Debian 7 aktualisiert: 7.7 veröffentlicht

18. Oktober 2014

Das Debian-Projekt freut sich, die siebte Aktualisierung seiner Stable-Veröffentlichung Debian 7 (Codename Wheezy) ankündigen zu dürfen. Diese Aktualisierung behebt hauptsächlich Sicherheitslücken der Stable-Veröffentlichung sowie einige ernste Probleme. Für sie sind bereits separate Sicherheitsankündigungen veröffentlicht worden, auf die, wenn möglich, verwiesen wird.

Bitte beachten Sie, dass diese Aktualisierung keine neue Version von Debian 7 darstellt, sondern nur einige der enthaltenen Pakete auffrischt. Es gibt keinen Grund, Wheezy-CDs oder -DVDs wegzuwerfen, denn es reicht, neue Installationen mit einem aktuellen Debian-Spiegelserver abzugleichen, damit alle veralteten Pakete ausgetauscht werden.

Wer häufig Aktualisierungen von security.debian.org herunterlädt, wird nicht viele Pakete auf den neuesten Stand bringen müssen. Die meisten Aktualisierungen von security.debian.org sind in dieser Revision enthalten.

Neue Installationsmedien sowie CD- und DVD-Abbilder mit den neuen Paketen können bald von den gewohnten Orten bezogen werden.

Für die Online-Hochrüstung auf diese Version wird in der Regel die Aptitude- (oder APT-) Paketverwaltung auf einen der vielen Debian-FTP- oder HTTP-Spiegel verwiesen (siehe auch die Handbuchseite zu sources.list(5)). Eine umfassende Liste der Spiegelserver findet sich unter:

https://www.debian.org/mirror/list

Verschiedene Fehlerkorrekturen

Diese Stable-Veröffentlichung nimmt an den folgenden Paketen einige wichtige Korrekturen vor:

