Debian 9 actualizado: publicada la versión 9.12
8 de febrero de 2020
El proyecto Debian se complace en anunciar la duodécima actualización de su
distribución «antigua estable» Debian 9 (nombre en clave stretch
).
Esta versión añade, principalmente, correcciones de problemas de seguridad
junto con unos pocos ajustes para problemas graves. Los avisos de seguridad
se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.
Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian
9, solo actualiza algunos de los paquetes incluidos. No es
necesario deshacerse de los viejos medios de instalación de stretch
. Tras la instalación de Debian,
los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian
actualizada.
Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.
Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.
Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:
Corrección de fallos varios
Esta actualización de la distribución «antigua estable» añade unas pocas correcciones importantes a los paquetes siguientes:
| Paquete | Motivo |
|---|---|
| base-files | Actualizado para esta versión |
| cargo | Nueva versión del proyecto original, para soportar adaptaciones de Firefox ESR; corrige arranque en armhf |
| clamav | Nueva versión del proyecto original; corrige problema de denegación de servicio [CVE-2019-15961]; elimina la opción ScanOnAccess, la sustituye por clamonacc |
| cups | Corrige validación del idioma por omisión en ippSetValuetag [CVE-2019-2228] |
| debian-installer | Recompilado contra oldstable-proposed-updates; establece gfxpayload=keep también en submenús, para corregir tipos de letra ilegibles en pantallas hidpi en imágenes para arranque en red («netboot») arrancadas con EFI; actualizado el valor de USE_UDEBS_FROM por omisión, de unstable a stretch, para ayudar a los usuarios a realizar compilaciones locales |
| debian-installer-netboot-images | Recompilado contra stretch-proposed-updates |
| debian-security-support | Actualizado el estado del soporte de seguridad de varios paquetes |
| dehydrated | Nueva versión del proyecto original; usa API ACMEv2 por omisión |
| dispmua | Nueva versión del proyecto original compatible con Thunderbird 68 |
| dpdk | Nueva versión «estable» del proyecto original; corrige regresión en vhost introducida por la corrección para CVE-2019-14818 |
| fence-agents | Corrige eliminación incompleta de fence_amt_ws |
| fig2dev | Permite que las cadenas de texto Fig v2 terminen con múltiples ^A [CVE-2019-19555] |
| flightcrew | Correcciones de seguridad [CVE-2019-13032 CVE-2019-13241] |
| freetype | Gestiona correctamente «deltas» en tipos de letra TrueType GX, corrigiendo la visualización en Chromium y Firefox de tipos de letra con «hints» variables |
| glib2.0 | Se asegura de que los clientes de libdbus pueden autenticarse con un GDBusServer como el de ibus |
| gnustep-base | Corrige vulnerabilidad de amplificación UDP |
| italc | Correcciones de seguridad [CVE-2018-15126 CVE-2018-15127 CVE-2018-20019 CVE-2018-20020 CVE-2018-20021 CVE-2018-20022 CVE-2018-20023 CVE-2018-20024 CVE-2018-20748 CVE-2018-20749 CVE-2018-20750 CVE-2018-6307 CVE-2018-7225 CVE-2019-15681] |
| libdate-holidays-de-perl | Marca el Día internacional del niño (20 de sep) como festivo en Turingia de 2019 en adelante |
| libdatetime-timezone-perl | Actualiza los datos incluidos |
| libidn | Corrige vulnerabilidad de denegación de servicio en el tratamiento de Punycode [CVE-2017-14062] |
| libjaxen-java | Corrige error de compilación permitiendo fallos en las pruebas |
| libofx | Corrige problema de desreferencia de puntero NULL [CVE-2019-9656] |
| libole-storage-lite-perl | Corrige interpretación de años del 2020 en adelante |
| libparse-win32registry-perl | Corrige interpretación de años del 2020 en adelante |
| libperl4-corelibs-perl | Corrige interpretación de años del 2020 en adelante |
| libpst | Corrige detección de get_current_dir_name y truncamiento del retorno |
| libsixel | Corrige varios problemas de seguridad [CVE-2018-19756 CVE-2018-19757 CVE-2018-19759 CVE-2018-19761 CVE-2018-19762 CVE-2018-19763 CVE-2019-3573 CVE-2019-3574] |
| libsolv | Corrige desbordamiento de memoria dinámica («heap») [CVE-2019-20387] |
| libtest-mocktime-perl | Corrige interpretación de años del 2020 en adelante |
| libtimedate-perl | Corrige interpretación de años del 2020 en adelante |
| libvncserver | RFBserver: no filtra contenido de la pila al remoto [CVE-2019-15681]; resuelve una congelación («freeze») durante el cierre de conexión y una violación de acceso en servidores VNC multihilo; corrige problema al conectarse a servidores de VMWare; corrige caída de x11vnc cuando se conecta vncviewer |
| libxslt | Corrige puntero colgante en xsltCopyText [CVE-2019-18197] |
| limnoria | Corrige revelación de información remota y, posiblemente, ejecución de código remoto en la extensión («plugin») Math [CVE-2019-19010] |
