqu'il est invoqué à
l'extinction ; localed : absence tolérée de
/etc/default/keyboard ; systemctl, loginctl, etc. : pas
de démarrage de l'agent polkit lors d'une exécution en
tant que root
tevent Nouvelle version amont, requise pour samba
tre Correction de dépassement d'entier regex dans les
calculs de taille de tampon [CVE-2016-8859]
tzdata Mise à jour des données incluses pour 2016h ; mise à
jour pour 2016g ; mise à jour pour 2016j ; mise à jour
des données incluses pour 2016i
unrtf Correction de dépassement de tampon dans diverses
fonctions cmd_ [CVE-2016-10091]
w3m Plusieurs corrections de sécurité [CVE-2016-9430
CVE-2016-9434 CVE-2016-9438 CVE-2016-9440 CVE-2016-9441
CVE-2016-9423 CVE-2016-9431 CVE-2016-9424 CVE-2016-9432
CVE-2016-9433 CVE-2016-9437 CVE-2016-9422 CVE-2016-9435
CVE-2016-9436 CVE-2016-9426 CVE-2016-9425 CVE-2016-9428
CVE-2016-9442 CVE-2016-9443 CVE-2016-9429 CVE-2016-9621
CVE-2016-9439 CVE-2016-9622 CVE-2016-9623 CVE-2016-9624
CVE-2016-9625 CVE-2016-9626 CVE-2016-9627 CVE-2016-9628
CVE-2016-9629 CVE-2016-9631 CVE-2016-9630 CVE-2016-9632
CVE-2016-9633]
wireless-regdb Mise à jour des données incluses
wot Suppression de greffon à cause de problèmes de vie
privée
xwax Remplacement de ffmpeg par avconv de libav-tools
zookeeper Correction de dépassement de tampon par la commande
d'entrée lors de l'utilisation de la syntaxe de mode
batch « cmd: » [CVE-2016-5017]
Mises à jour de sécurité
------------------------
Cette révision ajoute les mises à jour de sécurité suivantes à la
version stable. L'équipe de sécurité a déjà publié une annonce pour
chacune de ces mises à jour :
Identifiant Paquet
DSA-3636 collectd
DSA-3665 openjpeg2
DSA-3666 mysql-5.5
DSA-3667 chromium-browser
DSA-3668 mailman
DSA-3669 tomcat7
DSA-3670 tomcat8
DSA-3671 wireshark
DSA-3672 irssi
DSA-3673 openssl
DSA-3674 firefox-esr
DSA-3675 imagemagick
DSA-3676 unadf
DSA-3677 libarchive
DSA-3678 python-django
DSA-3679 jackrabbit
DSA-3680 bind9
DSA-3681 wordpress
DSA-3682 c-ares
DSA-3683 chromium-browser
DSA-3684 libdbd-mysql-perl
DSA-3685 libav
DSA-3686 icedove
DSA-3687 nspr
DSA-3688 nss
DSA-3689 php5
DSA-3691 ghostscript
DSA-3692 freeimage
DSA-3693 libgd2
DSA-3694 tor
DSA-3695 quagga
DSA-3696 linux
DSA-3697 kdepimlibs
DSA-3698 php5
DSA-3700 asterisk
DSA-3701 nginx
DSA-3702 tar
DSA-3703 bind9
DSA-3704 memcached
DSA-3705 curl
DSA-3706 mysql-5.5
DSA-3709 libxslt
DSA-3710 pillow
DSA-3712 terminology
DSA-3713 gst-plugins-bad0.10
DSA-3714 akonadi
DSA-3715 moin
DSA-3716 firefox-esr
DSA-3717 gst-plugins-bad0.10
DSA-3717 gst-plugins-bad1.0
DSA-3718 drupal7
DSA-3719 wireshark
DSA-3720 tomcat8
DSA-3721 tomcat7
DSA-3722 vim
DSA-3723 gst-plugins-good1.0
DSA-3724 gst-plugins-good0.10
DSA-3725 icu
DSA-3726 imagemagick
DSA-3727 hdf5
DSA-3728 firefox-esr
DSA-3729 xen
DSA-3731 chromium-browser
DSA-3732 php-ssh2
DSA-3732 php5
DSA-3733 apt
DSA-3734 firefox-esr
DSA-3735 game-music-emu
DSA-3736 libupnp
DSA-3737 php5
DSA-3738 tomcat7
DSA-3739 tomcat8
DSA-3740 samba
DSA-3741 tor
DSA-3743 python-bottle
DSA-3744 libxml2
DSA-3745 squid3
DSA-3747 exim4
DSA-3748 libcrypto++
DSA-3749 dcmtk
DSA-3750 libphp-phpmailer
DSA-3751 libgd2
DSA-3752 pcsc-lite
DSA-3753 libvncserver
DSA-3754 tomcat7
DSA-3755 tomcat8
Paquets supprimés
-----------------
Les paquets suivants ont été supprimés à cause de circonstances hors
de notre contrôle :
Paquet Raison
dotclear Problèmes de sécurité
sogo Problèmes de sécurité
Installateur Debian
-------------------
URL
---
Liste complète des paquets qui ont été modifiés dans cette version :
http://ftp.debian.org/debian/dists/jessie/ChangeLog
Adresse de l'actuelle distribution stable :
http://ftp.debian.org/debian/dists/stable/
Mises à jour proposées à la distribution stable :
http://ftp.debian.org/debian/dists/proposed-updates
Informations sur la distribution stable (notes de publication, errata,
etc.) :
https://www.debian.org/releases/stable/
Annonces et informations de sécurité :
https://security.debian.org/
À propos de Debian
------------------
Le projet Debian est une association de développeurs de logiciels
libres qui offrent volontairement leur temps et leurs efforts pour
produire le système d'exploitation complètement libre Debian.
Contacts
--------
Pour de plus amples informations, veuillez consulter le site Internet
de Debian https://www.debian.org/ ou envoyez un courrier électronique à
<press@debian.org> ou contactez l'équipe de publication de la version
stable à <debian-release@lists.debian.org>.
Reply to: