Publication de la mise à jour de Debian 12.14
16 mai 2026
Le projet Debian a l'honneur d'annoncer la quatorzième mise à jour de sa
distribution oldstable Debian 12 (nom de code Bookworm
).
Tout en réglant quelques problèmes importants, cette mise à jour corrige
principalement des problèmes de sécurité de la version stable. Les annonces de
sécurité ont déjà été publiées séparément et sont simplement référencées dans
ce document.
Veuillez noter que cette mise à jour ne constitue pas une nouvelle version de Debian 12 mais seulement une mise à jour de certains des paquets qu'elle contient. Il n'est pas nécessaire de jeter les anciens médias de la version Bookworm. Après installation, les paquets peuvent être mis à niveau vers les versions actuelles en utilisant un miroir Debian à jour.
Les personnes qui installent fréquemment les mises à jour à partir de security.debian.org n'auront pas beaucoup de paquets à mettre à jour et la plupart des mises à jour de security.debian.org sont comprises dans cette mise à jour.
De nouvelles images d'installation seront prochainement disponibles à leurs emplacements habituels.
Mettre à jour une installation vers cette révision peut se faire en faisant pointer le système de gestion de paquets sur l'un des nombreux miroirs HTTP de Debian. Une liste complète des miroirs est disponible à l'adresse :
Corrections de bogues divers
Cette mise à jour de la version oldstable apporte quelques corrections importantes aux paquets suivants :
| Paquet | Raison |
|---|---|
| 7zip | Nouvelle version amont stable ; correction d'un problème de soupassement d'entier [CVE-2023-31102] ; correction de problèmes d'exécution de code [CVE-2023-40481 CVE-2025-11001 CVE-2025-11002] ; correction d'un problème de déni de service [CVE-2024-11612] ; correction d'un problème de déréférencement de pointeur NULL [CVE-2025-53817] ; correction de la gestion de liens symboliques [CVE-2025-55188] |
| apache2 | Nouvelle version amont : correction d'une régression d'http2 ; correction d'un problème d'utilisation de mémoire après libération [CVE-2026-23918] ; correction d'un problème d'élévation de privilèges [CVE-2026-24072] ; correction de problèmes de déréférencement de pointeur NULL [CVE-2026-29169 CVE-2026-33007] ; correction d'un problème de contournement d'authentification [CVE-2026-33006] ; correction d'un problème de découpage de réponse HTTP [CVE-2026-33523] ; correction de problèmes de lecture hors limites [CVE-2026-33857 CVE-2026-34032] ; correction d'un problème de dépassement de tampon en lecture [CVE-2026-34059] |
| arduino-core-avr | Nouvelle version amont stable ; correction d'un problème de dépassement de tampon [CVE-2025-69209] |
| augeas | Correction d'un problème de déréférencement de pointeur NULL [CVE-2025-2588] |
| awstats | Injection de commande évitée [CVE-2025-63261] |
| base-files | Mise à jour pour la version 12.14 |
| bash | Reconstruction avec la glibc mise à jour |
| busybox | Correction d'un problème de dépassement de pile [CVE-2022-48174] et d'erreurs d'utilisation de mémoire après libération [CVE-2023-42363 CVE-2023-42364 CVE-2023-42365] |
| c3p0 | Correction d'un problème de développement d'entité récursif [CVE-2019-5427] |
| calibre | Correction de problèmes de traversée de répertoires [CVE-2026-25635 CVE-2026-25636 CVE-2026-26064 CVE-2026-26065] ; correction d'un problème d'exécution de code [CVE-2026-25731] ; correction d'un problème d'injection d'en-tête de réponse HTTP [CVE-2026-27810] ; correction d'un problème de contournement de bannissement d'IP [CVE-2026-27824] |
| cdebootstrap | Reconstruction avec la glibc mise à jour |
| chkrootkit | Reconstruction avec la glibc mise à jour |
| chrony | Ouverture de l'horloge de référence PHC avec l'indicateur O_RDWR lors de l'activation de l'option extpps |