Paket Grund
at Nur Variablen beibehalten, deren Namen aus alphanumerischen Zeichen und Unterstrichen bestehen, sodass Hintergrunddienste nicht mehr abstürzen, wenn eine Bash mit den Änderungen aus DSA-3035 Funktionen in die Umgebung exportiert
axis Verhindert MITM-Angriff auf SSL, der auf einer unvollständigen Anpassung an CVE-2012-5784 [CVE-2014-3596] basiert
base-files Aktualisierung auf die Zwischenveröffentlichung
blender Behebt illegale Hardware-Anweisung
ca-certificates Akualisiert das Mozilla-Zertifikatsbündel; passt certdata2pem.py für mehrere CAs an, die dasselbe CKA_LABEL verwenden
debian-archive-keyring Fügt Jessies Stable-Veröffentlichungsschlüssel hinzu
debian-installer Neubau für die Zwischenveröffentlichung
debian-installer-netboot-images Aktualisierung auf die 20130613+deb7u2+b3-Abbilder
debsums Verhindert, dass Konfig-Dateien, die in ein neues Paket verschoben werden, im alten als modifiziert gemeldet werden
dwm Korrigiert beschädigte Patch-Kopfzeilen
eglibc Repariert unzulässige Wiederverwertung von Dateideskriptoren beim Senden von DNS-Abfragen, Stapelüberläufe [CVE-2013-4357], eine durch Version 2.13-38+deb7u3 [CVE-2014-0475] eingeführte localplt-Regression, ein Speicherleck in dlopen() und Thread-lokalen Speichervariablen; bringt sämtliche Dokumentation zurück, die in früheren Uploads versehentlich beschädigt wurde
exim4 Stoppt unerwünschte Doppelexpansion von Argumenten für mathematische Vergleichsoperationen [CVE-2014-2972]
flashplugin-nonfree Behebt Downgrade-Schwachstelle, aktualisiert Abhängigkeiten
foremost Behebt ungültige Patch-Kopfzeilen
getfem++ Repariert beschädigte Patch-Kopfzeilen
gnubg Behebt Absturz bei End Game, wenn gnubg mit der t-Option ausgeführt wird
hawtjni Behebt /tmp-Race-Condition mit eigenmächtiger Codeausführung [CVE-2013-2035]
ipython Behebt Fernausführung von Code via Cross-Origin-Websocket [CVE-2014-3429]
iso-scan Nicht mit Fehler abbrechen, wenn die durchsuchten Verzeichnisse von der Shell interpretierbare Zeichen im Namen haben
keyutils Bei Binärpaketen Vorgabe-Kompressionsstärke für xz verwenden
kvpm Behebt ungültige Patch-Kopfzeilen
libdatetime-timezone-perl Neue Veröffentlichung durch die Originalautoren
libplack-perl Unbeabsichtigte Dateizugriffe verhindern, die entstehen, wenn angegebene Pfade nicht richtig von ihren Schrägstrichen getrennt werden [CVE-2014-5269]
libsnmp-session-perl Behebt Perl-Warnungen, wenn libsocket6-perl installiert ist
linux Aktualisierung auf die stabile Version 3.2.63 der Originalautoren; aktualisiert DRM und AGP auf 3.4.103; UDF: Endlosschleife beim Verarbeiten von indirekten ICBs vermeiden [CVE-2014-6410]; Libceph: maximale Authentifizierungsticket-Länge nicht hart codieren [CVE-2014-6416 CVE-2014-6417 CVE-2014-6418]; fügt dem pata-modules-udeb-Paket pata_rdc hinzu und dem virtio-modules-udeb-Paket virtio_scsi; sp5100_tco: SB8x0-Chips ablehnen
live-config SSH-Login beim Booten abschalten
nana Neubau mit Wheezys Debhelper, um die install-info-Aufrufe in den Betreuerskripten loszuwerden; leeres Dummy-prerm-Skript hinzugefügt, damit sich das Paket nach ist nicht verfügbar aktualisieren lässt
net-snmp Behebt snmpd: produziert Fehler, wenn mehr als 50 Executables/scripts-Einträge in der snmpd.conf stehen; Sicherheitskorrekturen [CVE-2014-2285 CVE-2014-3565 CVE-2012-6151]
netcfg Unterstützung für die händische Eingabe von ESSIDs korrigiert
oss-compat Softdep-Direktiven in der Modprobe-Konfiguration verwenden; beim Deinstallieren des Pakets auch oss-compat.conf löschen
perl Nicht unendlich in Data::Dumper rekursieren [CVE-2014-4330]
php-getid3 Bessert die Korrektur für das XXE-Sicherheitsproblem [CVE-2014-2053] nach
postgresql-8.4 Neue Veröffentlichung durch die Originalautoren
postgresql-9.1 Neue Veröffentlichung durch die Originalautoren
proftpd-dfsg Behebt Pufferüberlappung, die zu SFTP-Abstürzen und -Hängern führt
qlandkartegt Aktualisiert User-Agent-Zeichenkette
scotch Neubau auf AMD64, um die Openmpi-Abhängigkeit zu korrigieren
supervisor Behebt Neustart- und Formatierungsprobleme mit dem Init-Skript
tor Richtige Byte-Reihenfolge verwenden, wenn die Adresse des gewählten Rendezvous-Punkts an einen Hidden Service geschickt wird; aktualisiert die IP-Adresse für die Gabelmoo-v3-Verzeichnis-Autorität
tzdata Neue Veröffentlichung durch die Originalautoren
unattended-upgrades Fügt oldstable den erlaubten Quellen für Sicherheitspakete hinzu
virtinst Repariert Virtinst mit neuerer python-libvirt
wireless-regdb Neue Veröffentlichung durch die Originalautoren
witty Korrigiert symbolische Verknüpfung auf das jPlayer-Skin Blue Monday
xdg-utils /bin/echo anstatt echo -e in xdg-mail verwenden

