Opdateret Debian 9: 9.13 udgivet

18. juli 2020

Debian-projektet er stolt over at kunne annoncere den trettende (og sidste) opdatering af dets gamle stabile distribution, Debian 9 (kodenavn stretch). Denne opdatering indeholder primært rettelser af sikkerhedsproblemer, sammen med nogle få rettelser af alvorlige problemer. Sikkerhedsbulletiner er allerede udgivet separat og der vil blive refereret til dem, hvor de er tilgængelige.

Efter denne punktopdatering, vil Debians Security og Release Teams ikke længere fremstille opdatering til Debian 9. Brugere, der ønsker at fortsætte med at modtage sikkerhedsunderstøttelse, bør opgradere til Debian 10, eller se https://wiki.debian.org/LTS for oplysninger om den delmængde af arkitekturer og pakker, som er dækket af Long Term Support-projektet.

Bemærk at denne opdatering ikke er en ny udgave af Debian GNU/Linux 9, den indeholder blot opdateringer af nogle af de medfølgende pakker. Der er ingen grund til at smide gamle stretch-medier væk. Efter en installering, kan pakkerne opgradere til de aktuelle versioner ved hjælp af et ajourført Debian-filspejl.

Dem der hyppigt opdaterer fra security.debian.org, behøver ikke at opdatere ret mange pakker, og de fleste opdateringer fra security.debian.org er indeholdt i denne opdatering.

Nye installeringsfilaftryk vil snart være tilgængelige fra de sædvanlige steder.

Online-opdatering til denne revision gøres normalt ved at lade pakkehåndteringssystemet pege på et af Debians mange HTTP-filspejle. En omfattende liste over filspejle er tilgængelig på:

https://www.debian.org/mirror/list

Forskellige fejlrettelser

Denne opdatering til den gamle stabile udgave tilføjer nogle få vigtige rettelser til følgende pakker:

Pakke Årsag
acmetool Genopbygger mod nyere golang for at samle sikkerhedsrettelser op
atril dvi: Afhjælper kommandoindsprøjtningsangreb ved at sætte anførselstegn om filnavn [CVE-2017-1000159]; retter overløbskontroller i tiff-backend [CVE-2019-1010006]; tiff: Håndterer fejl fra TIFFReadRGBAImageOriented [CVE-2019-11459]
bacula Tilføjer overgangspakke bacula-director-common, undgår tab af /etc/bacula/bacula-dir.conf ved purge; gør root til ejer af PID-filer
base-files Opdaterer /etc/debian_version til denne punktopdatering
batik Retter forfalskning på tværs af servere gennem xlink:href-attributter [CVE-2019-17566]
c-icap-modules Understøtter ClamAV 0.102
ca-certificates Opdaterer Mozilla CA-bundle til 2.40, sortlister Symantec-roots som der ikke er tillid til, samt udløbet AddTrust External Root; fjener kun-mail-certifikater
chasquid Genopbygger mod nyere golang for at samle sikkerhedsrettelser op
checkstyle Retter XML External Entity-indsprøjtningsproblem [CVE-2019-9658 CVE-2019-10782]
clamav Ny opstrømsugave [CVE-2020-3123]; sikkerhedsrettelser [CVE-2020-3327 CVE-2020-3341]
compactheader Ny opstrømsversion, kompatibel med nyere versioner af Thunderbird
cram Ignorerer testfejl for at rette opbygningsproblemer
csync2 Får HELLO-kommando til at fejle når SSL er krævet
cups Retter heapbufferoverløb [CVE-2020-3898] og funktionen `ippReadIO` kunne underlæse et udvidelsesfelt [CVE-2019-8842]
dbus Ny stabil opstrømsudgave; forhindrer lammelsesangrebsproblem [CVE-2020-12049]; forhindrer anvendelse efter frigivelse hvis to brugernavne deler en uid
debian-installer Opdaterer til Linux-kerne-ABI 4.9.0-13
debian-installer-netboot-images Genopbygger mod stretch-proposed-updates
debian-security-support Opdaterer flere pakkers supportstatus
erlang Retter anvendelse af svage TLS-ciphers [CVE-2020-12872]
exiv2 Retter lammelsesangrebsproblem [CVE-2018-16336]; retter for restriktiv rettelse af CVE-2018-10958 og CVE-2018-10999
fex Sikkerhedsopdatering
file-roller Sikkerhedsrettelse [CVE-2020-11736]
fwupd Ny opstrømsudgave; anvender et CNAME til at viderestille til den korrekte metadata-CDN; afbryd ikke starten hvis XML-metadatafilen er ugyldig; tilføjer Linux Foundations offentlige GPG-nøgler til firmware og metadata; forøger metadatagrænsen til 10MB
glib-networking Returnerer en bad identity-fejl hvis identity ikke er opsat [CVE-2020-13645]
gnutls28 Retter hukommelseskorruptionsproblem [CVE-2019-3829]; retter hukommelseslækage; tilføjer understøttelse af nul længde-sessiontickets, retter forbindelsesfejl ved TLS1.2-sessioner til de samme hosting providers
gosa Strammer kontrol af LDAP-succes/fejl [CVE-2019-11187]; retter kompabilitet med nyere PHP-versioner; tilbagefører flere andre patches; erstatter (un)serialize med json_encode/json_decode for at afhjælpe PHP-objektindsprøjtning [CVE-2019-14466]
heartbleeder Genopbygger mod nyere golang for at samle sikkerhedsrettelser op
intel-microcode Nedgraderer nogle microcodes til tidligere udgivne versioner, for at omgå hængende system ved boot på Skylake-U/Y og Skylake Xeon E3
iptables-persistent Der skal ikke fejles hvis modprobe gør det
jackson-databind Retter adskillige sikkerhedsproblemer som påvirker BeanDeserializerFactory [CVE-2020-9548 CVE-2020-9547 CVE-2020-9546 CVE-2020-8840 CVE-2020-14195 CVE-2020-14062 CVE-2020-14061 CVE-2020-14060 CVE-2020-11620 CVE-2020-11619 CVE-2020-11113 CVE-2020-11112 CVE-2020-11111 CVE-2020-10969 CVE-2020-10968 CVE-2020-10673 CVE-2020-10672 CVE-2019-20330 CVE-2019-17531 og CVE-2019-17267]
libbusiness-hours-perl Anvender eksplicit årstal på fire cifre, retter opbygnings- og anvendelsesproblemer
libclamunrar Ny stabil opstrømsudgave; tilføjer en ikke-versioneret metapakke
libdbi Udkommenterer igen kaldet _error_handler(), retter problemer med consumers
libembperl-perl Håndterer fejlsider fra Apache >= 2.4.40