| composer | Correction d'un problème d'exécution de code [CVE-2023-43655] ; correction de problèmes d'injection de commandes [CVE-2026-40261 CVE-2026-40176] |
| containerd | Correction de l'implémentation de CRI Attach[CVE-2025-64329] ; correction de permissions de répertoire trop étendues [CVE-2024-25621] ; correction d'un dépassement de grands UID:GID (> 32 bits) [CVE-2024-40635] |
| dar | Reconstruction avec la glibc mise à jour |
| debian-installer | Passage de l'ABI du noyau Linux à la version 6.1.0-47 |
| debian-installer-netboot-images | Reconstruction avec oldstable-proposed-updates |
| debsig-verify | Reconstruction avec dpkg mis à jour |
| deets | Reconstruction avec dpkg mis à jour |
| distro-info-data | Ajout d'Ubuntu 26.10 Stonking Stingray |
| docker.io | Reconstruction avec containerd et la glibc mis à jour |
| dovecot | Correction du rétroportage incomplet du correctif pour CVE-2026-27855 ; correction d'une fuite de mémoire dans le correctif pour CVE-2026-27857 |
| dpkg | Nouvelle version amont stable ; correction d'une vérification insuffisante des permissions menant à un possible problème de déni de service [CVE-2025-6297] ; correction d'un problème de déni de service [CVE-2026-2219] ; correction d'un problème de lecture excessive de tampon ; correction de l'avertissement de variable non initialisée avec Rules-Requires-Root ; correction d'une erreur de segmentation dans dpkg-trigger ; correction de traductions |
| erlang | Correction de problèmes de déni de service [CVE-2025-48038 CVE-2025-48039 CVE-2025-48040 CVE-2025-48041] ; correction d'un problème de dissimulation de requête HTTP [CVE-2026-23941] ; correction de problèmes de traversée de répertoires [CVE-2026-23942 CVE-2026-21620] ; correction d'un problème de bombe de décompression [CVE-2026-23943] |
| exim4 | Correction de la vérification du nom d'hôte GnuTLS d'un certificat de serveur avec un Subjectde longueur nulle ; correction d'un problème de déni de service [CVE-2026-40684] ; correction de problèmes de lecture/écriture hors limites [CVE-2026-40685 CVE-2026-40686 CVE-2026-40687] |
| fonttools | Correction d'un problème d'injection d'entité XML externe [CVE-2023-45139] ; correction d'un problème d'exécution de code [CVE-2025-66034] |
| glance | Correction d'un problème de contrefaçon de requête côté serveur [CVE-2026-34881] ; correction d'un échec de construction |
| glib2.0 | Correction de la gestion des fuseaux horaires avec des liens symboliques dans Debian & Ubuntu ; correction d'une validation d'entrée manquante dans g_buffered_input_stream_peek [CVE-2026-0988] ; correction de dépassement d'entier dans l'encodage base64 [CVE-2026-1484] ; correction d'un problème de soupassement de tampon dans l'analyse de type de contenu [CVE-2026-1485] ; correction d'un dépassement d'entier dans la conversion d'unicode [CVE-2026-1489] |
| glibc | Correction d'un problème de dépassement d'entier [CVE-2026-0861] ; correction d'un problème d'utilisation de mémoire non initialisée [CVE-2025-15281] ; correction de gestion incorrecte de réponses DNS [CVE-2026-4437] ; correction du retour de noms d'hôte DNS non valables [CVE-2026-4438] ; correction d'un échec d'assertion [CVE-2026-4046] ; correction d'un goulot d'étranglement des performances avec ASAN sur ARM 32 bits ; correction du déroulement incorrect de la trace d'exécution ; correction d'une faute de frappe dans le sélecteur ifunc de wmemset qui faisait que les chemins AVX2/AVX512 étaient ignorés ; correction de la fonction rawmemchr optimisée de POWER ; correction d'un problème de fuite de contenu de pile [CVE-2026-0915] |
| gnuais | Correction de l’affichage de carte dans gnuaisgui |
| golang-github-containerd-stargz-snapshotter | Reconstruction avec containerd mis à jour |
| golang-github-containers-buildah | Reconstruction avec containerd mis à jour |
| golang-github-openshift-imagebuilder | Reconstruction avec containerd mis à jour |