Sicherheitsaktualisierungen

Diese Revision fügt der Stable-Veröffentlichung die folgenden Sicherheitsaktualisierungen hinzu. Das Sicherheits-Team hat bereits für jede davon eine Ankündigung veröffentlicht:

Ankündigungs-ID Paket
DSA-2765 davfs2
DSA-2926 linux
DSA-2940 libstruts1.2-java
DSA-2949 linux
DSA-2972 linux
DSA-2973 vlc
DSA-2974 php5
DSA-2975 phpmyadmin
DSA-2976 eglibc
DSA-2977 libav
DSA-2978 libxml2
DSA-2979 fail2ban
DSA-2981 polarssl
DSA-2982 ruby-activerecord-3.2
DSA-2983 drupal7
DSA-2984 acpi-support
DSA-2985 mysql-5.5
DSA-2988 transmission
DSA-2989 apache2
DSA-2990 cups
DSA-2991 modsecurity-apache
DSA-2992 linux
DSA-2993 tor
DSA-2994 nss
DSA-2995 lzo2
DSA-2997 reportbug
DSA-2998 openssl
DSA-2999 drupal7
DSA-3000 krb5
DSA-3001 wordpress
DSA-3002 wireshark
DSA-3003 libav
DSA-3004 kde4libs
DSA-3005 gpgme1.0
DSA-3006 xen
DSA-3007 cacti
DSA-3008 php5
DSA-3009 python-imaging
DSA-3010 python-django
DSA-3011 mediawiki
DSA-3012 eglibc
DSA-3013 s3ql
DSA-3014 squid3
DSA-3015 lua5.1
DSA-3016 lua5.2
DSA-3017 php-cas
DSA-3019 procmail
DSA-3020 acpi-support
DSA-3021 file
DSA-3022 curl
DSA-3023 bind9
DSA-3024 gnupg
DSA-3025 apt
DSA-3026 dbus
DSA-3027 libav
DSA-3029 nginx
DSA-3030 mantis
DSA-3031 apt
DSA-3032 bash
DSA-3033 nss
DSA-3035 bash
DSA-3036 mediawiki
DSA-3038 libvirt
DSA-3039 chromium-browser
DSA-3040 rsyslog
DSA-3041 xen
DSA-3042 exuberant-ctags
DSA-3043 tryton-server
DSA-3044 qemu-kvm
DSA-3045 qemu
DSA-3046 mediawiki
DSA-3047 rsyslog
DSA-3048 apt

Entfernte Pakete

Die folgenden Pakete wurden wegen Umständen entfernt, die außerhalb unserer Kontrolle liegen:

Paket Grund
ctn Nicht distributionsfähig
ssdeep Nicht distributionsfähig
dicomnifti Hängt von ctn ab, das entfernt worden ist
ctsim Hängt von ctn ab, das entfernt worden ist

URLs

Die vollständige Liste von Paketen, die sich mit dieser Revision geändert haben:

http://ftp.debian.org/debian/dists/wheezy/ChangeLog

Die derzeitige Stable-Distribution:

http://ftp.debian.org/debian/dists/stable/

Vorgeschlagene Aktualisierungen für die Stable-Distribution:

http://ftp.debian.org/debian/dists/proposed-updates

Informationen zur Stable-Distribution (Veröffentlichungshinweise, Errata usw.):

https://www.debian.org/releases/stable/

Sicherheitsankündigungen und -informationen:

https://www.debian.org/security/

Über Debian

Das Debian-Projekt ist ein Zusammenschluss von Entwicklern Freier Software, die ihre Kraft und Zeit einbringen, um das vollständig freie Betriebssystem Debian zu schaffen.

Kontaktinformationen

Für weitere Informationen besuchen Sie bitte die Debian-Webseiten unter https://www.debian.org/, schicken eine E-Mail an <press@debian.org>, oder kontaktieren das Stable-Release-Team auf Englisch über <debian-release@lists.debian.org>.