Cap. 5. Probleme în stretch de care ar trebui să știți

Cuprins

5.1. Limitations in security support
5.1.1. Starea securității navigatoarelor web
5.1.2. Lack of security support for the ecosystem around libv8 and Node.js
5.2. Older ciphers and SSH1 protocol disabled in OpenSSH by default

Uneori, modificările introduse într-o versiune nouă au efecte secundare pe care nu le putem evita în mod rezonabil sau schimbările expun probleme în altă parte. Aceasta secțiune documentează problemele cunoscute. Vă rugăm să citiți și erata, documentația pachetelor relevante, rapoarte de probleme și alte informații menționate în Secțiune 6.1, „Referințe suplimentare”.

5.1. Limitations in security support

There are some packages where Debian cannot promise to provide minimal backports for security issues. These are covered in the following subsections.

Note that the package debian-security-support helps to track security support status of installed packages.

5.1.1. Starea securității navigatoarelor web

Debian 9 include mai multe motoare de navigatoare, care sunt afectate de un flux constant de vulnerabilități de securitate. Rata mare de vulnerabilități și lipsa parțială a suportului din partea dezvoltatorilor în forma unor versiuni cu suport mai lung face ca suportarea acestor navigatoare cu modificări adaptate la versiunea mai veche să fie foarte dificilă. Mai mult, datorită interdependențelor de biblioteci actualizarea la o versiune mai nouă este imposibilă. În aceste condiții, navigatoarele construite pe baza motoarelor webkit, qtwebkit și khtml sunt incluse în stretch, dar nu au suport de securitate complet. Aceste navigatoare nu ar trebui folosite cu situri web care nu sunt de încredere.

For general web browser use we recommend Iceweasel or Chromium.

Chromium - while built upon the Webkit codebase - is a leaf package, which will be kept up-to-date by rebuilding the current Chromium releases for stable. Iceweasel and Icedove will also be kept up-to-date by rebuilding the current ESR releases for stable.

5.1.2. Lack of security support for the ecosystem around libv8 and Node.js

The Node.js platform is built on top of libv8-3.14, which experiences a high volume of security issues, but there are currently no volunteers within the project or the security team sufficiently interested and willing to spend the large amount of time required to stem those incoming issues.

Unfortunately, this means that libv8-3.14, nodejs, and the associated node-* package ecosystem should not currently be used with untrusted content, such as unsanitized data from the Internet.

In addition, these packages will not receive any security updates during the lifetime of the Jessie release.

5.2. Older ciphers and SSH1 protocol disabled in OpenSSH by default

The OpenSSH 7 release has disabled some older ciphers and the SSH1 protocol by default. Please be careful when upgrading machines, where you only have SSH access.

Please refer to the OpenSSH documentation for more information.