Debian 10 aktualisiert: 10.1 veröffentlicht

7. September 2019

Das Debian-Projekt freut sich, die erste Aktualisierung seiner Stable-Veröffentlichung Debian 10 (Codename Buster) ankündigen zu dürfen. Diese Aktualisierung behebt hauptsächlich Sicherheitslücken der Stable-Veröffentlichung sowie einige ernste Probleme. Für sie sind bereits separate Sicherheitsankündigungen veröffentlicht worden, auf die, wenn möglich, verwiesen wird.

Bitte beachten Sie, dass diese Aktualisierung keine neue Version von Debian 10 darstellt, sondern nur einige der enthaltenen Pakete auffrischt. Es gibt keinen Grund, Buster-Medien zu entsorgen, da deren Pakete nach der Installation mit Hilfe eines aktuellen Debian-Spiegelservers auf den neuesten Stand gebracht werden können.

Wer häufig Aktualisierungen von security.debian.org herunterlädt, wird nicht viele Pakete auf den neuesten Stand bringen müssen. Die meisten dieser Aktualisierungen sind in dieser Revision enthalten.

Neue Installationsabbilder können bald von den gewohnten Orten bezogen werden.

Vorhandene Installationen können auf diese Revision angehoben werden, indem das Paketverwaltungssystem auf einen der vielen HTTP-Spiegel von Debian verwiesen wird. Eine vollständige Liste der Spiegelserver ist verfügbar unter:

https://www.debian.org/mirror/list

Verschiedene Fehlerkorrekturen

Diese Stable-Veröffentlichung nimmt an den folgenden Paketen einige wichtige Korrekturen vor:

