Debian 10 atualizado: 10.4 liberado

9 de Maio de 2020

O projeto Debian tem o prazer de anunciar a quarta atualização da versão Debian estável (stable) 10 (codename buster). Essa atualização pontual adiciona principalmente correções para problemas de segurança, juntamente com alguns ajustes para problemas sérios. Os avisos de segurança já foram publicados separadamente e são referenciados quando disponíveis.

Por favor, note que este lançamento pontual não constitui uma nova versão do Debian 10, mas apenas atualiza alguns dos pacotes inclusos. Não há necessidade de substituir a mídia buster. Após sua instalação, os pacotes podem ser atualizados para a versão mais recente utilizando um espelho Debian atualizado.

Para aqueles(as) que instalam atualizações frequentemente de security.debian.org, não terão que atualizar muitos pacotes, e a maioria das atualizações estão incluídas no lançamento pontual.

Novas imagens de instalação estarão disponíveis em breve nos repositórios oficiais.

A atualização de uma instalação existente para esta nova revisão pode ser realizada apontando o sistema de gerenciamento de pacotes para um dos vários espelhos HTTP do Debian existentes. Uma lista de espelhos está disponível em:

https://www.debian.org/mirror/list

Correções de bugs gerais

Esta atualização da estável (stable) adiciona algumas correções importantes para os seguintes pacotes:

