Debian GNU/Linux 4.0 aktualisiert

22. Mai 2010

Das Debian-Projekt freut sich, die neunte und letzte Aktualisierung seiner Oldstable-Distribution Debian GNU/Linux 4.0 (codename etch) ankündigen zu dürfen.

Diese Aktualisierung enthält alle Sicherheitsaktualisierungen, die seit der letzten Zwischenveröffentlichung für das Oldstable-Release verteilt wurden, mit einer Ausnahme, deren Einbeziehung uns leider nicht möglich war, zusammen mit einigen Korrekturen für ernste Probleme.

BITTE BEACHTEN: Die Sicherheitsunterstützung für die Oldstable- Distribution endete am Februar 2010 und seitdem wurden keine Aktualisierungen mehr veröffentlicht.

Diejenigen, die häufig Aktualisierungen von security.debian.org installieren, werden nicht viele Pakete auffrischen müssen und die meisten Aktualisierungen von security.debian.org sind in dieser Aktualisierung enthalten.

Neue CD- und DVD-Abbilder mit den neuen Paketen und die üblichen mit dem Paketarchiv ausgestatteten Installationsmedien werden bald an den üblichen Orten erhältlich sein.

Für Online-Upgrades zu dieser Revision wird normalierweise die aptitude- (oder apt-) Paketverwaltung (siehe die Handbuchseite sources.list(5)) auf einen der vielen FTP- oder HTTP-Spiegel von Debian verwiesen. Eine vollständige Liste der Spiegelserver steht auf:

http://www.debian.org/distrib/ftplist

Wir bitten zu beachten, dass die Oldstable-Distribution am sechsten Juni 2010 aus dem Hauptarchiv in das Repository archive.debian.org verschoben wird. Nach dieser Verschiebung wird es nicht länger im Haupt-Spiegelnetwerk verfügbar sein. Weitere Informationen über das Distributionsarchiv und eine Liste der Spiegelserver können Sie nachlesen unter:

http://www.debian.org/distrib/archive

Gemischte Fehlerkorrekturen

Diese Aktualisierung für oldstable nimmt an den folgenden Paketen bedeutende Korrekturen vor:

Paket Grund
backup-manager Behebt Verrat von MySQL-Passwörtern an lokale Nutzer
binutils Bringt der ".set symbol,value" Gas-Syntax MIPS-Unterstützung bei
fam Behebt CPU-Volllast in famd
fetchmail Behebt potenziellen MITM gegen APOP und potenziellen DoS
freedoom Entfernt urheberrechtsverletzendes Material
glibc Behebt falsche libc6-amd64-Abhängigkeit
gnupg Behebt Speicherleck und leert die Konsole bei einer Unterbrechung
irssi Beseitigt verbotenen Zugriff
kazehakase Verbietet das Setzen von Lesezeichen für URIs der Form data:/javascript:
linux-2.6 Einige Schwachstellen
linux-2.6.24 Einige Schwachstellen
mksh Beseitigt nicht authentifizierte lokale Privilegeskalation
mt-daapd Aktualisiert das eingebettete prototype.js, um Sicherheitsprobleme zu beheben
openafs Verhindert das Erzeugen ungültiger Zeiger auf den Kernelspeicher, wenn ein Fehler behandelt wird
openssl Verwirft MD2-Hashsignaturen und behebt einige DoS-Anfälligkeiten
serveez Verhindert Pufferüberlauf aus der Ferne
tetex-bin Beseitigt Versagen, wenn LaTeX älter als fünf Jahre ist
texlive-bin Beseitigt Versagen, wenn LaTeX älter als fünf Jahre ist
texlive-extra Beseitigt Versagen, wenn LaTeX älter als fünf Jahre ist
texlive-lang Beseitigt Versagen, wenn LaTeX älter als fünf Jahre ist
wordpress Behebt DoS mit Hilfe langer Titel und speziell konstruierter Zeichensatz-Parameter
xcftools Behebt Absturz bei Dateien mit negativen Koordinaten

Debian Installer

Der Debian-Insaller wurde auf diese Zwischenveröffentlichung aktualisiert, um eine bessere Unterstützung für die Installation von archive.debian.org sowie der "oldstable"-Distribution zu erhalten und um Probleme beim Überprüfen des GPG-Schlüssel einiger Dateien auf Spiegelserver zu lösen.

Das Kernelabbild, das der Installer verwendet, wurde um einige wichtige und sicherheitsrelevante Korrekturen nachgerüstet.

