Opdateret Debian 9: 9.13 udgivet
18. juli 2020
Debian-projektet er stolt over at kunne annoncere den trettende (og sidste)
opdatering af dets gamle stabile distribution, Debian 9 (kodenavn
stretch
).
Denne opdatering indeholder primært rettelser af sikkerhedsproblemer, sammen med
nogle få rettelser af alvorlige problemer. Sikkerhedsbulletiner er allerede
udgivet separat og der vil blive refereret til dem, hvor de er tilgængelige.
Efter denne punktopdatering, vil Debians Security og Release Teams ikke længere fremstille opdatering til Debian 9. Brugere, der ønsker at fortsætte med at modtage sikkerhedsunderstøttelse, bør opgradere til Debian 10, eller se https://wiki.debian.org/LTS for oplysninger om den delmængde af arkitekturer og pakker, som er dækket af Long Term Support-projektet.
Bemærk at denne opdatering ikke er en ny udgave af Debian GNU/Linux
9, den indeholder blot opdateringer af nogle af de medfølgende pakker.
Der er ingen grund til at smide gamle stretch
-medier væk. Efter en
installering, kan pakkerne opgradere til de aktuelle versioner ved hjælp af et
ajourført Debian-filspejl.
Dem der hyppigt opdaterer fra security.debian.org, behøver ikke at opdatere ret mange pakker, og de fleste opdateringer fra security.debian.org er indeholdt i denne opdatering.
Nye installeringsfilaftryk vil snart være tilgængelige fra de sædvanlige steder.
Online-opdatering til denne revision gøres normalt ved at lade pakkehåndteringssystemet pege på et af Debians mange HTTP-filspejle. En omfattende liste over filspejle er tilgængelig på:
Forskellige fejlrettelser
Denne opdatering til den gamle stabile udgave tilføjer nogle få vigtige rettelser til følgende pakker:
Pakke | Årsag |
---|---|
acmetool | Genopbygger mod nyere golang for at samle sikkerhedsrettelser op |
atril | dvi: Afhjælper kommandoindsprøjtningsangreb ved at sætte anførselstegn om filnavn [CVE-2017-1000159]; retter overløbskontroller i tiff-backend [CVE-2019-1010006]; tiff: Håndterer fejl fra TIFFReadRGBAImageOriented [CVE-2019-11459] |
bacula | Tilføjer overgangspakke bacula-director-common, undgår tab af /etc/bacula/bacula-dir.conf ved purge; gør root til ejer af PID-filer |
base-files | Opdaterer /etc/debian_version til denne punktopdatering |
batik | Retter forfalskning på tværs af servere gennem xlink:href-attributter [CVE-2019-17566] |
c-icap-modules | Understøtter ClamAV 0.102 |
ca-certificates | Opdaterer Mozilla CA-bundle til 2.40, sortlister Symantec-roots som der ikke er tillid til, samt udløbet AddTrust External Root; fjener kun-mail-certifikater |
chasquid | Genopbygger mod nyere golang for at samle sikkerhedsrettelser op |
checkstyle | Retter XML External Entity-indsprøjtningsproblem [CVE-2019-9658 CVE-2019-10782] |
clamav | Ny opstrømsugave [CVE-2020-3123]; sikkerhedsrettelser [CVE-2020-3327 CVE-2020-3341] |
compactheader | Ny opstrømsversion, kompatibel med nyere versioner af Thunderbird |
cram | Ignorerer testfejl for at rette opbygningsproblemer |
csync2 | Får HELLO-kommando til at fejle når SSL er krævet |
cups | Retter heapbufferoverløb [CVE-2020-3898] og funktionen `ippReadIO` kunne underlæse et udvidelsesfelt [CVE-2019-8842] |
dbus | Ny stabil opstrømsudgave; forhindrer lammelsesangrebsproblem [CVE-2020-12049]; forhindrer anvendelse efter frigivelse hvis to brugernavne deler en uid |
debian-installer | Opdaterer til Linux-kerne-ABI 4.9.0-13 |