| linux | Nueva versión «estable» del proyecto original |
| linux-latest | Actualizado para la ABI del núcleo 4.9.0-12 |
| llvm-toolchain-7 | Inhabilita el enlazador gold de s390x; arranca con -fno-addrsig, el binutils de stretch no funciona con esta opción en mips64el |
| mariadb-10.1 | Nueva versión «estable» del proyecto original [CVE-2019-2974 CVE-2020-2574] |
| monit | Implementa valor de cookie CSRF independiente de la posición |
| node-fstream | Machaca un Link («enlace») si apunta a un File («fichero») [CVE-2019-13173] |
| node-mixin-deep | Corrige contaminación de prototipo [CVE-2018-3719 CVE-2019-10746] |
| nodejs-mozilla | Nuevo paquete para soportar adaptaciones de Firefox ESR |
| nvidia-graphics-drivers-legacy-340xx | Nueva versión «estable» del proyecto original |
| nyancat | Recompilado en un entorno limpio para añadir la unidad de systemd para nyancat-server |
| openjpeg2 | Corrige desbordamiento de memoria dinámica («heap») [CVE-2018-21010], desbordamiento de entero [CVE-2018-20847] y división por cero [CVE-2016-9112] |
| perl | Corrige interpretación de años del 2020 en adelante |
| php-horde | Corrige problema de ejecución directa de scrips entre sitios («stored cross-site scripting») en Horde Cloud Block [CVE-2019-12095] |
| postfix | Nueva versión «estable» del proyecto original; resuelve mal rendimiento del loopback TCP |
| postgresql-9.6 | Nueva versión del proyecto original |
| proftpd-dfsg | Corrige desreferencia de puntero NULL en comprobaciones de CRL [CVE-2019-19269] |
| pykaraoke | Corrige ruta de tipos de letra |
| python-acme | Cambia al protocolo POST-as-GET |
| python-cryptography | Corrige errores de la colección de pruebas cuando se compila contra versiones más recientes de OpenSSL |
| python-flask-rdf | Corrige dependencias que faltaban en python3-flask-rdf |
| python-pgmagick | Gestiona la detección de la versión de actualizaciones de seguridad de graphicsmagick que se identifican a sí mismas como versión 1.4 |
| python-werkzeug | Se asegura de que los contenedores Docker tengan PIN de depurador únicos [CVE-2019-14806] |
| ros-ros-comm | Corrige problema de desbordamiento de memoria [CVE-2019-13566]; corrige desbordamiento de entero [CVE-2019-13445] |
| ruby-encryptor | Ignora errores en las pruebas para evitar errores de compilación |
| rust-cbindgen | Nuevo paquete para soportar adaptaciones de Firefox ESR |
| rustc | Nueva versión del proyecto original, para soportar adaptaciones de Firefox ESR |
| safe-rm | Impide la instalación en (y, por lo tanto, la rotura de) entornos con /usr fusionado |
| sorl-thumbnail | Solución alternativa para una excepción de pgmagick |
| sssd | sysdb: sanea la entrada del filtro de búsqueda [CVE-2017-12173] |
| tigervnc | Correcciones de seguridad [CVE-2019-15691 CVE-2019-15692 CVE-2019-15693 CVE-2019-15694 CVE-2019-15695] |
| tightvnc | Correcciones de seguridad [CVE-2014-6053 CVE-2018-20021 CVE-2018-20022 CVE-2018-20748 CVE-2018-7225 CVE-2019-8287 CVE-2019-15678 CVE-2019-15679 CVE-2019-15680 CVE-2019-15681] |
| tmpreaper | Añade --protect '/tmp/systemd-private*/*'al trabajo cron para evitar la rotura de los servicios systemd que tengan PrivateTmp=true |
| tzdata | Nueva versión del proyecto original |
| ublock-origin | Nueva versión del proyecto original, compatible con Firefox ESR68 |
| unhide | Corrige agotamiento de la pila |
| x2goclient | Elimina ~/, ~user{,/}, ${HOME}{,/} y $HOME{,/} de las rutas de destino en modo scp; corrige regresión con versiones más recientes de libssh que tengan aplicadas las correcciones para CVE-2019-14889 |
| xml-security-c | Corrige La verificación de DSA provoca la caída de OpenSSL con combinaciones inválidas del contenido de clave |
Actualizaciones de seguridad
Esta versión añade las siguientes actualizaciones de seguridad a la distribución «antigua estable». El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:
Paquetes eliminados
Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:
| Paquete | Motivo |
|---|---|
| firetray | Incompatible con versiones actuales de Thunderbird |
| koji | Problemas de seguridad |
| python-lamson | Roto por cambios en python-daemon |
| radare2 | Problemas de seguridad; el proyecto original no proporciona soporte estable |
| ruby-simple-form | No utilizado; problemas de seguridad |
| trafficserver | No puede ser soportado |
Instalador de Debian
Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «antigua estable».
URL
Las listas completas de paquetes que han cambiado en esta versión:
La distribución «antigua estable» actual:
Actualizaciones propuestas a la distribución «antigua estable»:
Información sobre la distribución «antigua estable» (notas de publicación, erratas, etc.):
Información y anuncios de seguridad:
Acerca de Debian
El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.
Información de contacto
Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.