Paket Grund
acme-tiny Vorbereitung auf die anstehenden ACME-Protokolländerungen
android-sdk-meta Neue Veröffentlichung der Originalautoren; regulären Ausdruck zum Hinzufügen der Debian-Version zu Binärpaketen korrigiert
apt-setup Vorbefüllen (preseeding) von Secure Apt für lokale Paketdepots via apt-setup/localX/ überarbeitet
asterisk Pufferüberlauf in res_pjsip_messaging [AST-2019-002 / CVE-2019-12827] behoben; Anfälligkeit für Absturz aus der Ferne in chan_sip [AST-2019-003 / CVE-2019-13161] behoben
babeltrace ctf-symbols-Abhängigkeiten auf Nach-Merge-Version abgeändert
backup-manager Leeren von entfernten Archiven via FTP oder SSH überarbeitet
base-files Aktualisierung auf die Zwischenveröffentlichung
basez base64url-kodierte Zeichenketten richtig dekodieren
bro Sicherheitsprobleme [CVE-2018-16807 CVE-2018-17019]
bzip2 Regression beim Entpacken einiger Dateien behoben
cacti Probleme beim Upgraden von der Stretch-Version behoben
calamares-settings-debian Berechtigungen fürs initramfs-Abbild für den Fall korrigiert, dass Festplatten-Vollverschlüsselung aktiv ist [CVE-2019-13179]
ceph Neubau gegen neue libbabeltrace
clamav Extraktion nichtrekursiver ZIP-Bomben verhindern; neue Version der Originalautoren mit Sicherheits-Korrekturen - Scan-Zeit-Bregrenzung als Maßnahme gegen ZIP-Bomben [CVE-2019-12625]; Schreibvorgang außerhalb der Grenzen in der NSIS-bzip2-Bibliothek behoben [CVE-2019-12900]
cloudkitty Baufehlschläge mit aktualisiertem SQLAlchemy behoben
console-setup Internationalisierungs-Probleme beim Umschalten der Locales mit Perl >= 5.28 behoben
cryptsetup Unterstützung für LUKS2-Header ohne angebundenen Keyslot behoben; Überlaufen gemappter Segmente auf 32-Bit-Architekturen behoben
cups Mehrere Sicherheits-/Offenlegungsprobleme behoben - SNMP-Pufferüberläufe [CVE-2019-8696 CVE-2019-8675], IPP-Pufferüberlauf, Dienstblockade- und Speicheroffenlegungsprobleme im Scheduler
dbconfig-common Problem behoben, das durch Änderungen in bashs POSIX-Verhalten verursacht wurde
debian-edu-config Beim LTSP-Client-Boot die PXE-Option ipappend 2 verwenden; sudo-ldap-Konfiguration überarbeitet; Verlust dynamisch zugewiesener IPv4-Adressen behoben; mehrere Korrekturen und Verbesserungen an debian-edu-config.fetch-ldap-cert
debian-edu-doc Debian Edu Buster- und ITIL-Handbücher und -Übersetzungen überarbeitet
dehydrated Abruf von Konten-Informationen überarbeitet; Nachfolge-Korrekturen für den Umgang mit Konten-IDs und APIv1-Kompatiblität
devscripts debchange: mit Option --bpo buster-backports anpeilen
dma TLS-Verbindungen nicht auf TLS 1.0 beschränken
dpdk Neue stabile Veröffentlichung der Originalautoren
dput-ng Codenamen für buster-backports und stretch-backports-sloppy hinzugefügt
e2fsprogs e4defrag-Abstürze auf 32-Bit-Architekturen behoben
enigmail Neue Version der Originalautoren, Sicherheitskorrekturen [CVE-2019-12269]
epiphany-browser Sicherstellen, dass die Web-Erweiterung die mitgelieferte Kopie der libdazzle verwendet
erlang-p1-pkix Umgang mit GnuTLS-Zertifkaten überarbeitet
facter Auswertung von Linux-Route-non-key-/Value-Schaltern (z. B. onlink) überarbeitet
fdroidserver Neue Veröffentlichung der Originalautoren
fig2dev Bei Kreis-/Halbkreis-Pfeilköpfen nicht mit Speicherzugriffsfehler abstürzen, wenn die Vergrößerung stärker als 42 ist [CVE-2019-14275]
firmware-nonfree atheros: Qualcomm Atheros QCA9377 rev 1.0 Firmware-Version WLAN.TF.2.1-00021-QCARMSWP-1 hinzugefügt; realtek: Realtek RTL8822CU Bluetooth-Firmware hinzugefügt; atheros: Änderung an QCA9377 rev 1.0-Firmware in 20180518-1 zurückgenommen; misc-nonfree: Firmware für MediaTek MT76x0/MT76x2u-Drahtlos-Chips, MediaTek MT7622/MT7668-Bluetooth-Chips und signierte GV100-Firmware hinzugefügt
freeorion Absturz beim Laden oder Speichern von Spieldaten behoben
fuse-emulator Das X11-Backend dem Wayland-Backend vorziehen; Fuse-Symbol auf dem GTK-Fenster und im Info-Dialog anzeigen
