Capítulo 5. Problemas a serem considerados para a stretch

Índice

5.1. Limitações no suporte de segurança
5.1.1. Situação da segurança dos navegadores web
5.1.2. Falta de suporte de segurança para o ecossistema em torno da libv8 e Node.js
5.2. Older ciphers and SSH1 protocol disabled in OpenSSH by default

Algumas vezes, mudanças introduzidas em uma nova versão têm efeitos colaterais que não podem ser evitados ou que acabam expondo bugs em outros locais. Esta seção documenta problemas conhecidos. Por favor, também leia a errata, a documentação dos pacotes relevantes, relatórios de bugs e outras informações mencionadas na Seção 6.1, “Leitura complementar”.

5.1. Limitações no suporte de segurança

Há alguns pacotes onde o Debian não pode prometer fornecer portes retroativos mínimos para problemas de segurança. Esses são abordados nas subseções a seguir.

Note that the package debian-security-support helps to track security support status of installed packages.

5.1.1. Situação da segurança dos navegadores web

O Debian 9 inclui diversos motores de navegadores que são afetados por um fluxo constante de vulnerabilidades de segurança. A alta taxa de vulnerabilidades e a ausência parcial de suporte do upstream na forma de ramos de longo prazo tornam muito difícil o suporte a esses navegadores com correções de segurança portadas retroativamente. Além disso, as interdependências das bibliotecas tornam impossível atualizar para uma versão upstream mais nova. Por isso, navegadores feitos sobre os motores webkit, qtwebkit e khtml foram incluídos no stretch, mas não estão cobertos pelo suporte de segurança. Esses navegadores não devem ser usados em sites web não confiáveis.

Para uso geral de navegador web recomendamos Iceweasel ou Chromium.

Chromium - enquanto construído sobre a base de código Webkit - é um pacote sem dependência, que será mantido atualizado através da reconstrução das versões atuais do Chromium para a estável. O Iceweasel e o Icedove também serão mantidos atualizados através da reconstrução das versões ESR atuais para a estável.

5.1.2. Falta de suporte de segurança para o ecossistema em torno da libv8 e Node.js

A plataforma Node.js é construída em cima da libv8-3.14, que vivencia um alto volume de problemas de segurança, mas atualmente não há voluntários no projeto ou na equipe de segurança suficientemente interessados e dispostos a gastar a grande quantidade de tempo necessária para conter esses problemas encontrados.

Infelizmente, isso significa que a libv8-3.14, o nodejs e o ecossistema de pacotes node-* associados não devem ser atualmente utilizados com conteúdo não confiável, tal como dados não avaliados oriundos da Internet.

Além disso, esses pacotes não receberão quaisquer atualizações de segurança durante o tempo de vida da versão Jessie.

5.2. Older ciphers and SSH1 protocol disabled in OpenSSH by default

The OpenSSH 7 release has disabled some older ciphers and the SSH1 protocol by default. Please be careful when upgrading machines, where you only have SSH access.

Please refer to the OpenSSH documentation for more information.