Debian 10 is bijgewerkt: 10.13 werd uitgebracht
10 september 2022
Het Debian-project kondigt met genoegen de dertiende (en laatste) update aan van zijn
vorige stabiele distributie Debian 10 (codenaam buster
).
Deze tussenrelease voegt voornamelijk correcties voor beveiligingsproblemen toe,
samen met een paar aanpassingen voor ernstige problemen. Beveiligingsadviezen
werden reeds afzonderlijk gepubliceerd en, waar beschikbaar, wordt hiernaar
verwezen.
Na deze tussenrelease zullen de beveiligings- en releaseteams van Debian geen updates meer uitbrengen voor Debian 10. Gebruikers die beveiligingsondersteuning willen blijven ontvangen, moeten opwaarderen naar Debian 11 of https://wiki.debian.org/LTS raadplegen voor details over de deelverzameling van architecturen en pakketten die door het project voor langetermijnondersteuning wordt gedekt.
Merk op dat de tussenrelease geen nieuwe versie van Debian 10 is,
maar slechts een update van enkele van de meegeleverde pakketten. Het is niet
nodig om oude media met buster
weg te gooien. Na de installatie
kunnen pakketten worden opgewaardeerd naar de huidige versie door een
bijgewerkte Debian-spiegelserver te gebruiken.
Wie regelmatig updates installeert vanuit security.debian.org zal niet veel pakketten moeten updaten, en de meeste van dergelijke updates zijn opgenomen in de tussenrelease.
Nieuwe installatie-images zullen binnenkort beschikbaar zijn op de gewone plaatsen.
Het upgraden van een bestaande installatie naar deze revisie kan worden bereikt door het pakketbeheersysteem naar een van de vele HTTP-spiegelservers van Debian te verwijzen. Een uitgebreide lijst met spiegelservers is beschikbaar op:
Oplossingen voor diverse problemen
Met deze update van oldstable, de vroegere stabiele release, worden een paar belangrijke correcties aangebracht aan de volgende pakketten:
| Pakket | Reden |
|---|---|
| adminer | Oplossen van een open omleidingsprobleem en problemen met cross-site scripting [CVE-2020-35572 CVE-2021-29625]; elasticsearch: reactie niet afdrukken als HTTP-code niet 200 is [CVE-2021-21311]; een gecompileerde versie en configuratiebestanden leveren |
| apache2 | Oplossen van een probleem van denial of service [CVE-2022-22719], een probleem van smokkelen van HTTP-verzoeken [CVE-2022-22720], een probleem met overlopen van gehele getallen [CVE-2022-22721], een probleem van schrijven buiten de grenzen [CVE-2022-23943], een probleem van smokkelen van HTTP-verzoeken [CVE-2022-26377], problemen met lezen buiten de grenzen [CVE-2022-28614 CVE-2022-28615], een probleem van denial of service [CVE-2022-29404], een probleem van lezen buiten de grenzen [CVE-2022-30556], mogelijk probleem met het omzeilen van authenticatie op basis van IP [CVE-2022-31813] |
| base-files | Update voor tussenrelease 10.13 |
| clamav | Nieuwe bovenstroomse stabiele release; beveiligingsoplossingen [CVE-2022-20770 CVE-2022-20771 CVE-2022-20785 CVE-2022-20792 CVE-2022-20796] |
| commons-daemon | JVM-detectie herstellen |
| composer | Kwetsbaarheid voor code-injectie oplossen [CVE-2022-24828]; het tokenpatroon voor GitHub bijwerken; de kopregel Authorization gebruiken in plaats van de verouderde zoekopdrachtparameter access_token |
| debian-installer | Hercompilatie tegen buster-proposed-updates; Linux ABI verhogen naar 4.19.0-21 |
| debian-installer-netboot-images | Hercompilatie tegen buster-proposed-updates; Linux ABI verhogen naar 4.19.0-21 |
| debian-security-support | Bijwerken van de beveiligingstoestand van verschillende pakketten |
| debootstrap | Ervoor zorgen dat chroots met niet-samengevoegde usr-mappen aangemaakt kunnen blijven worden voor oudere releases en buildd-chroots |
| distro-info-data | Toevoegen van Ubuntu 22.04 LTS, Jammy Jellyfish en Ubuntu 22.10, Kinetic Kudu |
| dropbear | Oplossen van mogelijk probleem van gebruikersnaamopsomming [CVE-2019-12953] |
| eboard | Oplossing voor segmentatiefout bij de selectie van de krachtbron |
| esorex | Oplossing voor mislukken van testsuite op armhf en ppc64el door verkeerd gebruik van libffi |
| evemu | Oplossen van compilatiefout met recente kernelversies |
| feature-check | Sommige versievergelijkingen oplossen |