Sicherheitsaktualiserungen

Diese Revision fügt dem oldstable-Release folgende Sicherheitsaktualiserungen hinzu. Das Sicherheitsteam hat bereits für jede davon Anweisungen veröffentlicht:

Anweisungs-ID Paket Korrektur(en)
DSA-1617 refpolicyInkompatible Verhaltensweise der vorigen DSA
DSA-1622 newsxEigenmächtige Codeausführung
DSA-1748 libsoupEigenmächtige Codeausführung
DSA-1754 roundupPrivilegeskalation
DSA-1761 moodleDateioffenlegung
DSA-1762 icuCross Site Scripting
DSA-1763 opensslDiensteverweigerung
DSA-1763 openssl097Diensteverweigerung
DSA-1765 horde3Mehrere Schwachstellen
DSA-1766 krb5Mehrere Schwachstellen
DSA-1767 multipath-toolsDiensteverweigerung
DSA-1768 openafsEigenmächtige Codeausführung
DSA-1770 imp4Cross Site Scripting
DSA-1771 clamavMehrere Schwachstellen
DSA-1772 udevPrivilegeskalation
DSA-1773 cupsysEigenmächtige Codeausführung
DSA-1775 php-json-extDiensteverweigerung
DSA-1777 git-corePrivilegeskalation
DSA-1779 aptMehrere Schwachstellen
DSA-1780 libdbd-pg-perlEigenmächtige Codeausführung
DSA-1781 ffmpegEigenmächtige Codeausführung
DSA-1782 mplayerEigenmächtige Codeausführung
DSA-1783 mysql-dfsg-5.0Mehrere Schwachstellen
DSA-1784 freetypeEigenmächtige Codeausführung
DSA-1786 acpidDiensteverweigerung
DSA-1787 linux-2.6.24Mehrere Schwachstellen
DSA-1789 php5Mehrere Schwachstellen
DSA-1790 xpdfMehrere Schwachstellen
DSA-1793 kdegraphicsMehrere Schwachstellen
DSA-1794 user-mode-linuxMehrere Schwachstellen
DSA-1794 fai-kernelsMehrere Schwachstellen
DSA-1794 linux-2.6Mehrere Schwachstellen
DSA-1796 libwmfDiensteverweigerung
DSA-1798 pango1.0Eigenmächtige Codeausführung
DSA-1799 qemuMehrere Schwachstellen
DSA-1801 ntpPuffer läuft über und erlaubt DoS oder Codeausführung
DSA-1802 squirrelmailCodeausführungs-Schwachstelle in der Funktion map_yp_alias
DSA-1803 nsdDiensteverweigerung
DSA-1804 ipsec-toolsDiensteverweigerung
DSA-1805 gaimMehrere Schwachstellen
DSA-1806 cscopeEigenmächtige Codeausführung
DSA-1807 cyrus-sasl2Behebt eigenmächtige Codeausführung
DSA-1810 cupsysDiensteverweigerung
DSA-1810 libapache-mod-jkInformationsoffenlegung
DSA-1812 apr-utilMehrere Schwachstellen
DSA-1813 evolution-data-serverRückschritte in vorheriger Sicherheitsaktualisierung
DSA-1814 libsndfileEigenmächtige Codeausführung
DSA-1816 apache2Privilegeskalation
DSA-1816 apache2-mpm-itkNeubau gegen apache2 2.2.3-4+etch8
DSA-1818 gforgeUnzureichende Eingabeüberprüfung
DSA-1819 vlcMehrere Schwachstellen
DSA-1824 phpmyadminMehrere Schwachstellen
DSA-1825 nagios2Eigenmächtige Codeausführung
DSA-1826 eggdropMehrere Schwachstellen
DSA-1829 sork-passwd-h3Rückschritt in vorheriger Sicherheitsaktualisierung
DSA-1832 camlimagesEigenmächtige Codeausführung
DSA-1833 dhcp3Eigenmächtige Codeausführung
DSA-1834 apache2Diensteverweigerung
DSA-1834 apache2-mpm-itkDiensteverweigerung
DSA-1835 tiffMehrere Schwachstellen
DSA-1837 dbusDiensteverweigerung
DSA-1839 gst-plugins-good0.10Eigenmächtige Codeausführung
DSA-1841 git-coreDiensteverweigerung
DSA-1842 openexrMehrere Schwachstellen
DSA-1847 bind9Diensteverweigerung
DSA-1848 zncEntfernte Codeausführung
DSA-1849 xml-security-cSignaturfälschung
DSA-1850 libmodplugEigenmächtige Codeausführung
DSA-1851 gst-plugins-bad0.10Eigenmächtige Codeausführung
DSA-1852 fetchmailSchwäche bei der Verifikation der SSL-Zertifikate
DSA-1853 memcachedEigenmächtige Codeausführung
DSA-1854 apr-utilEigenmächtige Codeausführung
DSA-1854 aprEigenmächtige Codeausführung
DSA-1855 subversionEigenmächtige Codeausführung
DSA-1857 camlimagesEigenmächtige Codeausführung
DSA-1858 imagemagickMehrere Schwachstellen
DSA-1859 libxml2Mehrere Probleme
DSA-1860 ruby1.8Mehrere Probleme
DSA-1860 ruby1.9Mehrere Probleme
DSA-1861 libxmlMehrere Probleme
DSA-1863 zope2.9Eigenmächtige Codeausführung
DSA-1865 fai-kernelsMehrere Schwachstellen
DSA-1865 user-mode-linuxMehrere Schwachstellen
DSA-1866 kdegraphicsMehrere Schwachstellen
DSA-1867 kdelibsMehrere Schwachstellen
DSA-1869 curlSchwäche bei der Verifikation der SSL-Zertifikate
DSA-1871 wordpressRückschrittsbehebung
DSA-1872 fai-kernelsMehrere Schwachstellen
DSA-1872 user-mode-linuxMehrere Schwachstellen
DSA-1877 mysql-dfsg-5.0Eigenmächtige Codeausführung
DSA-1878 devscriptsEntfernte Codeausführung
