Opdateret Debian 9: 9.10 udgivet
7. september 2019
Debian-projektet er stolt over at kunne annoncere den tiende opdatering af
dets gamle stabile distribution, Debian 9 (kodenavn stretch
).
Denne opdatering indeholder primært rettelser af sikkerhedsproblemer, sammen med
nogle få rettelser af alvorlige problemer. Sikkerhedsbulletiner er allerede
udgivet separat og der vil blive refereret til dem, hvor de er tilgængelige.
Bemærk at denne opdatering ikke er en ny udgave af Debian GNU/Linux
9, den indeholder blot opdateringer af nogle af de medfølgende pakker.
Der er ingen grund til at smide gamle stretch
-medier væk. Efter en
installering, kan pakkerne opgradere til de aktuelle versioner ved hjælp af et
ajourført Debian-filspejl.
Dem der hyppigt opdaterer fra security.debian.org, behøver ikke at opdatere ret mange pakker, og de fleste opdateringer fra security.debian.org er indeholdt i denne opdatering.
Nye installeringsfilaftryk vil snart være tilgængelige fra de sædvanlige steder.
Online-opdatering til denne revision gøres normalt ved at lade pakkehåndteringssystemet pege på et af Debians mange HTTP-filspejle. En omfattende liste over filspejle er tilgængelig på:
Forskellige fejlrettelser
Denne opdatering til den gamle stabile udgave tilføjer nogle få vigtige rettelser til følgende pakker:
| Pakke | Årsag |
|---|---|
| base-files | Opdaterer til denne punktopdatering; tilføjer VERSION_CODENAME til os-release |
| basez | Dekoder på korrekt vis base64url-enkodede strenge |
| biomaj-watcher | Retter opgraderinger fra jessie til stretch |
| c-icap-modules | Tilføjer understøttelse af clamav 0.101.1 |
| chaosreader | Tilføjer afhængighed af libnet-dns-perl |
| clamav | Ny stabil opstrømsudgave: tilføjer scanningstidsbegrænsning til afhjælpning af zip-bomber [CVE-2019-12625]; retter skrivning udenfor grænserne i NSIS' bzip2-bibliotek [CVE-2019-12900] |
| corekeeper | Anvend ikke globalt skrivbar /var/crash med dumper-skriptet; håndt gamle versioner af Linux-kernen på en mere sikker måde; forkort ikke core-navne ved udførbare filer med mellemrum |
| cups | Retter adskillige sikkerheds-/blotlæggelseproblemer - SNMP-bufferoverløb [CVE-2019-8696 CVE-2019-8675], IPP-bufferoverløb, lammelsesangreb og problemer med hukommelsesafsløring i scheduleren |
| dansguardian | Tilføjer understøttelse af clamav 0.101 |
| dar | Genopbygger for at opdatere built-using-pakker |
| debian-archive-keyring | Tilføjer buster-nøgler; fjerner wheezy-nøgler |
| fence-agents | Retter lammelsesangrebsproblem [CVE-2019-10153] |
| fig2dev | Segfault ikke ved cirkel-/halvcirkel-pilehoveder med en forstørrelse på mere end 42 [CVE-2019-14275] |
| fribidi | Retter højre til venstre-uddata i debian-installers teksttilstand |
| fusiondirectory | Strengere kontroller af LDAP-opslag; tilføjer manglende afhængighed af php-xml |
| gettext | Får xgettext() til ikke længere at gå ned når den køres med valgmuligheden --its=FILE |
| glib2.0 | Opretter mappe og fil med restriktive rettigheder når der anvendes GKeyfileSettingsBackend [CVE-2019-13012]; undgår buferlæsningsoverløb når der formatteres fejlmeddelelser for ugyldigt UTF-8 i GMarkup [CVE-2018-16429]; undgår NULL-dereference når der fortolkes ugyldig GMarkup med et misdannet lukke-tag som ikke har et korresponderende åbnings-tag [CVE-2018-16429] |
| gocode | gocode-auto-complete-el: Indfører præ-afhængighed af auto-complete-el versionieret til at rette opgraderinger fra jessie til stretch |
| groonga | Afhjælper rettighedsforøgelse ved at ændre logfilers ejer og gruppe med valgtmuligheden su |
