Debian 8 actualizado: publicada la versión 8.10

9 de diciembre de 2017

El proyecto Debian se complace en anunciar la décima actualización de su distribución «antigua estable» («oldstable») Debian 8 (nombre en clave jessie). Esta versión añade, principalmente, correcciones de problemas de seguridad, junto con unos pocos ajustes para problemas graves. Los avisos de seguridad se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.

Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian 8, solo actualiza algunos de los paquetes incluidos. No es necesario deshacerse de los viejos medios de instalación de jessie. Tras la instalación de Debian, los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian actualizada.

Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.

Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.

Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:

https://www.debian.org/mirror/list

Corrección de errores varios

Esta actualización de la distribución «antigua estable» añade unas pocas correcciones importantes a los paquetes siguientes:

Paquete Motivo
bareos Corrige permisos en la configuración de logrotate bareos-dir; corrige corrupción de fichero al usar firma SHA1
base-files Actualizado para esta versión
bind9 Importa la inminente DNSSEC KSK-2017
cups Desactiva por omisión SSLv3 y RC4 para evitar la vulnerabilidad POODLE
db No accede a DB_CONFIG cuando no se ha especificado db_home [CVE-2017-10140]
db5.3 No accede a DB_CONFIG cuando no se ha especificado db_home [CVE-2017-10140]
debian-installer Recompilado para esta versión
debian-installer-netboot-images Recompilado para esta versión
debmirror Tolera líneas desconocidas en *.diff/Index; replica ficheros de metadatos de DEP-11; prefiere xz a gz, pero es funcional en ausencia de cualquiera de ellos; replica y valida ficheros InRelease
dns-root-data Actualizado root.hints a la versión 2017072601; añadida KSK-2017 al fichero root.key
dput dput.cf: sustituye security-master.debian.org por ftp.upload.security.debian.org
dwww Corrige el nombre de la cabecera Last-Modified
elog Actualiza parche 0005_elogd_CVE-2016-6342_fix para otorgar acceso como usuario normal
flightgear Corrige vulnerabilidad de escritura de ficheros arbitrarios [CVE-2017-13709]
gsoap Corrige desbordamiento de entero por documento XML grande [CVE-2017-9765]
hexchat Corrige fallo de segmentación tras la orden /server
icu Corrige doble liberación en createMetazoneMappings() [CVE-2017-14952]
kdepim Corrige send Later with Delay bypasses OpenPGP («'enviar después' ignora OpenPGP») [CVE-2017-9604]
kedpm Corrige fuga de información a través del fichero de órdenes ejecutadas anteriormente [CVE-2017-8296]
keyringer Gestiona subclaves sin fecha de expiración y claves públicas listadas más de una vez
krb5 Correcciones de seguridad: atacantes remotos autenticados pueden provocar la caída del KDC [CVE-2017-11368]; caída de kdc en restrict_anon_to_tgt [CVE-2016-3120]; denegación de servicio remota con ldap para atacantes autenticados [CVE-2016-3119]; impide que se ignore requires_preauth [CVE-2015-2694]
libdatetime-timezone-perl Datos incluidos actualizados
libdbi Activa de nuevo llamada a gestor de errores en dbi_result_next_row()
libembperl-perl Cambia dependencia estricta de zembperl.load con mod_perl a Recomienda, corrigiendo un fallo de instalación cuando libapache2-mod-perl2 no está instalado
libio-socket-ssl-perl Corrige fallo de segmentación al usar certificados de cliente mal construidos
liblouis Corrige múltiples desbordamientos de pila [CVE-2014-8184]
libofx Correcciones de seguridad [CVE-2017-2816 CVE-2017-14731]
libwnckmm Ajusta dependencias entre paquetes; usa jquery.js de libjs-jquery
libwpd Corrección de seguridad [CVE-2017-14226]
libx11 Corrige validación insuficiente de datos del servidor X puede causar lectura (XGetImage()) o escritura (XListFonts()) de memoria fuera de límites [CVE-2016-7942 CVE-2016-7943]
libxfixes Corrige desbordamiento de entero en respuesta ilegal del servidor [CVE-2016-7944]
libxi Corrige validación insuficiente de datos del servidor X puede causar acceso a memoria fuera de límites o bucles infinitos [CVE-2016-7945 CVE-2016-7946]
libxrandr Evita accesos fuera de límites mediante respuestas ilegales [CVE-2016-7947 CVE-2016-7948]
libxtst Corrige validación insuficiente de datos del servidor X puede causar acceso a memoria fuera de límites o bucles infinitos [CVE-2016-7951 CVE-2016-7952]
libxv Corrige problemas de gestión de protocolo en libXv [CVE-2016-5407]
libxvmc Evita desbordamiento de memoria con cadenas de caracteres vacías [CVE-2016-7953]
linux Nueva versión «estable» del kernel, 3.16.51
ncurses Corrige varios errores que provocan caídas en la biblioteca tic y en el ejecutable tic [CVE-2017-10684 CVE-2017-10685 CVE-2017-11112 CVE-2017-11113 CVE-2017-13728 CVE-2017-13729 CVE-2017-13730 CVE-2017-13731 CVE-2017-13732 CVE-2017-13734 CVE-2017-13733]
openssh Con systemd, comprueba la configuración antes de arrancar o de recargar la configuración de sshd; hace que -- termine el tratamiento de parámetros tanto si aparece antes como si aparece después del nombre de host
pdns Añade comprobación de las operaciones de la API, que faltaba [CVE-2017-15091]
pdns-recursor Corrige inyección de fichero de configuración en la API [CVE-2017-15093]
postgresql-9.4 Nueva corrección de error publicada en el proyecto original
python-tablib Carga YAML de forma segura [CVE-2017-2810]
request-tracker4 Corrige regresión en publicación previa de correcciones de seguridad en la que contraseñas SHA256 incorrectas podían provocar un error
ruby-ox Evita caída al pasar XML inválido a Oj.parse_obj() [CVE-2017-15928]
sam2p Corrige varios problemas por desbordamiento de entero y por desbordamiento de memoria dinámica («heap») [CVE-2017-14628 CVE-2017-14629 CVE-2017-14630 CVE-2017-14631 CVE-2017-14636 CVE-2017-14637 CVE-2017-16663]
slurm-llnl Corrige problema de seguridad causado por una gestión insegura de rutas de ficheros consecuencia del fallo de un script Prolog [CVE-2016-10030]
sudo Corrige acceso a terminal arbitrario [CVE-2017-1000368]
syslinux Corrige problema de arranque con firmware antiguo de BIOS corrigiendo el orden de C/H/S
tor Añade autoridad de directorio Bastet; actualiza geoip y geoip6 a la base de datos de países Maxmind GeoLite2 del 4 de octubre de 2017; corrige un memset() fuera de los límites de un array al empaquetar celdas
transfig Añade saneado de la entrada en ficheros FIG [CVE-2017-16899]; sanea la entrada de patrones de relleno
tzdata Nueva versión del proyecto original
unbound Corrige instalación de ancla de confianza («trust anchor») cuando hay dos anclas presentes; incluye ancla de confianza raíz con id 20326
weechat logger: llama a strftime antes de reemplazar las variables locales [CVE-2017-14727]