DSA-1880 openoffice.orgEigenmächtige Codeausführung
DSA-1882 xapian-omegaCross Site Scripting
DSA-1883 nagios2Mehrere Cross Site Scriptings
DSA-1884 nginxEigenmächtige Codeausführung
DSA-1888 opensslVerwirft MD2 Hash-Signaturen und behebt einige DoS-Schwachstellen
DSA-1888 openssl097Verwirft MD2 Hash-Signaturen
DSA-1889 icuSicherheits-Bypass wegen Multibyte-Sequenzauswertung
DSA-1890 wxwindows2.4Eigenmächtige Codeausführung
DSA-1890 wxwidgets2.6Eigenmächtige Codeausführung
DSA-1891 changetrackEigenmächtige Codeausführung
DSA-1892 dovecotEigenmächtige Codeausführung
DSA-1893 cyrus-imapd-2.2Eigenmächtige Codeausführung
DSA-1893 kolab-cyrus-imapdEigenmächtige Codeausführung
DSA-1894 newtEigenmächtige Codeausführung
DSA-1896 opensamlPotenzielle Codeausführung
DSA-1896 shibboleth-spPotenzielle Codeausführung
DSA-1897 horde3Eigenmächtige Codeausführung
DSA-1898 openswanDiensteverweigerung
DSA-1899 strongswanDiensteverweigerung
DSA-1900 postgresql-7.4Verschiedene Schwachstellen
DSA-1900 postgresql-8.1Verschiedene Schwachstellen
DSA-1901 mediawiki1.7Mehrere Schwachstellen
DSA-1902 elinksEigenmächtige Codeausführung
DSA-1903 graphicsmagickMehrere Schwachstellen
DSA-1904 wgetSchwäche bei der Verifikation von SSL-Zeritifkaten
DSA-1909 postgresql-ocamlFehlende Escape-Funktion
DSA-1910 mysql-ocamlFehlende Escape-Funktion
DSA-1911 pygresqlFehlende Escape-Funktion
DSA-1912 camlimagesEigenmächtige Codeausführung
DSA-1912 adviEigenmächtige Codeausführung
DSA-1914 mapserverMehrere Schwachstellen
DSA-1916 kdelibsSchwäche bei der Verifikation von SSL-Zertifikaten
DSA-1917 mimetexMehrere Schwachstellen
DSA-1918 phpmyadminMehrere Schwachstellen
DSA-1919 smartyMehrere Schwachstellen
DSA-1920 nginxDiensteverweigerung
DSA-1921 expatDiensteverweigerung
DSA-1923 libhtml-parser-perlDiensteverweigerung
DSA-1925 proftpd-dfsgSchwäche bei der Verifikation von SSL-Zertifikaten
DSA-1926 typo3-srcMehrere Schwachstellen
DSA-1928 linux-2.6.24Mehrere Schwachstellen
DSA-1929 linux-2.6Mehrere Schwachstellen
DSA-1933 cupsysCross Site Scripting
DSA-1934 apache2Mehrere Probleme
DSA-1934 apache2-mpm-itkMehrere Probleme
DSA-1935 gnutls13Schwäche bei der Verifikation von SSL-Zertifikaten
DSA-1936 libgd2Mehrere Schwachstellen
DSA-1937 gforgeCross Site Scripting
DSA-1938 php-mailUnzureichende Eingabeüberprüfung
DSA-1939 libvorbisMehrere Schwachstellen
DSA-1940 php5Viele Schwachstellen
DSA-1942 wiresharkMehrere Schwachstellen
DSA-1943 openldap2.3Schwäche bei der Verifikation von SSL-Zertifikaten
DSA-1944 request-tracker3.6Anfälligkeit auf Sitzungsentführung
DSA-1944 request-tracker3.4Anfälligkeit auf Sitzungsentführung
DSA-1945 gforgeDiensteverweigerung
DSA-1946 belpicVerschlüsselungsschwäche
DSA-1947 shibboleth-spCross Site Scripting
DSA-1948 ntpDiensteverweigerung
DSA-1951 firefox-sageUnzureichende Eingabeüberprüfung
DSA-1953 expatRückschrittsbehebung
DSA-1954 cactiUnzureichende Eingabeüberprüfung
DSA-1955 network-managerInformationsoffenlegung
DSA-1958 libtoolPrivilegeskalation
DSA-1960 acpidSchwache Dateirechte
DSA-1961 bind9Cache-Poisoning
DSA-1964 postgresql-8.1Mehrere Schwachstellen
DSA-1964 postgresql-7.4Mehrere Schwachstellen
DSA-1966 horde3Cross Site Scripting
DSA-1968 pdns-recursorCache-Poisoning
DSA-1969 krb5Diensteverweigerung
DSA-1971 libthaiEigenmächtige Codeausführung
DSA-1972 audiofilePufferüberlauf
DSA-1973 glibcInformationsoffenlegung
DSA-1974 gzipEigenmächtige Codeausführung
DSA-1977 python2.4Mehrere Schwachstellen
DSA-1977 python2.5Mehrere Schwachstellen
DSA-1979 lintianViele Schwachstellen
DSA-1980 ircd-hybridEigenmächtige Codeausführung
DSA-1981 maildropPrivilegeskalation
DSA-1982 hybservDiensteverweigerung
DSA-1984 libxerces2-javaDiensteverweigerung
DSA-1985 sendmailUnzureichende Eingabeüberprüfung
DSA-1987 lighttpdDiensteverweigerung
DSA-1989 fuseDiensteverweigerung
DSA-1991 squid3Diensteverweigerung
DSA-1991 squidDiensteverweigerung
DSA-1992 chronyDiensteverweigerung
DSA-1994 ajaxtermSitzungsentführung
DSA-1995 openoffice.orgMehrere Schwachstellen
DSA-1997 mysql-dfsg-5.0Mehrere Schwachstellen
DSA-2003 fai-kernelsMehrere Schwachstellen
DSA-2003 user-mode-linuxMehrere Schwachstellen
DSA-2003 linux-2.6Mehrere Schwachstellen
DSA-2004 linux-2.6.24Mehrere Schwachstellen