| gpsd | Correction d'un problème d'écriture hors limites [CVE-2025-67268] ; correction d'un problème de soupassement d'entier [CVE-2025-67269] |
| grub-efi-amd64-signed | Retrait de NTFS et jfs de l'image EFI monolithique ; mise à jour des niveaux de SBAT ; réglage Protected: yespour les paquets -signed afin qu'ils ne soient pas facilement supprimés ; rétroportage de correctifs de régression amont ; correction de video/readers/jpeg : marqueurs SOF0 dupliqués interdits dans les fichiers JPEG[CVE-2024-45774] ; correction de commands/extcmd : absence de vérification des échecs d'allocation[CVE-2024-45775] ; correction de commands/dump : la commande dump n'est pas verrouillée lorsque le démarrage sécurisé est activé[CVE-2025-1118] ; correction de problèmes de dépassement d'entier [CVE-2024-45776 CVE-2024-45777 CVE-2024-45778 CVE-2024-45779 CVE-2024-45780 CVE-2025-0677 CVE-2025-0678 CVE-2025-0684 CVE-2025-0685 CVE-2025-0690 CVE-2025-1125] ; correction de problèmes d'écriture hors limites [CVE-2024-45781 CVE-2024-45782 CVE-2025-0624] ; correction de problèmes d'utilisation de mémoire après libération [CVE-2024-45783 CVE-2025-0622] ; correction d'un problème de dépassement de tampon [CVE-2025-0689] |
| grub-efi-arm64-signed | Retrait de NTFS et jfs de l'image EFI monolithique ; mise à jour des niveaux de SBAT ; réglage Protected: yespour les paquets -signed afin qu'ils ne soient pas facilement supprimés ; rétroportage de correctifs de régression amont ; correction de video/readers/jpeg : marqueurs SOF0 dupliqués interdits dans les fichiers JPEG[CVE-2024-45774] ; correction de commands/extcmd : absence de vérification des échecs d'allocation[CVE-2024-45775] ; correction de commands/dump : la commande dump n'est pas verrouillée lorsque le démarrage sécurisé est activé[CVE-2025-1118] ; correction de problèmes de dépassement d'entier [CVE-2024-45776 CVE-2024-45777 CVE-2024-45778 CVE-2024-45779 CVE-2024-45780 CVE-2025-0677 CVE-2025-0678 CVE-2025-0684 CVE-2025-0685 CVE-2025-0690 CVE-2025-1125] ; correction de problèmes d'écriture hors limites [CVE-2024-45781 CVE-2024-45782 CVE-2025-0624] ; correction de problèmes d'utilisation de mémoire après libération [CVE-2024-45783 CVE-2025-0622] ; correction d'un problème de dépassement de tampon [CVE-2025-0689] |
| grub-efi-ia32-signed | Retrait de NTFS et jfs de l'image EFI monolithique ; mise à jour des niveaux de SBAT ; réglage Protected: yespour les paquets -signed afin qu'ils ne soient pas facilement supprimés ; rétroportage de correctifs de régression amont ; fcorrection de video/readers/jpeg : marqueurs SOF0 dupliqués interdits dans les fichiers JPEG[CVE-2024-45774] ; correction de commands/extcmd : absence de vérification des échecs d'allocation[CVE-2024-45775] ; correction de commands/dump : la commande dump n'est pas verrouillée lorsque le démarrage sécurisé est activé[CVE-2025-1118] ; correction de problèmes de dépassement d'entier [CVE-2024-45776 CVE-2024-45777 CVE-2024-45778 CVE-2024-45779 CVE-2024-45780 CVE-2025-0677 CVE-2025-0678 CVE-2025-0684 CVE-2025-0685 CVE-2025-0690 CVE-2025-1125] ; correction de problèmes d'écriture hors limites [CVE-2024-45781 CVE-2024-45782 CVE-2025-0624] ; correction de problèmes d'utilisation de mémoire après libération [CVE-2024-45783 CVE-2025-0622] ; correction d'un problème de dépassement de tampon [CVE-2025-0689] |