fusiondirectory Strengere Prüfungen bei LDAP-Abfragen; fehlende Abhängigkeit von php-xml hinzugefügt
gcab Korrumption beim Extrahieren behoben
gdb Neubau gegen neues libbabeltrace
glib2.0 GKeyFile-Einstellungs-Backend soll ~/.config und Konfigurationsdateien strenge Berechtigungen geben [CVE-2019-13012]
gnome-bluetooth GNOME-Shell-Abstürze beim Verwenden von gnome-shell-extension-bluetooth-quick-connect behoben
gnome-control-center Absturz beim Auswählen von Details -> Übersicht (info-overview) behoben; Speicherlecks im Barrierefreiheits-Panel behoben; Regression behoben, die dazu geführt hat, dass in der Bildschirmvergrößerung die Mausverfolgung nicht funktionierte; Isländisch- und Japanisch-Übersetzungen aktualisiert
gnupg2 Viele Fehlerbehebungen und Stabilitätsverbesserungen von den Originalautoren zurückportiert; keys.openpgp.org als Standard-Schlüsselserver benutzen; standardmäßig nur Selbst-Signaturen importieren
gnuplot Unvollständige/unsichere Initialisierung des ARGV-Arrays behoben
gosa Strengere Prüfungen der LDAP-Abfragen
hfst Reibungsärmere Upgrades aus Stretch sichergestellt
initramfs-tools Ruhezustand-Fortsetzen abschalten, wenn keine passenden Swap-Geräte vorhanden sind; MODULES=most: alle Tastaturtreibermodule, cros_ec_spi und SPI-Treiber, extcon-usbc-cros-ec integrieren; MODULES=dep: extcon-Treiber mitliefern
jython Rückwärts-Kompatibilität mit Java 7 beibehalten
lacme Aktualisierung, mit der die Unterstützung von unauthentifizierten GET-Abfragen aus der Let's Encrypt ACMEv2-API entfernt wird
libblockdev Bestehende cryptsetup-API zum Ändern der Keyslot-Passphrase benutzen
libdatetime-timezone-perl Aktualisierung für die enthaltenen Daten
libjavascript-beautifier-perl Unterstützung für den =>-Operator hinzugefügt
libsdl2-image Pufferüberläufe behoben [CVE-2019-5058 CVE-2019-5052 CVE-2019-7635]; Zugriff außerhalb der Grenzen in der PCX-Handhabung behoben [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218 CVE-2019-12219 CVE-2019-12220 CVE-2019-12221 CVE-2019-12222 CVE-2019-5051]
libtk-img Aufhören, interne Kopien der JPEG-, Zlib- und PixarLog-Codecs zu benutzen und deswegen abzustürzen
libxslt Umgehung des Sicherheits-Rahmenwerks behoben [CVE-2019-11068], ebenso das nichtinitialisierte Lesen des xsl:number-Tokens [CVE-2019-13117] und uninitialisiertes Lesen mit UTF-8 Gruppierungszeichen [CVE-2019-13118]
linux Neue stabile Veröffentlichung der Originalautoren
linux-latest Aktualisierung für das 4.19.0-6-Kernel-ABI
linux-signed-amd64 Neue stabile Veröffentlichung der Originalautoren
linux-signed-arm64 Neue stabile Veröffentlichung der Originalautoren
linux-signed-i386 Neue stabile Veröffentlichung der Originalautoren
lttv Neubau gegen das neue libbabeltrace
mapproxy WMS-Capabilities mit Python 3.7 überarbeitet
mariadb-10.3 Neue stabile Veröffentlichung der Originalautoren; Sicherheitskorrekturen [CVE-2019-2737 CVE-2019-2739 CVE-2019-2740 CVE-2019-2758 CVE-2019-2805]; Speicherzugriffsfehler beim Zugriff auf das 'information_schema' behoben; 'mariadbcheck' zu 'mariadb-check' umbenannt
musescore Webkit-Funktionalität abgeschaltet
ncbi-tools6 Ohne die unfreien data/UniVec.* neu paketiert
ncurses rep aus xterm-new und den abgeleiteten terminfo-Beschreibungen entfernt
netdata Google Analytics aus der erzeugten Dokumentation entfernt; dem Versand anonymer Statistiken widersprochen; Sign in-Button entfernt
newsboat Weiternenutzung nach Freigabe (use after free) behoben
nextcloud-desktop Fehlende Abhängigkeit von nextcloud-desktop-common in nextcloud-desktop-cmd hinzugefügt
node-lodash Prototype-Pollution-Problem behoben [CVE-2019-10744]
node-mixin-deep Prototype-Pollution-Problem behoben
nss Sicherheitsprobleme behoben [CVE-2019-11719 CVE-2019-11727 CVE-2019-11729]
nx-libs Eine Anzahl Speicherlecks behoben