Actualizaciones de seguridad

Esta versión añade las siguientes actualizaciones de seguridad a la distribución «antigua estable» («oldstable»). El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:

ID del aviso Paquete
DSA-3904 bind9
DSA-3908 nginx
DSA-3909 samba
DSA-3913 apache2
DSA-3914 imagemagick
DSA-3916 atril
DSA-3917 catdoc
DSA-3921 enigmail
DSA-3922 mysql-5.5
DSA-3924 varnish
DSA-3928 firefox-esr
DSA-3929 libsoup2.4
DSA-3930 freeradius
DSA-3932 subversion
DSA-3933 pjproject
DSA-3934 git
DSA-3935 postgresql-9.4
DSA-3937 zabbix
DSA-3938 libgd2
DSA-3939 botan1.10
DSA-3940 cvs
DSA-3942 supervisor
DSA-3943 gajim
DSA-3945 linux
DSA-3946 libmspack
DSA-3947 newsbeuter
DSA-3948 ioquake3
DSA-3949 augeas
DSA-3950 libraw
DSA-3951 smb4k
DSA-3952 libxml2
DSA-3956 connman
DSA-3958 fontforge
DSA-3960 gnupg
DSA-3961 libgd2
DSA-3962 strongswan
DSA-3963 mercurial
DSA-3964 asterisk
DSA-3969 xen
DSA-3970 emacs24
DSA-3971 tcpdump
DSA-3972 bluez
DSA-3973 wordpress-shibboleth
DSA-3974 tomcat8
DSA-3976 freexl
DSA-3977 newsbeuter
DSA-3978 gdk-pixbuf
DSA-3979 pyjwt
DSA-3980 apache2
DSA-3981 linux
DSA-3982 perl
DSA-3983 samba
DSA-3984 git
DSA-3986 ghostscript
DSA-3987 firefox-esr
DSA-3988 libidn2-0
DSA-3989 dnsmasq
DSA-3990 asterisk
DSA-3992 curl
DSA-3995 libxfont
DSA-3997 wordpress
DSA-3998 nss
DSA-3999 wpa
DSA-4000 xorg-server
DSA-4002 mysql-5.5
DSA-4004 jackson-databind
DSA-4006 mupdf
DSA-4007 curl
DSA-4008 wget
DSA-4011 quagga
DSA-4012 libav
DSA-4013 openjpeg2
DSA-4016 irssi
DSA-4018 openssl
DSA-4021 otrs2
DSA-4022 libreoffice
DSA-4025 libpam4j
DSA-4026 bchunk
DSA-4027 postgresql-9.4
DSA-4029 postgresql-common
DSA-4033 konversation
DSA-4035 firefox-esr
DSA-4037 jackson-databind
DSA-4038 shibboleth-sp2
DSA-4039 opensaml2
DSA-4040 imagemagick
DSA-4041 procmail
DSA-4042 libxml-libxml-perl
DSA-4043 samba
DSA-4045 vlc
DSA-4046 libspring-ldap-java
DSA-4047 otrs2
DSA-4051 curl
DSA-4052 bzr

Paquetes eliminados

Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:

Paquete Motivo
libnet-ping-external-perl Sin desarrollo activo, problemas de seguridad
aiccu Inútil desde el apagado de SixXS

Instalador de Debian

Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «antigua estable».

URLs

Las listas completas de paquetes que han cambiado en esta versión:

http://ftp.debian.org/debian/dists/jessie/ChangeLog

La distribución «antigua estable» actual:

http://ftp.debian.org/debian/dists/oldstable/

Actualizaciones propuestas a la distribución «antigua estable»:

http://ftp.debian.org/debian/dists/oldstable-proposed-updates

Información sobre la distribución «antigua estable» (notas de publicación, erratas, etc.):

https://www.debian.org/releases/oldstable/

Información y anuncios de seguridad:

https://security.debian.org/

Acerca de Debian

El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.

Información de contacto

Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.