libexif Sikkerhedsrettelser [CVE-2016-6328 CVE-2017-7544 CVE-2018-20030 CVE-2020-12767 CVE-2020-0093]; sikkerhedsrettelser [CVE-2020-13112 CVE-2020-13113 CVE-2020-13114]; retter et bufferlæsningsoverløb [CVE-2020-0182] og et overløb ved heltal uden fortegn [CVE-2020-0198]
libvncserver Retter heapoverløb [CVE-2019-15690]
linux Ny stabil opstrømsudgave; opdaterer ABI til 4.9.0-13
linux-latest Opdatering til kerne-ABI 4.9.0-13
mariadb-10.1 Ny stailb opstrømsudgave; sikkerhedsrettelser [CVE-2020-2752 CVE-2020-2812 CVE-2020-2814]
megatools Tilføjer understøttelse af mega.nz's nye linkformat
mod-gnutls Undgår udfasede ciphersuites i testsuite; retter testfejl når kombineret med Apaches rettelse af CVE-2019-10092
mongo-tools Genopbygger mod nyere golang for at samle sikkerhedsrettelser op
neon27 Opfatter OpenSSL-relaterede testfejl som ikke-fatale
nfs-utils Retter potentiel filoverskrivningssårbarhed [CVE-2019-3689]; overfør ikke hele ejerskabet af /var/lib/nfs til statd-brugeren
nginx Retter sårbarhed i forbindelse med fejlsideforespørgselssmugling [CVE-2019-20372]
node-url-parse Renser stier og værter før de fortolkes [CVE-2018-3774]
nvidia-graphics-drivers Ny stabil opstrømsudgave; ny opstrømsudgave; sikkerhedsrettelser [CVE-2020-5963 CVE-2020-5967]
pcl Retter manglende afhængighed af libvtk6-qt-dev
perl Retter adskillige regulære udtræk med forbindelse til sikkerhedsproblemer [CVE-2020-10543 CVE-2020-10878 CVE-2020-12723]
php-horde Retter sårbarhed i forbindelse med udførelse af skripter på tværs af websteder [CVE-2020-8035]
php-horde-data Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8518]
php-horde-form Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8866]
php-horde-gollem Retter sårbarhed i forbindelse med udførelse af skripter på tværs af websteder i breadcrumb-uddata [CVE-2020-8034]
php-horde-trean Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8865]
phpmyadmin Flere sikkerhedsrettelser [CVE-2018-19968 CVE-2018-19970 CVE-2018-7260 CVE-2019-11768 CVE-2019-12616 CVE-2019-6798 CVE-2019-6799 CVE-2020-10802 CVE-2020-10803 CVE-2020-10804 CVE-2020-5504]
postfix Ny stabil opstrømsudgave
proftpd-dfsg Retter håndtering af SSH_MSG_IGNORE-pakker
python-icalendar Retter Python3-afhængigheder
rails Retter mulig udførelse af skripter på tværs af websteder gennem Javascript-escapehelper [CVE-2020-5267]
rake Retter kommandoindsprøjtningssårbarhed [CVE-2020-8130]
roundcube Retter udførelse af skripter på tværs af websteder gennem HTML-meddelelser med ondsindet svg/namespace [CVE-2020-15562]
ruby-json Retter sårbarhed i forbindelse med usikker objektoprettelse [CVE-2020-10663]
ruby2.3 Retter sårbarhed i forbindelse med usikker objektoprettelse [CVE-2020-10663]
sendmail Retter fremfinding af queue runner-kontrolproces i split daemon-tilstand, NOQUEUE: connect from (null), fjernelse af fejl ved anvendelse af BTRFS
sogo-connector Ny opstrømsversion, kompatibel med nyere versioner af Thunderbird
ssvnc Retter skrivning udenfor grænserne [CVE-2018-20020], uendelig løkke [CVE-2018-20021], ukorrekt initialisering [CVE-2018-20022], potentielt lammelsesangreb [CVE-2018-20024]
storebackup Retter mulig rettighedsforøgelsessårbarhed [CVE-2020-7040]
swt-gtk Retter manglende afhængighed af libwebkitgtk-1.0-0
tinyproxy Opretter PID-fil før rettighederne til ikke-root-konto smides væk [CVE-2017-11747]
tzdata Ny stabil opstrømsudgave
websockify Retter manglende afhængighed af python{3,}-pkg-resources
wpa Retter omgåelse af PMF-disconnection protection i AP-tilstand [CVE-2019-16275]; retter MAC-tilfældighedsproblem med nogle kort
xdg-utils Renser vindues navn før det sendes over D-Bus; håndterer på korrekt vis mapper med navne indeholdende mellemrum; opretter om nødvendigt mappen applications
xml-security-c Retter længdeberegning i concat-metoden
xtrlock Retter blokering af (nogle) multitouch-enheder når låst [CVE-2016-10894]

