Debian 8 actualizado: publicada la versión 8.10
9 de diciembre de 2017
El proyecto Debian se complace en anunciar la décima actualización de su
distribución «antigua estable» («oldstable») Debian 8 (nombre en clave jessie
).
Esta versión añade, principalmente, correcciones de problemas de seguridad
junto con unos pocos ajustes para problemas graves. Los avisos de seguridad
se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.
Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian
8, solo actualiza algunos de los paquetes incluidos. No es
necesario deshacerse de los viejos medios de instalación de jessie
. Tras la instalación de Debian,
los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian
actualizada.
Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.
Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.
Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:
Corrección de errores varios
Esta actualización de la distribución «antigua estable» añade unas pocas correcciones importantes a los paquetes siguientes:
| Paquete | Motivo |
|---|---|
| bareos | Corrige permisos en la configuración de logrotate bareos-dir; corrige corrupción de fichero al usar firma SHA1 |
| base-files | Actualizado para esta versión |
| bind9 | Importa la inminente DNSSEC KSK-2017 |
| cups | Desactiva por omisión SSLv3 y RC4 para evitar la vulnerabilidad POODLE |
| db | No accede a DB_CONFIG cuando no se ha especificado db_home [CVE-2017-10140] |
| db5.3 | No accede a DB_CONFIG cuando no se ha especificado db_home [CVE-2017-10140] |
| debian-installer | Recompilado para esta versión |
| debian-installer-netboot-images | Recompilado para esta versión |
| debmirror | Tolera líneas desconocidas en *.diff/Index; replica ficheros de metadatos de DEP-11; prefiere xz a gz, pero es funcional en ausencia de cualquiera de ellos; replica y valida ficheros InRelease |
| dns-root-data | Actualizado root.hints a la versión 2017072601; añadida KSK-2017 al fichero root.key |
| dput | dput.cf: sustituye security-master.debian.org por ftp.upload.security.debian.org |
| dwww | Corrige el nombre de la cabecera Last-Modified |
| elog | Actualiza parche 0005_elogd_CVE-2016-6342_fix para otorgar acceso como usuario normal |
| flightgear | Corrige vulnerabilidad de escritura de ficheros arbitrarios [CVE-2017-13709] |
| gsoap | Corrige desbordamiento de entero por documento XML grande [CVE-2017-9765] |
| hexchat | Corrige fallo de segmentación tras la orden /server |
| icu | Corrige doble liberación en createMetazoneMappings() [CVE-2017-14952] |
| kdepim | Corrige send Later with Delay bypasses OpenPGP(«'enviar después' ignora OpenPGP») [CVE-2017-9604] |
| kedpm | Corrige fuga de información a través del fichero de órdenes ejecutadas anteriormente [CVE-2017-8296] |
| keyringer | Gestiona subclaves sin fecha de expiración y claves públicas listadas más de una vez |
| krb5 | Correcciones de seguridad: atacantes remotos autenticados pueden provocar la caída del KDC [CVE-2017-11368]; caída de kdc en restrict_anon_to_tgt [CVE-2016-3120]; denegación de servicio remota con ldap para atacantes autenticados [CVE-2016-3119]; impide que se ignore requires_preauth [CVE-2015-2694] |
| libdatetime-timezone-perl | Datos incluidos actualizados |
| libdbi | Activa de nuevo llamada a gestor de errores en dbi_result_next_row() |
| libembperl-perl | Cambia dependencia estricta de zembperl.load con mod_perl a Recomienda, corrigiendo un fallo de instalación cuando libapache2-mod-perl2 no está instalado |
| libio-socket-ssl-perl | Corrige fallo de segmentación al usar certificados de cliente mal construidos |
| liblouis | Corrige múltiples desbordamientos de pila [CVE-2014-8184] |
| libofx | Correcciones de seguridad [CVE-2017-2816 CVE-2017-14731] |
| libwnckmm | Ajusta dependencias entre paquetes; usa jquery.js de libjs-jquery |
| libwpd | Corrección de seguridad [CVE-2017-14226] |
| libx11 | Corrige validación insuficiente de datos del servidor X puede causar lectura (XGetImage()) o escritura (XListFonts()) de memoria fuera de límites[CVE-2016-7942 CVE-2016-7943] |