| flac | Oplossen van probleem van schrijven buiten de grenzen [CVE-2021-0561] |
| foxtrotgps | Oplossing voor het mislukken van de compilatie met recentere versies van imagemagick |
| freeradius | Oplossing voor zijkanaallek waarbij 1 op 2048 handdrukken mislukken [CVE-2019-13456], probleem van denial of service door een multi-threaded BN_CTX-toegang [CVE-2019-17185], crash vanwege niet-thread-veilige geheugentoewijzing |
| freetype | Oplossing voor probleem van bufferoverloop [CVE-2022-27404]; oplossing voor crashes [CVE-2022-27405 CVE-2022-27406] |
| fribidi | Oplossing voor problemen van bufferoverloop [CVE-2022-25308 CVE-2022-25309]; oplossing voor crash [CVE-2022-25310] |
| ftgl | Niet proberen om voor latex PNG naar EPS te converteren, omdat in onze imagemagick EPS om veiligheidsredenen uitgeschakeld werd |
| gif2apng | Oplossen van problemen met stapelbufferoverloop [CVE-2021-45909 CVE-2021-45910 CVE-2021-45911] |
| gnucash | Oplossing voor mislukkende compilatie met recente tzdata |
| gnutls28 | Reparatie voor testsuite bij combinatie met OpenSSL 1.1.1e of nieuwer |
| golang-github-docker-go-connections | Tests met verlopen certificaten overslaan |
| golang-github-pkg-term | Reparatie voor compilatie op recentere 4.19 kernels |
| golang-github-russellhaering-goxmldsig | Oplossen van probleem van NULL pointer dereference [CVE-2020-7711] |
| grub-efi-amd64-signed | Nieuwe bovenstroomse release |
| grub-efi-arm64-signed | Nieuwe bovenstroomse release |
| grub-efi-ia32-signed | Nieuwe bovenstroomse release |
| grub2 | Nieuwe bovenstroomse release |
| htmldoc | Oplossen van oneindige lus [CVE-2022-24191], problemen met overloop van gehele getallen [CVE-2022-27114] en probleem met stapelbufferoverloop [CVE-2022-28085] |
| iptables-netflow | Regressie met DKMS-compilatiefouten repareren veroorzaakt door bovenstroomse wijzigingen in de 4.19.191 Linux-kernel |
| isync | Oplossing voor problemen met bufferoverloop [CVE-2021-3657] |
| kannel | Bouwfout opgelost door uitschakeling van genereren van Postscript-documentatie |
| krb5 | SHA256 gebruiken als frommel voor Pkinit CMS |
| libapache2-mod-auth-openidc | Verbetering van de validatie van de post-logout URL-parameter bij het afmelden [CVE-2019-14857] |
| libdatetime-timezone-perl | Bijwerken van opgenomen gegevens |
| libhttp-cookiejar-perl | Fout bij het bouwen oplossen door de vervaldatum van een testcookie te verhogen |
| libnet-freedb-perl | De standaard computernaam veranderen van het ter ziele gegane freedb.freedb.org in gnudb.gnudb.org |
| libnet-ssleay-perl | Reparatie voor testfouten met OpenSSL 1.1.1n |
| librose-db-object-perl | Reparatie voor testfout na 6/6/2020 |
| libvirt-php | Reparatie voor segmentatiefout in libvirt_node_get_cpu_stats |
| llvm-toolchain-13 | Nieuw broncodepakket om het bouwen van recentere versies van firefox-esr en thunderbird te ondersteunen |
| minidlna | HTTP-verzoeken valideren om te beschermen tegen DNS rebinding-aanvallen [CVE-2022-26505] |
| mokutil | Nieuwe bovenstroomse versie om SBAT-beheer mogelijk te maken |
| mutt | Probleem met uudecode-bufferoverloop oplossen [CVE-2022-1328] |
| node-ejs | Opties en nieuwe objecten uitzuiveren [CVE-2022-29078] |
| node-end-of-stream | Omzeilen van testbug |
| node-minimist | Probleem met prototypepollutie oplossen [CVE-2021-44906] |
| node-node-forge | Problemen met handtekeningverificatie oplossen [CVE-2022-24771 CVE-2022-24772 CVE-2022-24773] |
| node-require-from-string | Reparatie voor een test in combinatie met nodejs >= 10.16 |
| nvidia-graphics-drivers | Nieuwe bovenstroomse release |
| nvidia-graphics-drivers-legacy-390xx | Nieuwe bovenstroomse release; oplossen van problemen van schrijven buiten de grenzen [CVE-2022-28181 CVE-2022-28185]; beveiligingsoplossingen [CVE-2022-31607 CVE-2022-31608 CVE-2022-31615] |
| octavia | Controles van clientcertificaten repareren [CVE-2019-17134]; correct detecteren dat de agent op Debian actief is; sjabloon repareren dat vrrp-controlescript genereert; extra runtime-vereisten toevoegen; extra configuratie rechtstreeks meeleveren in het pakket van de agent |
| orca | Reparatie voor het gebruik met WebKitGTK 2.36 |
| pacemaker | Relatieversies bijwerken om upgrades van stretch LTS op te lossen |