| grub2 | Retrait de NTFS et jfs de l'image EFI monolithique ; mise à jour des niveaux de SBAT ; réglage Protected: yespour les paquets -signed afin qu'ils ne soient pas facilement supprimés ; rétroportage de correctifs de régression amont ; correction de video/readers/jpeg : marqueurs SOF0 dupliqués interdits dans les fichiers JPEG[CVE-2024-45774] ; correction de commands/extcmd : absence de vérification des échecs d'allocation[CVE-2024-45775] ; correction de commands/dump : la commande dump n'est pas verrouillée lorsque le démarrage sécurisé est activé[CVE-2025-1118] ; correction de problèmes de dépassement d'entier [CVE-2024-45776 CVE-2024-45777 CVE-2024-45778 CVE-2024-45779 CVE-2024-45780 CVE-2025-0677 CVE-2025-0678 CVE-2025-0684 CVE-2025-0685 CVE-2025-0690 CVE-2025-1125] ; correction de problèmes d'écriture hors limites [CVE-2024-45781 CVE-2024-45782 CVE-2025-0624] ; correction de problèmes d'utilisation de mémoire après libération [CVE-2024-45783 CVE-2025-0622] ; correction d'un problème de dépassement de tampon [CVE-2025-0689] |
| gvfs | Utilisation de l'adresse de connexion de contrôle pour les données PASV [CVE-2026-28295] ; rejet des chemins contenant des caractères CR/LF [CVE-2026-28296] |
| kissfft | Correction de problèmes de dépassement d'entier [CVE-2025-34297 CVE-2026-41445] |
| kpackage | Test non fiable au moment de la construction évité |
| lemonldap-ng | Mise à jour de la documentation pour éviter l'utilisation de variables Nginx non sécurisées |
| libarchive | Correction de problèmes de lecture hors limites [CVE-2025-5918 CVE-2026-4424] ; correction de problèmes de déni de service [CVE-2026-4111 CVE-2026-4426] ; correction d'un possible problème d'exécution de code [CVE-2026-5121] |
| libcap2 | Correction d'un problème d'heure de vérification et d'heure d'utilisation [CVE-2026-4878] ; reconstruction avec la glibc mise à jour |
| libexif | Correction de problèmes de soupassement d'entier [CVE-2026-40386 CVE-2026-32775] ; correction d'un problème de dépassement d'entier [CVE-2026-40385] |
| libnet-cidr-lite-perl | Correction de problèmes de contournement d'ACL [CVE-2026-40198 CVE-2026-40199] |
| libpng1.6 | Correction de problèmes de dépassement de tas [CVE-2026-22801 CVE-2026-22695] |
| libpod | Reconstruction avec containerd mis à jour |
| libreoffice | Correction d'un correctif incomplet pour CVE-2024-12426 |
| libreoffice-texmaths | Ajout d'une dépendance à dvipng/dvisvgm |
| libuev | Correction d'un problème de dépassement de tampon [CVE-2022-48620] |
| libvncserver | Correction d'un problème de lecture hors limites [CVE-2026-32853] ; correction d'un problème de déréférencement de pointeur NULL [CVE-2026-32854] |
| libxml-security-java | Correction d'un problème de divulgation de clé privée [CVE-2023-44483] |
| libxslt | Correction d'une régression déterministe de generate-id() provoquant des échecs de construction dans d'autres paquets |
| lxc | Correction d'un problème de contournement d'autorisation [CVE-2026-39402] |
| mapserver | Correction d'un problème d'injection de code SQL [CVE-2025-59431] ; correction d'un problème de dépassement de tampon [CVE-2026-33721] ; correction de problèmes de dépassement de tampon de tas et de double libération dans maplexer |
| modsecurity-crs | Correction d'un problème de contournement de règle [CVE-2023-38199] ; correction d'un problème de contournement de blocage d'extension de fichier [CVE-2026-33691] |
| mongo-c-driver | Correction de problèmes de validation insuffisante [CVE-2025-14911 CVE-2026-6231] ; correction d'un problème de déni de service [CVE-2026-4359] ; correction d'un problème de dépassement de tampon [CVE-2026-6691] ; amélioration de la gestion des fichiers GridFS corrompus |
| nginx | Correction de problèmes de dépassement de tampon [CVE-2026-27654 CVE-2026-27784 CVE-2026-32647] ; correction de problèmes d'authentification de session [CVE-2026-27651 CVE-2026-28753] ; correction d'un problème de contournement des résultats OCSP [CVE-2026-28755] ; utilisation de $hostà la place de $http_host |