| libxfixes | Corrige desbordamiento de entero en respuesta ilegal del servidor [CVE-2016-7944] |
| libxi | Corrige validación insuficiente de datos del servidor X puede causar acceso a memoria fuera de límites o bucles infinitos[CVE-2016-7945 CVE-2016-7946] |
| libxrandr | Evita accesos fuera de límites mediante respuestas ilegales [CVE-2016-7947 CVE-2016-7948] |
| libxtst | Corrige validación insuficiente de datos del servidor X puede causar acceso a memoria fuera de límites o bucles infinitos[CVE-2016-7951 CVE-2016-7952] |
| libxv | Corrige problemas de gestión de protocolo en libXv [CVE-2016-5407] |
| libxvmc | Evita desbordamiento de memoria con cadenas de caracteres vacías [CVE-2016-7953] |
| linux | Nueva versión «estable» del kernel, 3.16.51 |
| ncurses | Corrige varios errores que provocan caídas en la biblioteca tic y en el ejecutable tic [CVE-2017-10684 CVE-2017-10685 CVE-2017-11112 CVE-2017-11113 CVE-2017-13728 CVE-2017-13729 CVE-2017-13730 CVE-2017-13731 CVE-2017-13732 CVE-2017-13734 CVE-2017-13733] |
| openssh | Con systemd, comprueba la configuración antes de arrancar o de recargar la configuración de sshd; hace que --termine el tratamiento de parámetros tanto si aparece antes como si aparece después del nombre de host |
| pdns | Añade comprobación de las operaciones de la API, que faltaba [CVE-2017-15091] |
| pdns-recursor | Corrige inyección de fichero de configuración en la API [CVE-2017-15093] |
| postgresql-9.4 | Nueva corrección de error publicada en el proyecto original |
| python-tablib | Carga YAML de forma segura [CVE-2017-2810] |
| request-tracker4 | Corrige regresión en publicación previa de correcciones de seguridad en la que contraseñas SHA256 incorrectas podían provocar un error |
| ruby-ox | Evita caída al pasar XML inválido a Oj.parse_obj() [CVE-2017-15928] |
| sam2p | Corrige varios problemas por desbordamiento de entero y por desbordamiento de memoria dinámica («heap») [CVE-2017-14628 CVE-2017-14629 CVE-2017-14630 CVE-2017-14631 CVE-2017-14636 CVE-2017-14637 CVE-2017-16663] |
| slurm-llnl | Corrige problema de seguridad causado por una gestión insegura de rutas de ficheros consecuencia del fallo de un script Prolog [CVE-2016-10030] |
| sudo | Corrige acceso a terminal arbitrario [CVE-2017-1000368] |
| syslinux | Corrige problema de arranque con firmware antiguo de BIOS corrigiendo el orden de C/H/S |
| tor | Añade autoridad de directorio Bastet; actualiza geoip y geoip6 a la base de datos de países Maxmind GeoLite2 del 4 de octubre de 2017; corrige un memset() fuera de los límites de un array al empaquetar celdas |
| transfig | Añade saneado de la entrada en ficheros FIG [CVE-2017-16899]; sanea la entrada de patrones de relleno |
| tzdata | Nueva versión del proyecto original |
| unbound | Corrige instalación de ancla de confianza («trust anchor») cuando hay dos anclas presentes; incluye ancla de confianza raíz con id 20326 |
| weechat | logger: llama a strftime antes de reemplazar las variables locales[CVE-2017-14727] |
Actualizaciones de seguridad
Esta versión añade las siguientes actualizaciones de seguridad a la distribución «antigua estable» («oldstable»). El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:
Paquetes eliminados
Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:
| Paquete | Motivo |
|---|---|
| libnet-ping-external-perl | Sin desarrollo activo, problemas de seguridad |
| aiccu | Inútil desde el apagado de SixXS |
Instalador de Debian
Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «antigua estable».
URLs
Las listas completas de paquetes que han cambiado en esta versión:
La distribución «antigua estable» actual:
Actualizaciones propuestas a la distribución «antigua estable»:
Información sobre la distribución «antigua estable» (notas de publicación, erratas, etc.):
Información y anuncios de seguridad:
Acerca de Debian
El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.
Información de contacto
Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.