| pglogical | Oplossen van compilatiefout |
| php-guzzlehttp-psr7 | Onjuiste ontleding van kopregels repareren [CVE-2022-24775] |
| postfix | Nieuwe bovenstroomse stabiele release; door gebruiker ingesteld default_transport niet opheffen; if-up.d: niet afsluiten met een foutmelding als postfix nog geen mail kan versturen; reparatie voor dubbele vermeldingen van bounce_notice_recipient in postconf-uitvoer |
| postgresql-common | pg_virtualenv: tijdelijk wachtwoordbestand neerschrijven voor de eigenaar van het bestand aangepast wordt |
| postsrsd | Mogelijk probleem van denial of service oplossen wanneer Postfix bepaalde lange gegevensvelden verzendt, zoals meerdere samengevoegde e-mailadressen [CVE-2021-35525] |
| procmail | Oplossing voor NULL pointer dereference |
| publicsuffix | Bijwerken van opgenomen gegevens |
| python-keystoneauth1 | Bijwerken van tests om compilatiefouten op te lossen |
| python-scrapy | Geen authenticatiegegevens meesturen met alle verzoeken [CVE-2021-41125]; bij het doorsturen geen cookies blootgeven over de domeinen heen [CVE-2022-0577] |
| python-udatetime | Correct linken met de libm-bibliotheek |
| qtbase-opensource-src | Repareren van setTabOrder voor samengestelde elementen; een uitbreidingslimiet toevoegen voor XML-entiteiten [CVE-2015-9541] |
| ruby-activeldap | Toevoegen van ontbrekende vereiste ruby-builder |
| ruby-hiredis | Enkele onbetrouwbare tests overslaan om een compilatiefout te verhelpen |
| ruby-http-parser.rb | Oplossen van compilatiefout bij het gebruik van http-parser met de oplossing voor CVE-2019-15605 |
| ruby-riddle | Het gebruik van LOAD DATA LOCAL INFILEtoestaan |
| sctk | pdftoppmgebruiken in plaats van convertvoor de conversie van PDF naar JPEG omdat dit laatste mislukt na het gewijzigde veiligheidsbeleid van ImageMagick |
| twisted | Oplossingen voor probleem met onjuiste URI en HTTP methodevalidatie [CVE-2019-12387], met onjuiste certificaatvalidatie in ondersteuning voor XMPP [CVE-2019-12855], problemen van HTTP/2 denial-of-service, problemen van smokkelen van HTTP-verzoeken [CVE-2020-10108 CVE-2020-10109 CVE-2022-24801], probleem met openbaarmaking van informatie bij het volgen van domeinoverschrijdende omleidingen [CVE-2022-21712], probleem van denial of service tijdens SSH-handdruk [CVE-2022-21716] |
| tzdata | Tijdzonegegevens voor Iran, Chili en Palestina bijwerken; lijst met schrikkelseconden bijwerken |
| ublock-origin | Nieuwe bovenstroomse stabiele release |
| unrar-nonfree | Oplossen van probleem van mapoverschrijding [CVE-2022-30333] |
| wireshark | Oplossen van een probleem van uitvoeren van code van buitenaf [CVE-2021-22191], van problemen van denial of service [CVE-2021-4181 CVE-2021-4184 CVE-2021-4185 CVE-2022-0581 CVE-2022-0582 CVE-2022-0583 CVE-2022-0585 CVE-2022-0586] |
Beveiligingsupdates
Met deze revisie worden de volgende beveiligingsupdates toegevoegd aan de vroegere stabiele release. Het beveiligingsteam heeft voor elk van deze updates al een advies uitgebracht:
Verwijderde pakketten
De volgende pakketten werden verwijderd wegens omstandigheden waarover wij geen controle hebben:
| Pakket | Reden |
|---|---|
| elog | Onbeheerd; veiligheidsproblemen |
| libnet-amazon-perl | Vereist een verwijderd API |
Het Debian-installatiesysteem
Het installatiesysteem werd bijgewerkt om de reparaties die met deze tussenrelease in oldstable, de vroegere stabiele release, opgenomen werden, toe te voegen.
URL's
De volledige lijsten met pakketten die met deze revisie gewijzigd werden:
De huidige distributie oldstable:
Voorgestelde updates voor de distributie oldstable:
informatie over de distributie oldstable (notities bij de release, errata, enz.):
Beveiligingsaankondigingen en -informatie:
Over Debian
Het Debian-project is een vereniging van ontwikkelaars van vrije software die vrijwillig tijd en moeite steken in het produceren van het volledig vrije besturingssysteem Debian.
Contactinformatie
Ga voor verdere informatie naar de webpagina's van Debian op https://www.debian.org/, stuur een e-mail naar <press@debian.org>, of neem contact met het release-team voor de stabiele release op <debian-release@lists.debian.org>.