Unglücklicherweise war es nicht möglich, die Sicherheitsaktualiserungen für das Paket lcms in diese Zwischenveröffentlichung einzupflegen, denn es gab einen Versatz zwischen dem Upstream-Tarball, der für die Aktualisierung verwendet wurde, und dem, der bereits in der Oldstable-Distribution vorhanden ist.

Entfernte Pakete

Die folgenden Pakete wurden wegen Umständen außerhalb unserer Kontrolle entfernt:

Paket Grund
destar Sicherheitsprobleme
libclass-dbi-loader-relationship-perl Lizenzprobleme
libhdate-pascal [source:hdate] Lizenzprobleme
loop-aes-modules-2.6-sparc32 [source:loop-aes] Entsprechende/r Quelle/Kernel nicht länger im Archiv
loop-aes-modules-2.6-sparc64 [source:loop-aes] Entsprechende/r Quelle/Kernel nicht länger im Archiv
loop-aes-modules-2.6-sparc64-smp [source:loop-aes] Entsprechende/r Quelle/Kernel nicht länger im Archiv
loop-aes-modules-2.6-vserver-sparc64 [source:loop-aes] Entsprechende/r Quelle/Kernel nicht länger im Archiv
rails Probleme bei Sicherheit und Anwenderfreundlichkeit

Als Konsequenz wurden einige weitere Pakete entfernt, weil sie von libclass-dbi-loader-relationship-perl abhängen, nämlich:

Außerdem sind diejenigen Teile von libwww-search-perl und libperl4caml-ocaml-dev, die auf der Google SOAP Such-API (angeboten von libnet-google-perl) aufsetzen, nun funktionsunfähig, weil die API von Google zurückgezogen wurde. Die übrigen Teile der Pakete werden so weiterarbeiten wie zuvor.

Über Debian

Das Debian-Projekt ist eine Organsiation von Entwicklern Freier Software, die unter Zusammenarbeit über das Internet ihre Zeit und Anstrengungen opfern. Ihre Aufgaben umschließen die Betreuung und Aktualisierung von Debian GNU/Linux, das eine freie Distribution des GNU/Linux-Betriebssystems. Debians Hingabe zu Freier Software, seine gemeinnützige Natur und sein offenes Entwicklungsmodell machen es einzigartig unter den GNU/Linux-Distributionen.

Kontaktinformationen

Für weitere Informationen besuchen Sie bitte die Debian-Webseiten unter http://www.debian.org/, schicken eine E-Mail an <press@debian.org> oder kontaktieren das Stable-Relase-Team unter <debian-release@lists.debian.org>.