Package Reason
apt-cacher-ng Obriga chamada segura para o servidor no acionamento do trabalho de manutenção [CVE-2020-5202]; permite compressão .zst para tarballs; aumenta o tamanho do buffer da linha de descompressão para leitura do arquivo de configuração
backuppc Passa o nome de usuário(a) para recarregar o start-stop-daemon, prevenindo falhas de recarregamento
base-files Atualiza para o lançamento atual
brltty Reduz a gravidade do registro de mensagem de log evitando a geração de muitas mensagens quando usar novas versões do Orca
checkstyle Corrige problema de injeção de Entidade Externa XML [CVE-2019-9658 CVE-2019-10782]
choose-mirror Atualiza lista de espelhos incluídos
clamav Novo lançamento do upstream [CVE-2020-3123]
corosync totemsrp: Reduz MTU para evitar a geração de pacotes superdimensionados
corosync-qdevice Corrige a inicialização do serviço
csync2 Comando fail HELLO quando SSL é requerido
cups Corrige estouro de buffer de heap [CVE-2020-3898] e a função `ippReadIO` pode sub-ler um campo de extensão [CVE-2019-8842]
dav4tbsync Nova atualização do upstream, restaurando a compatibilidade com Thunderbird mais recente
debian-edu-config Adiciona arquivos de política para Firefox ESR e Thunderbird para corrigir configuração de TLS/SSL
debian-installer Atualiza o kernel ABI para 4.19.0-9
debian-installer-netboot-images Reconstruir com atualizações propostas
debian-security-support Nova atualização estável do upstream; atualiza o status de vários pacotes; usa runuser em vez de su
distro-info-data Adiciona Ubuntu 20.10, e provável data de encerramento do suporte para stretch
dojo Corrige o uso impróprio de expressões regulares [CVE-2019-10785]
dpdk Nova atualização estável do upstream
dtv-scan-tables Nova captura do upstream; adiciona todos os muxes DVB-T2 alemães e o satélite Eutelsat-5-West-A
eas4tbsync Nova atualização do upstream, restaura a compatibilidade com as versões mais atuais do Thunderbird
edk2 Correções de segurança [CVE-2019-14558 CVE-2019-14559 CVE-2019-14563 CVE-2019-14575 CVE-2019-14586 CVE-2019-14587]
el-api Corrige atualizações do stretch para buster envolvendo Tomcat 8
fex Corrige um potencial problema de segurança em fexsrv
filezilla Corrige vulnerabilidade de pesquisa de caminho não confiável [CVE-2019-5429]
frr Corrige a capacidade de próximo salto estendida
fuse Remove comandos udevadm desatualizados dos scripts pós-instalação; não remove explicitamente fuse.conf na remoção
fuse3 Remove comandos udevadm desatualizados dos scripts pós-instalação; não remove explicitamete fuse.conf na remoção; corrige vazamento de memória em fuse_session_new()
golang-github-prometheus-common Estende a validade dos certificados de teste
gosa Substituir (des)serializar com json_encode/json_decode para mitigar injeção em objeto PHP [CVE-2019-14466]
hbci4java Auxilia a diretiva EU em serviços de pagamento (PSD2)
hibiscus Auxilia a diretiva EU em serviços de pagamento (PSD2)
iputils Corrige um problema no qual ping acarretaria em erro inesperado com código de falha quando houvesse endereços não testados ainda disponíveis na chamada de retorno da biblioteca getaddrinfo()
ircd-hybrid Usa dhparam.pem para evitar quebra na inicialização
jekyll Permite o uso de ruby-i18n 0.x e 1.x
jsp-api Correção de atualização do stretch para buster envolvendo o Tomcat 8
lemonldap-ng Previne acesso indesejado ao terminal de administração [CVE-2019-19791]; Corrige o plugin GrantSession que não proibia o acesso quando a autenticação em dois passos era usada; Corrige redirecionamentos arbitrários com OIDC se redirect_uri não for usado
libdatetime-timezone-perl Atualiza dados incluídos
libreoffice Corrige transições de slide OpenGL
libssh Corrige possível problema de negação de serviço ao lidar com chaves AES-CTRs com OpenSSL [CVE-2020-1730]
libvncserver Corrige estouro de pilha [CVE-2019-15690]
linux Nova atualização estável do upstream
linux-latest Atualiza o kernel ABI para 4.19.0-9
linux-signed-amd64 Nova atualização estável do upstream
linux-signed-arm64 Nova atualização estável do upstream
linux-signed-i386 Nova atualização estável do upstream
lwip Corrige estouro de buffer [CVE-2020-8597]
lxc-templates Nova atualização estável do upstream; lida com linguagens que são codificadas apenas em UTF-8
manila Corrige falta de verificação de permissões de acesso [CVE-2020-9543]
megatools Adiciona suporte para o novo formato de links do mega.nz
mew Corrige verificação de validade do certificado do servidor
mew-beta Corrige verificação de validade do certificado SSL do servidor[<0;20;15M
mkvtoolnix Reconstrói para estreitar da dependência da libmatroska6v5
ncbi-blast+ Desabilita o suporte a SSE4.2
node-anymatch Remove dependências desnecessárias
node-dot Previne a execução de código após a poluição do protótipo [CVE-2020-8141]
node-dot-prop Corrige poluição do protótipo [CVE-2020-8116]