| grub2 | Retter Xen UEFI-understøttelsen |
| gsoap | Retter problem med lammelsesangreb hvis en serverapplikation er opbygget med flaget -DWITH_COOKIES [CVE-2019-7659]; retter problem med DIME-protokolmodtager og misdannede DIME-headere |
| gthumb | Retter dobbelt frigivelse-fejl [CVE-2018-18718] |
| havp | Tilføjer understøttelse af clamav 0.101.1 |
| icu | Retter segfault i kommandoen pkgdata |
| koji | Retter SQL-indsprøjtningsproblem [CVE-2018-1002161]; validerer på korrekt vis SCM-stier [CVE-2017-1002153] |
| lemonldap-ng | Retter regression i autentifikation på tværs af domæner; retter sårbarhed i ekstern XML-entitet |
| libcaca | Retter heltalsoverløbsproblemer [CVE-2018-20545 CVE-2018-20546 CVE-2018-20547 CVE-2018-20548 CVE-2018-20549] |
| libclamunrar | Ny stabil opstrømsudgave |
| libconvert-units-perl | Genopbygning uden ændring med rettet versionsnummer |
| libdatetime-timezone-perl | Opdateer medfølgende data |
| libebml | Anvender opstrømsrettelser af heapbaserede buferoverlæsninger |
| libevent-rpc-perl | Retter opbygningsfejl på grund af udløbet SSL-testcertifikater |
| libgd2 | Retter uinitialiseret læsning i gdImageCreateFromXbm [CVE-2019-11038] |
| libgovirt | Gen-genererer testcertifikater med udløbsdato langt ude i fremtiden for at undgå testfejl |
| librecad | Retter lammelsesangreb gennem fabrikeret fil [CVE-2018-19105] |
| libsdl2-image | Retter adskillige sikkerhedsproblemer |
| libthrift-java | Retter omgåelse af SASL-forhandling [CVE-2018-1320] |
| libtk-img | Holder op med at benytte interne kopier af JPEG-, Zlib- og PixarLog-codecs, retter nedbrud |
| libu2f-host | Retter stakhukommelseslækage [CVE-2019-9578] |
| libxslt | Retter omgåelse af sikkerhedsframework [CVE-2019-11068]; retter uinitialiseret læsning af xsl:number-token [CVE-2019-13117]; retter uinitialiseret læsning med UTF-8-grupperingstegn [CVE-2019-13118] |
| linux | Ny opstrømsversion med ABI-bump; sikkerhedsrettelser [CVE-2015-8553 CVE-2017-5967 CVE-2018-20509 CVE-2018-20510 CVE-2018-20836 CVE-2018-5995 CVE-2019-11487 CVE-2019-3882] |
| linux-latest | Opdaterer til 4.9.0-11-kerne-ABI |
| liquidsoap | Retter kompilering med Ocaml 4.02 |
| llvm-toolchain-7 | Ny pakke til understøttelse af opbygning af nye versioner af Firefox |
| mariadb-10.1 | Ny stabil opstrømsudgave; sikkerhedsrettelser [CVE-2019-2737 CVE-2019-2739 CVE-2019-2740 CVE-2019-2805 CVE-2019-2627 CVE-2019-2614] |
| minissdpd | Forhindrer en anvendelse efter frigivelse-sårbarhed der gjorde det muligt for en fjernangriber at få en proces til at gå ned [CVE-2019-12106] |
| miniupnpd | Retter lammelsesangrebsproblemer [CVE-2019-12108 CVE-2019-12109 CVE-2019-12110]; retter informationslækage [CVE-2019-12107] |
| mitmproxy | Sortliser tests som kræver internetadgang; forhindrer indsættelse af uønskede versionerede afhængigheder på den øvre grænse |
| monkeysphere | Retter opbygningsfejl ved at opdatere testene til at tage højde for den opdaterede GnuPG i stretch nu har anderledes uddata |
| nasm-mozilla | Ny pakke til understøttelse af opbygning af nye versioner af Firefox |
| ncbi-tools6 | Genpakker uden ikke-frie data/UniVec.* |
| node-growl | Fornuftighedskontrollerer inddata før de overføres til exec |
| node-ws | Begrænser uploadstørrelse [CVE-2016-10542] |
| open-vm-tools | Retter muligt sikkerhedsproblem med rettighederne til den mellemliggende forberedelsesmappe- og sti |
| openldap | Begrænser rootDN-proxyauthz til dens egne databaser [CVE-2019-13057]; håndhæver sasl_ssf's ACL-statement ved hver forbindelse [CVE-2019-13565]; retter slapo-rwm til ikke at frigive oprindeligt filter når det genskrevne filter er ugyldigt |