open-infrastructure-compute-tools Container-Start überarbeitet
open-vm-tools Richtig mit Betriebssystem-Versionsnummern der Form X statt X.Y umgehen
openldap rootDN proxyauthz auf seine eigenen Datenbanken beschränken [CVE-2019-13057]; sasl_ssf-ACL-Statement bei jeder Verbindung erzwingen [CVE-2019-13565]; slapo-rwm überarbeitet, damit es den Originalfilter nicht überschreibt, wenn der korrigierte Filter ungültig ist
osinfo-db Informationen über Buster 10.0 hinzugefügt; URLs des Stretch-Downloads korrigiert; Namen des Parameters, der beim Erzeugen einer Vorbefüllungsdatei (preseed file) den vollen Namen enthält, korrigiert
osmpbf Neukompilierung mit protobuf 3.6.1
pam-u2f Unsichere Handhabung von Debugging-Dateien überarbeitet [CVE-2019-12209]; Debugdateien-Deskriptorleck behoben [CVE-2019-12210]; Zugriff außerhalb der Grenzen behoben; Speicherzugriffsfehler beseitigt, der auftritt, wenn kein Puffer alloziert werden kann
passwordsafe Lokalisierungsdateien ins richtige Verzeichnis installieren
piuparts Konfigurationen für Buster-Veröffentlichung aktualisiert; fadenscheinigen Fehlschlag beim Entfernen von Paketen, deren Namen mit '+' enden, korrigiert; separate Tarball-Namen für --merged-usr-Chroots erzeugen
postgresql-common pg_upgradecluster von postgresql-common 200, 200+deb10u1, 201 und 202 beschädigen die data_directory-Einstellung, wenn sie *zwei Mal* benutzt werden, um ein Cluster upzugraden (z. B. 9.6 -> 10 -> 11) behoben
pulseaudio Stummschaltungen wiederherstellen
puppet-module-cinder Nicht versuchen, in /etc/init zu schreiben
python-autobahn pyqrcode Kompilierungs-Abhängigkeiten überarbeitet
python-django Neue Sicherheitsveröffentlichung der Originalautoren [CVE-2019-12781]
raspi3-firmware Unterstützung für Raspberry Pi Compute Module 3 (CM3), Raspberry Pi Compute Module 3 Lite und Raspberry Pi Compute Module IO Board V3 hinzugefügt
reportbug Nach der Buster-Veröffentlichung die Veröffentlichungsnamen aktualisiert; stretch-pu-Anfragen wieder eingeschaltet; Abstürze beim Nachschlagen der Pakete/Versionen behoben; fehlende Abhängigkeit von sensible-utils hinzugefügt
ruby-airbrussh Keine Ausnahme auswerfen, wenn SSH-Ausgabe ungültige UTF-8-Zeichen enthält
sdl-image1.2 Pufferüberläufe behoben [CVE-2019-5052 CVE-2019-7635], ebenso Zugriff außerhalb der Grenzen [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218 CVE-2019-12219 CVE-2019-12220 CVE-2019-12221 CVE-2019-12222 CVE-2019-5051]
sendmail sendmail-bin.postinst, initscript: start-stop-daemon soll PID-Datei und ausführbare Datei finden; sendmail-bin.prerm: Sendmail vor dem Entfernen der Alternativen anhalten
slirp4netns Neue stabile Veröffentlichung der Originalautoren mit Sicherheitskorrekturen - sscanf-Ergebnis überprüfen, wenn ident emuliert wird [CVE-2019-9824]; Heap-Überlauf im enthaltenen libslirp beseitigt [CVE-2019-14378]
systemd Netzwerk: Fehlschläge beim Aktivieren der Schnittstelle auf dem Linux-Kernel 5.2 behoben; ask-password: Pufferüberlauf beim Lesen des Schlüsselbundes verhindert; Netzwerk: weniger rappeln, wenn IPv6 abgeschaltet ist
tzdata Neue Aktualisierung der Originalautoren
unzip ZIP-Bomben-Probleme behoben [CVE-2019-13232]
usb.ids Routine-Aktualisierung der USB-IDs
warzone2100 Speicherzugriffsfehler beim Veranstalten einer Mehrspielerpartie behoben
webkit2gtk Neue stabile Version der Originalautoren; keine SSE2-fähigen CPUs mehr voraussetzen
win32-loader Neukompilierung gegen aktuelle Pakete, vor allem debian-archive-keyring; Kompilierungsfehlschlag durch Erzwingen einer POSIX-Locale behoben
xymon Mehrere (serverbezogene) Sicherheitsprobleme behoben [CVE-2019-13273 CVE-2019-13274 CVE-2019-13451 CVE-2019-13452 CVE-2019-13455 CVE-2019-13484 CVE-2019-13485 CVE-2019-13486]
yubikey-personalization Zusätzliche sicherheitstechnische Vorsichtsmaßnahmen zurückportiert
z3 Den SONAME von libz3java.so nicht auf libz3.so.4 setzen