node-knockout Corrige fugas com versões antigas do Internet Explorer [CVE-2019-14862]
node-mongodb Rejeita invalid _bsontypes [CVE-2019-2391 CVE-2020-7610]
node-yargs-parser Corrige poluição de protótipo [CVE-2020-7608]
npm Corrige acesso a caminho arbitrário [CVE-2019-16775 CVE-2019-16776 CVE-2019-16777]
nvidia-graphics-drivers Nova atualização estável do upstream
nvidia-graphics-drivers-legacy-390xx Nova atualização estável do upstream
nvidia-settings-legacy-340xx New upstream release
oar Reverte o comportamento stretch para armazenável::função perl dclone, corrige problemas de profundidade de recursão
opam Prioriza mccs em vez de aspcud
openvswitch Corrige vswitchd quando uma porta é adicionada e o controlador está desligado
orocos-kdl Corrige conversão de string com Python 3
owfs Remove pacotes Python 3 quebrados
pango1.0 Corrige falha no pango_fc_font_key_get_variations() quando a chave é nula
pgcli Adiciona dependências perdidas em python3-pkg-resources
php-horde-data Fix authenticated remote code execution vulnerability [CVE-2020-8518]
php-horde-form Corrige vulnerabilidade de execução remota de código autenticado [CVE-2020-8866]
php-horde-trean Corrige vulnerabilidade de execução remota de código autenticado [CVE-2020-8865]
postfix Nova atualização estável do upstream; corrige o pânico com a configuração multi-Milter durante MAIL DE; corrige as mudanças de execução d/init.d então funciona novamente com multi-instance
proftpd-dfsg Corrige problema de acesso à memória no código keyboard-interative em mod_sftp; lida corretamente com mensagens DEBUG, IGNORE, DISCONNECT, and UNIMPLEMENTED no modo keyboard-interactive
puma Corrige problema de Negação de Serviço [CVE-2019-16770]
purple-discord Corrige travamentos em ssl_nss_read
python-oslo.utils Corrige vazamento de informações confidenciais por meio de registros mistral [CVE-2019-3866]
rails Corrige possíveis scripts entre sites por meio do auxílio de escape javascript [CVE-2020-5267]
rake Corrige vulnerabilidades de injeção em comandos [CVE-2020-8130]
raspi3-firmware Corrige incompatibilidade de nomes dtb em z50-raspi-firmware; Corrige boot no Raspberry Pi família 1 e 0
resource-agents Corrige monitor eth que não lista interfaces sem endereço de IP atribuído; remove o patch desnecessário xen-toolstack; corrige o uso não-padrão do agente ZFS
rootskel Desabilita suporte a múltiplos consoles se o anterior estiver em uso
ruby-i18n Corrige geração de gemspec
rubygems-integration Evita avisos de depreciação quando usuários(as) instalam a nova versão do Rubygems via gem update --system
schleuder Melhora o patch para lidar com erros de codificação introduzidos na versão anterior; muda a codificação padrão para UTF-8; deixa x-add-key lidar com e-mails com chaves codificadas para impressão em anexo; corrige x-attach-listkey com e-mails criados no Thunderbird que incluem cabeçalhos protegidos
scilab Corrige biblioteca carregadas com OpenJDK 11.0.7
serverspec-runner Suporte Ruby 2.5
softflowd Corrige agregação de fluxo interrompida que pode resultar em estouro de tabela de fluxo e uso de CPU de 100%
speech-dispatcher Corrige latência padrão do pulseaudio que ativa a emissão de ruídos
spl-linux Corrige impasse
sssd Corrige sssd_be busy-looping quando a conexão LDAP está intermitente
systemd Quando autorizado por kit de políticas, resolve novamente o retorno de chamada/dados de usuários(as) em vez de armazená-lo [CVE-2020-1712]; instala 60-block.rules em udev-udeb e initramfs-tools
taglib Corrige problemas com arquivos OGG corrompidos
tbsync Nova atualização do upstream, restaura compatibilidade com versão recente do Thunderbird
timeshift Corrige o uso previsível de diretório temporário [CVE-2020-10174]
tinyproxy Apenas define PIDDIR, se PIDFILE for uma string de cumprimento diferente de zero
tzdata Nova atualização estável do upstream
uim Cancela registro de módulos que não estejam instalados, corrigindo a regressão no upload anterior
user-mode-linux Corrige falhas de compilação em kernels estáveis atuais
vite Corrige falha quando houver mais de 32 elementos
waagent Nova atualização do upstream; suporte a coinstalação com cloud-init
websocket-api Corrige atualizações do stretch para buster envolvendo Tomcat 8
wpa Não tenta detectar incompatibilidade do PSK durante a redocificação do PTK; verifica por suporte FT ao selecionar as suítes FT; corrige problema de randomização MAC com alguns cartões
xdg-utils xdg-open: corrige a verificação pcmanfm e lida com diretórios com espaços em seus nomes; xdg-screensaver: limpa o nome da janela antes de enviá-lo pelo D-Bus; xdg-mime: Cria diretório config se ele ainda não existir
xtrlock Corrige bloqueio de (alguns) dispositivos multitoque enquanto estão bloqueados [CVE-2016-10894]
zfs-linux Corrige potenciais problemas de impasse