| openssh | Correction de problèmes possibles d'exécution de code [CVE-2025-61984 CVE-2025-61985] ; assurance que scp ne rend pas setuid ou setgid de façon imprévue les fichiers transférés [CVE-2026-35385] ; correction d'un problème d'exécution de commande [CVE-2026-35386] ; correction de l'application incomplète de PubkeyAcceptedAlgorithms et HostbasedAcceptedAlgorithms en ce qui concerne les clés ECDSA [CVE-2026-35387] ; utilisation de la confirmation de multiplexage de connexion pour sessions de multiplexage en mode mandataire [CVE-2026-35388] ; correction de la gestion de l'option authorized_keys principals[CVE-2026-35414] ; validation des noms d'utilisateur et d'hôte pour les options ProxyJump/-J passées en ligne de commande |
| openssl | Nouvelle version amont stable |
| p7zip | Rebasage sur une version plus récente de 7zip ; correction d'un problème de soupassement d'entier [CVE-2023-31102] ; correction de problèmes d'exécution de code [CVE-2023-40481 CVE-2025-11001 CVE-2025-11002] ; correction d'un problème de déni de service [CVE-2024-11612] ; correction d'un problème de déréférencement de pointeur NULL [CVE-2025-53817] ; correction de la gestion des liens symboliques [CVE-2025-55188] ; correction d'un problème de dépassement de tampon [CVE-2023-52168] ; correction de problèmes de lecture hors limites [CVE-2023-52169 CVE-2022-47069] |
| p7zip-rar | Rebasage sur une version plus récente de 7zip ; correction d'un problème de déni de service [CVE-2025-53816] |
| php-dompdf | Correction d'un problème de déni de service [CVE-2023-50262] |
| php-league-commonmark | Correction d'un problème de script intersite [CVE-2025-46734] ; correction de problèmes de contournement de validation [CVE-2026-30838 CVE-2026-33347] |
| php-phpseclib | Correction d'un problème de déni de service [CVE-2024-27355] ; correction d'un problème de comparaison variable de temps [CVE-2026-40194] |
| php-phpseclib3 | Correction d'un problème de déni de service [CVE-2024-27355] ; correction d'un problème de comparaison variable de temps [CVE-2026-40194] |
| phpseclib | Correction d'un problème de déni de service [CVE-2024-27355] ; correction d'un problème de comparaison variable de temps [CVE-2026-40194] |
| plastimatch | Retrait des fichiers non libres |
| postgresql-15 | Nouvelle version amont stable ; correction d'un problème de dépassement de tampon [CVE-2026-2006] |
| proftpd-dfsg | Correction d'un problème de déni de service [CVE-2024-57392] ; correction d'un problème d'injection de code SQL [CVE-2026-42167] ; correction de mod_radius : échec systématique de la vérification de Message-Authenticator |
| pymupdf | Reconstruction avec mupdf mis à jour |
| python-authlib | Correction d'un problème de confusion d'algorithme [CVE-2024-37568] ; correction d'un problème de contrefaçon de requête intersite [CVE-2025-68158] ; correction de problèmes de déni de service [CVE-2025-62706 CVE-2025-61920] ; correction d'un problème de contournement de politique [CVE-2025-59420] |
| python-django | Correction d'un problème de déni de service basé sur les expressions rationnelles [CVE-2023-36053], de problèmes de déni de service [CVE-2024-38875 CVE-2024-39614 CVE-2024-41990 CVE-2024-41991], d'un problème d'énumération d'utilisateurs [CVE-2024-39329], d'un problème de traversée de répertoires [CVE-2024-39330], d'un problème de consommation excessive de mémoire [CVE-2024-41989], d'un problème d'injection de code SQL [CVE-2024-42005] |
| python-ldap | Correction d'un problème d'échappement insuffisant [CVE-2025-61911] ; correction d'un problème de déni de service [CVE-2025-61912] |
| python3.11 | Correction de problèmes d'injection d'en-tête [CVE-2025-11468 CVE-2025-15282 CVE-2026-0672 CVE-2026-0865 CVE-2026-1299] ; correction de problèmes de déni de service [CVE-2025-12084 CVE-2025-13836 CVE-2025-13837 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194] ; correction d'une validation insuffisante dans zipFile [CVE-2025-8291] ; correction d'un problème d'utilisation de mémoire après libération [CVE-2025-4516] |
| qemu | Reconstruction avec la glibc, glib2.0 et gnutls28 mis à jour |
| request-tracker5 | Correction des constructions de CKEditor quand la version de Firefox est >= 148 |