Sicherheitsaktualisierungen

Diese Revision fügt der Stable-Veröffentlichung die folgenden Sicherheitsaktualisierungen hinzu. Das Sicherheitsteam hat bereits für jede davon eine Ankündigung veröffentlicht:

Ankündigungs-ID Paket
DSA-4477 zeromq3
DSA-4478 dosbox
DSA-4479 firefox-esr
DSA-4480 redis
DSA-4481 ruby-mini-magick
DSA-4482 thunderbird
DSA-4483 libreoffice
DSA-4484 linux
DSA-4484 linux-signed-i386
DSA-4484 linux-signed-arm64
DSA-4484 linux-signed-amd64
DSA-4486 openjdk-11
DSA-4488 exim4
DSA-4489 patch
DSA-4490 subversion
DSA-4491 proftpd-dfsg
DSA-4493 postgresql-11
DSA-4494 kconfig
DSA-4495 linux-signed-amd64
DSA-4495 linux-signed-arm64
DSA-4495 linux
DSA-4495 linux-signed-i386
DSA-4496 pango1.0
DSA-4498 python-django
DSA-4499 ghostscript
DSA-4501 libreoffice
DSA-4502 ffmpeg
DSA-4503 golang-1.11
DSA-4504 vlc
DSA-4505 nginx
DSA-4507 squid
DSA-4508 h2o
DSA-4509 apache2
DSA-4510 dovecot

Entfernte Pakete

Die folgenden Pakete wurden wegen Umständen entfernt, die außerhalb unserer Kontrolle liegen:

Paket Grund
pump Unbetreut; Sicherheitsprobleme
rustc Veralteten rust-doc-Müll entfernt

Debian-Installer

Der Installer wurde neu gebaut, damit er die Sicherheitskorrekturen enthält, die durch diese Zwischenveröffentlichung in Stable eingeflossen sind.

URLs

Die vollständige Liste von Paketen, die sich mit dieser Revision geändert haben:

http://ftp.debian.org/debian/dists/buster/ChangeLog

Die derzeitige Stable-Distribution:

http://ftp.debian.org/debian/dists/stable/

Vorgeschlagene Aktualisierungen für die Stable-Distribution:

http://ftp.debian.org/debian/dists/proposed-updates

Informationen zur Stable-Distribution (Veröffentlichungshinweise, Errata usw.):

https://www.debian.org/releases/stable/

Sicherheitsankündigungen und -informationen:

https://www.debian.org/security/

Über Debian

Das Debian-Projekt ist ein Zusammenschluss von Entwicklern Freier Software, die ihre Zeit und Bemühnungen einbringen, um das vollständig freie Betriebssystem Debian zu erschaffen.

Kontaktinformationen

Für weitere Informationen besuchen Sie bitte die Debian-Webseiten unter https://www.debian.org/, schicken eine E-Mail (auf Englisch) an <press@debian.org>, oder kontaktieren das Stable-Release-Team (auch auf Englisch) über <debian-release@lists.debian.org>.