| openssh | Retter deadlock i nøglematching |
| passwordsafe | Installer ikke lokaltilpasningsfiler i en ekstra undermappe |
| pound | Retter forespørgselssmugling gennem fabrikerede headere [CVE-2016-10711] |
| prelink | Genopbygget for at opdatere built-using-pakke |
| python-clamav | Tilføjer understøttelse af clamav 0.101.1 |
| reportbug | Opdaterer udgivelsesnavne, efter udgivelsen af buster |
| resiprocate | Løser et installeringsproblem med libssl-dev og --install-recommends |
| sash | Genopbygger for at opdatere built-using-pakker |
| sdl-image1.2 | Retter bufferoverløb [CVE-2018-3977 CVE-2019-5058 CVE-2019-5052], tilgang udenfor grænserne [CVE-2019-12216 CVE-2019-12217 CVE-2019-12218 CVE-2019-12219 CVE-2019-12220 CVE-2019-12221 CVE-2019-12222 CVE-2019-5051] |
| signing-party | Retter usikkert shell-kald som muliggjorde shell-indsprøjtning gennem en brugerid [CVE-2019-11627] |
| slurm-llnl | Retter potentielt heapoverløb på 32 bit-systemer [CVE-2019-6438] |
| sox | Retter flere sikkerhedsproblemer [CVE-2019-8354 CVE-2019-8355 CVE-2019-8356 CVE-2019-8357 927906 CVE-2019-1010004 CVE-2017-18189 881121 CVE-2017-15642 882144 CVE-2017-15372 878808 CVE-2017-15371 878809 CVE-2017-15370 878810 CVE-2017-11359 CVE-2017-11358 CVE-2017-11332 |
| systemd | Stop ikke ndisc-klienten i tilfælde af opsætningsfejl |
| t-digest | Genopbygning uden ændringer for at undgå at genbrug af pre-epoch version 3.0-1 |
| tenshi | Retter PID-filproblemer som gjorde det muligt for lokale brugere at dræbe vilkårlige processer [CVE-2017-11746] |
| tzdata | Ny opstrømsudgave |
| unzip | Retter ukorrekt fortolkning af 64 bit-værdier i fileio.c; retter problemer med zip-bombe [CVE-2019-13232] |
| usbutils | Opdaterer USB-id-liste |
| xymon | Retter flere sikkerhedsproblemer (kun server) [CVE-2019-13273 CVE-2019-13274 CVE-2019-13451 CVE-2019-13452 CVE-2019-13455 CVE-2019-13484 CVE-2019-13485 CVE-2019-13486] |
| yubico-piv-tool | Retter sikkerhedsproblemer [CVE-2018-14779 CVE-2018-14780] |
| z3 | Opsæt ikke SONAME hørende til libz3java.so til libz3.so.4 |
| zfs-auto-snapshot | Får cronjobs til at afslutte i stilhed efter fjernelse af pakke |
| zsh | Genopbygger for at opdatere built-using-pakker |
Sikkerhedsopdateringer
Denne revision tilføjer følgende sikkerhedsopdateringer til den gamle stabile udgave. Sikkerhedsteamet har allerede udgivet bulletiner for hver af de nævnte opdateringer:
Fjernede pakker
Følgende pakker er blevet fjernet på grund af omstændigheder uden for vores kontrol:
| Pakke | Årsag |
|---|---|
| pump | Vedligeholdes ikke; sikkerhedsproblemer |
| teeworlds | Sikkerhedsproblemer; ikke kompatibel med nuværende servere |
Debian Installer
Installeringsprogrammet er opdateret for at medtage rettelser indført i oldstable, i denne punktopdatering.URL'er
Den komplette liste over pakker, som er ændret i forbindelse med denne revision:
Den aktuelle gamle stabile distribution:
Foreslåede opdateringer til den gamle stabile distribution:
Oplysninger om den gamle stabile distribution (udgivelsesbemærkninger, fejl, osv.):
Sikkerhedsannonceringer og -oplysninger:
Om Debian
Debian-projektet er en organisation af fri software-udviklere som frivilligt bidrager med tid og kræfter, til at fremstille det helt frie styresystem Debian GNU/Linux.
Kontaktoplysninger
For flere oplysninger, besøg Debians websider på https://www.debian.org/ eller send e-mail på engelsk til <press@debian.org> eller kontakt holdet bag den stabile udgave på <debian-release@debian.org>.