| sash | Reconstruction avec la glibc mise à jour |
| sed | Correction d'un problème d'heure de vérification et d'heure d'utilisation [CVE-2026-5958] |
| sioyek | Reconstruction avec mupdf mis à jour |
| skeema | Reconstruction avec containerd mis à jour |
| snapd | Reconstruction avec libcap2 mis à jour |
| sudo | Correction des vérifications des droits de exec_mailer [CVE-2026-35535] |
| supermin | Reconstruction avec la glibc mise à jour |
| swupdate | Correction d'un problème de déni de service [CVE-2026-28525] |
| systemd | Correction d'assertion et de blocage [CVE-2026-29111] ; correction de problèmes d'exécution de code [CVE-2026-40225 CVE-2026-4105] ; correction d'un problème d'évasion vers l'hôte de nspawn [CVE-2026-40226] |
| taglib | Correction d'un problème de violation de segmentation [CVE-2023-47466] |
| tpm2-pkcs11 | Correction d'un déréférencement de pointeur NULL pendant la migration de la base de données |
| tripwire | Reconstruction avec la glibc mise à jour |
| tzdata | Nouvelle version amont ; mise à jour des données pour la Colombie-Britannique |
| user-mode-linux | Reconstruction avec Linux mis à jour |
| vips | Correction de problèmes de dépassement de tampon [CVE-2026-2913 CVE-2026-3147 CVE-2026-3281] ; correction d'un problème de corruption de mémoire [CVE-2026-3145] ; correction d'un problème de déréférencement de pointeur NULL [CVE-2026-3146] ; correction de problèmes de lectures hors limites [CVE-2026-3282 CVE-2026-3283] ; correction d'un problème de dépassement d'entier [CVE-2026-3284] |
| wireless-regdb | Nouvelle version amont stable ; mise à jour des informations réglementaires pour plusieurs pays |
| wireshark | Correction de problèmes de déni de service [CVE-2024-11596 CVE-2024-9781 CVE-2025-11626 CVE-2025-13499 CVE-2025-13945 CVE-2025-13946 CVE-2025-1492 CVE-2025-5601 CVE-2025-9817 CVE-2026-0960] |
| xorg-server | Correction d'un problème de réutilisation de tampon [CVE-2026-33999] ; correction et amélioration de la vérification de limites [CVE-2026-34000 CVE-2026-34003] ; correction d'un problème d'utilisation de mémoire après libération [CVE-2026-34001] ; correction d'un problème de lecture hors limites [CVE-2026-34002] |
| zsh | Reconstruction avec libcap2 et la glibc mis à jour |
| zvbi | Correction d'un problème de pointeur non initialisé [CVE-2025-2173] ; correction de problèmes de dépassement d'entier [CVE-2025-2174 CVE-2025-2175 CVE-2025-2176 CVE-2025-2177] |
Mises à jour de sécurité
Cette révision ajoute les mises à jour de sécurité suivantes à la version oldstable. L'équipe de sécurité a déjà publié une annonce pour chacune de ces mises à jour :
Paquets supprimés
Les paquets suivants ont été supprimés à cause de circonstances hors de notre contrôle :
| Paquet | Raison |
|---|---|
| suricata | Non pris en charge ; possibles problèmes de sécurité ; entretenu au moyen de backports |
| zulucrypt | Problèmes de sécurité ; non entretenu |
Installateur Debian
L'installateur a été mis à jour pour inclure les correctifs incorporés dans cette version de oldstable.
URL
Liste complète des paquets qui ont été modifiés dans cette version :
Adresse de l'actuelle distribution oldstable :
Mises à jour proposées à la distribution oldstable :
Informations sur la distribution oldstable (notes de publication, errata, etc.) :
Annonces et informations de sécurité :
À propos de Debian
Le projet Debian est une association de développeurs de logiciels libres qui offrent volontairement leur temps et leurs efforts pour produire le système d'exploitation complètement libre Debian.
Contacts
Pour de plus amples informations, veuillez consulter le site Internet de Debian https://www.debian.org/ ou envoyez un courrier électronique à <press@debian.org> ou contactez l'équipe de publication de la version stable à <debian-release@lists.debian.org>.