Atualizações de segurança

Essa revisão adiciona as seguintes atualizações de segurança do lançamento estável (stable). A equipe de segurança já lançou um comunicado para cada uma dessas atualizações:

ID Consultivo Pacote
DSA-4616 qemu
DSA-4617 qtbase-opensource-src
DSA-4618 libexif
DSA-4619 libxmlrpc3-java
DSA-4620 firefox-esr
DSA-4623 postgresql-11
DSA-4624 evince
DSA-4625 thunderbird
DSA-4627 webkit2gtk
DSA-4629 python-django
DSA-4630 python-pysaml2
DSA-4631 pillow
DSA-4632 ppp
DSA-4633 curl
DSA-4634 opensmtpd
DSA-4635 proftpd-dfsg
DSA-4636 python-bleach
DSA-4637 network-manager-ssh
DSA-4638 chromium
DSA-4639 firefox-esr
DSA-4640 graphicsmagick
DSA-4641 webkit2gtk
DSA-4642 thunderbird
DSA-4643 python-bleach
DSA-4644 tor
DSA-4645 chromium
DSA-4646 icu
DSA-4647 bluez
DSA-4648 libpam-krb5
DSA-4649 haproxy
DSA-4650 qbittorrent
DSA-4651 mediawiki
DSA-4652 gnutls28
DSA-4653 firefox-esr
DSA-4654 chromium
DSA-4655 firefox-esr
DSA-4656 thunderbird
DSA-4657 git
DSA-4658 webkit2gtk
DSA-4659 git
DSA-4660 awl
DSA-4661 openssl
DSA-4663 python-reportlab
DSA-4664 mailman
DSA-4665 qemu
DSA-4666 openldap
DSA-4667 linux-signed-amd64
DSA-4667 linux-signed-arm64
DSA-4667 linux-signed-i386
DSA-4667 linux
DSA-4669 nodejs
DSA-4671 vlc
DSA-4672 trafficserver

Pacotes removidos

Os seguintes pacotes foram removidos devido circunstâncias além do nosso controle:

Pacote Motivo
getlive Quebrado devido a alterações do Hotmail
gplaycli Quebrado devido a alterações na API do Google
kerneloops Serviço do(a) upstream não está mais disponível
lambda-align2 [arm64 armel armhf i386 mips64el ppc64el s390x] quebrado em arquiteturas não amd64
libmicrodns Questões de segurança
libperlspeak-perl Questões de segurança; sem manutenção
quotecolors Incompatibilidade com versões recentes do Thunderbird
torbirdy Incompatibilidade com versões recentes do Thunderbird
ugene Não livre; falha na compilação
yahoo2mbox Quebrado por muitos anos

Debian Installer

O instalador foi atualizado para incluir correções incorporadas na estável (stable) pelo lançamento pontual.

URLs

A lista completa de pacotes que sofreram mudanças com essa revisão:

http://ftp.debian.org/debian/dists/buster/ChangeLog

A versão estável (stable) atual:

http://ftp.debian.org/debian/dists/stable/

Atualizações propostas (proposed updates) para a versão estável (stable):

http://ftp.debian.org/debian/dists/proposed-updates

Informação da versão estável (notas de lançamento, errata, etc.):

https://www.debian.org/releases/stable/

Anúncios e informações de segurança:

https://www.debian.org/security/

Sobre o Debian

O Projeto Debian é uma associação de desenvolvedores(as) de software livre que voluntariamente doam seu tempo e esforço para produzir o sistema operacional completamente livre Debian.

Informações para contato

Para mais informações, por favor visite a página do Debian em https://www.debian.org/, ou envie um e-mail (em inglês) para <press@debian.org>, ou entre em contato com a equipe de lançamento da estável (stable) em <debian-release@lists.debian.org>.