Sikkerhedsopdateringer

Denne revision tilføjer følgende sikkerhedsopdateringer til den gamle stabile udgave. Sikkerhedsteamet har allerede udgivet bulletiner for hver af de nævnte opdateringer:

Bulletin-id Pakke(r)
DSA-4005 openjfx
DSA-4255 ant
DSA-4352 chromium-browser
DSA-4379 golang-1.7
DSA-4380 golang-1.8
DSA-4395 chromium
DSA-4421 chromium
DSA-4616 qemu
DSA-4617 qtbase-opensource-src
DSA-4618 libexif
DSA-4619 libxmlrpc3-java
DSA-4620 firefox-esr
DSA-4621 openjdk-8
DSA-4622 postgresql-9.6
DSA-4624 evince
DSA-4625 thunderbird
DSA-4628 php7.0
DSA-4629 python-django
DSA-4630 python-pysaml2
DSA-4631 pillow
DSA-4632 ppp
DSA-4633 curl
DSA-4634 opensmtpd
DSA-4635 proftpd-dfsg
DSA-4637 network-manager-ssh
DSA-4639 firefox-esr
DSA-4640 graphicsmagick
DSA-4642 thunderbird
DSA-4646 icu
DSA-4647 bluez
DSA-4648 libpam-krb5
DSA-4650 qbittorrent
DSA-4653 firefox-esr
DSA-4655 firefox-esr
DSA-4656 thunderbird
DSA-4657 git
DSA-4659 git
DSA-4660 awl
DSA-4663 python-reportlab
DSA-4664 mailman
DSA-4666 openldap
DSA-4668 openjdk-8
DSA-4670 tiff
DSA-4671 vlc
DSA-4673 tomcat8
DSA-4674 roundcube
DSA-4675 graphicsmagick
DSA-4676 salt
DSA-4677 wordpress
DSA-4678 firefox-esr
DSA-4683 thunderbird
DSA-4685 apt
DSA-4686 apache-log4j1.2
DSA-4687 exim4
DSA-4688 dpdk
DSA-4689 bind9
DSA-4692 netqmail
DSA-4693 drupal7
DSA-4695 firefox-esr
DSA-4698 linux
DSA-4700 roundcube
DSA-4701 intel-microcode
DSA-4702 thunderbird
DSA-4703 mysql-connector-java
DSA-4704 vlc
DSA-4705 python-django
DSA-4706 drupal7
DSA-4707 mutt
DSA-4711 coturn
DSA-4713 firefox-esr
DSA-4715 imagemagick
DSA-4717 php7.0
DSA-4718 thunderbird

Fjernede pakker

Følgende pakker er blevet fjernet på grund af omstændigheder uden for vores kontrol:

Pakke Årsag
certificatepatrol Ikke kompatibel med nyere versioner af Firefox ESR
colorediffs-extension Ikke kompatibel med nyere versioner af Thunderbird
dynalogin Afhænging af simpleid som skal fjernes
enigmail Ikke kompatibel med nyere versioner af Thunderbird
firefox-esr [armel] No longer supported (requires nodejs)
firefox-esr [mips mipsel mips64el] Understøttes ikke længere (kræver nyere rustc)
getlive Defekt pga. ændringer af Hotmail
gplaycli Defekt pga. ændringer i Google API
kerneloops Opstrømstjenste er ikke længere tilgængelig
libmicrodns Sikkerhedsproblemer
libperlspeak-perl Sikkerhedsproblemer; vedligeholdes ikke
mathematica-fonts Afhængig af utilgængeligt downloadsted
pdns-recursor Sikkerhedsproblemer; ingen understøttelse
predictprotein Afhængig af profphd som skal fjernes
profphd Ubrugelig
quotecolors Ikke kompatibel med nyere versioner af Thunderbird
selenium-firefoxdriver Ikke kompatibel med nyere versioner af Thunderbird
simpleid Fungerer ikke med PHP7
simpleid-ldap Afhængig af simpleid som skal fjernes
torbirdy Ikke kompatibel med nyere versioner af Thunderbird
weboob Vedligeholdes ikke; allerede fjernet fra senere udgivelser
yahoo2mbox Har været defekt i flere år

Debian Installer

Installeringsprogrammet er opdateret for at medtage rettelser indført i oldstable, i denne punktopdatering.

URL'er

Den komplette liste over pakker, som er ændret i forbindelse med denne revision:

http://ftp.debian.org/debian/dists/stretch/ChangeLog

Den aktuelle gamle stabile distribution:

http://ftp.debian.org/debian/dists/oldstable/

Foreslåede opdateringer til den gamle stabile distribution:

http://ftp.debian.org/debian/dists/oldstable-proposed-updates

Oplysninger om den gamle stabile distribution (udgivelsesbemærkninger, fejl, osv.):

https://www.debian.org/releases/oldstable/

Sikkerhedsannonceringer og -oplysninger:

https://www.debian.org/security/

Om Debian

Debian-projektet er en organisation af fri software-udviklere som frivilligt bidrager med tid og kræfter, til at fremstille det helt frie styresystem Debian GNU/Linux.

Kontaktoplysninger

For flere oplysninger, besøg Debians websider på https://www.debian.org/ eller send e-mail på engelsk til <press@debian.org> eller kontakt holdet bag den stabile udgave på <debian-release@debian.org>.