debian-installer-netboot-images | Genopbygger mod stretch-proposed-updates |
debian-security-support | Opdaterer flere pakkers supportstatus |
erlang | Retter anvendelse af svage TLS-ciphers [CVE-2020-12872] |
exiv2 | Retter lammelsesangrebsproblem [CVE-2018-16336]; retter for restriktiv rettelse af CVE-2018-10958 og CVE-2018-10999 |
fex | Sikkerhedsopdatering |
file-roller | Sikkerhedsrettelse [CVE-2020-11736] |
fwupd | Ny opstrømsudgave; anvender et CNAME til at viderestille til den korrekte metadata-CDN; afbryd ikke starten hvis XML-metadatafilen er ugyldig; tilføjer Linux Foundations offentlige GPG-nøgler til firmware og metadata; forøger metadatagrænsen til 10MB |
glib-networking | Returnerer en bad identity-fejl hvis identity ikke er opsat [CVE-2020-13645] |
gnutls28 | Retter hukommelseskorruptionsproblem [CVE-2019-3829]; retter hukommelseslækage; tilføjer understøttelse af nul længde-sessiontickets, retter forbindelsesfejl ved TLS1.2-sessioner til de samme hosting providers |
gosa | Strammer kontrol af LDAP-succes/fejl [CVE-2019-11187]; retter kompabilitet med nyere PHP-versioner; tilbagefører flere andre patches; erstatter (un)serialize med json_encode/json_decode for at afhjælpe PHP-objektindsprøjtning [CVE-2019-14466] |
heartbleeder | Genopbygger mod nyere golang for at samle sikkerhedsrettelser op |
intel-microcode | Nedgraderer nogle microcodes til tidligere udgivne versioner, for at omgå hængende system ved boot på Skylake-U/Y og Skylake Xeon E3 |
iptables-persistent | Der skal ikke fejles hvis modprobe gør det |
jackson-databind | Retter adskillige sikkerhedsproblemer som påvirker BeanDeserializerFactory [CVE-2020-9548 CVE-2020-9547 CVE-2020-9546 CVE-2020-8840 CVE-2020-14195 CVE-2020-14062 CVE-2020-14061 CVE-2020-14060 CVE-2020-11620 CVE-2020-11619 CVE-2020-11113 CVE-2020-11112 CVE-2020-11111 CVE-2020-10969 CVE-2020-10968 CVE-2020-10673 CVE-2020-10672 CVE-2019-20330 CVE-2019-17531 og CVE-2019-17267] |
libbusiness-hours-perl | Anvender eksplicit årstal på fire cifre, retter opbygnings- og anvendelsesproblemer |
libclamunrar | Ny stabil opstrømsudgave; tilføjer en ikke-versioneret metapakke |
libdbi | Udkommenterer igen kaldet _error_handler(), retter problemer med consumers |
libembperl-perl | Håndterer fejlsider fra Apache >= 2.4.40 |
libexif | Sikkerhedsrettelser [CVE-2016-6328 CVE-2017-7544 CVE-2018-20030 CVE-2020-12767 CVE-2020-0093]; sikkerhedsrettelser [CVE-2020-13112 CVE-2020-13113 CVE-2020-13114]; retter et bufferlæsningsoverløb [CVE-2020-0182] og et overløb ved heltal uden fortegn [CVE-2020-0198] |
libvncserver | Retter heapoverløb [CVE-2019-15690] |
linux | Ny stabil opstrømsudgave; opdaterer ABI til 4.9.0-13 |
linux-latest | Opdatering til kerne-ABI 4.9.0-13 |
mariadb-10.1 | Ny stailb opstrømsudgave; sikkerhedsrettelser [CVE-2020-2752 CVE-2020-2812 CVE-2020-2814] |
megatools | Tilføjer understøttelse af mega.nz's nye linkformat |
mod-gnutls | Undgår udfasede ciphersuites i testsuite; retter testfejl når kombineret med Apaches rettelse af CVE-2019-10092 |
mongo-tools | Genopbygger mod nyere golang for at samle sikkerhedsrettelser op |
neon27 | Opfatter OpenSSL-relaterede testfejl som ikke-fatale |
nfs-utils | Retter potentiel filoverskrivningssårbarhed [CVE-2019-3689]; overfør ikke hele ejerskabet af /var/lib/nfs til statd-brugeren |
nginx | Retter sårbarhed i forbindelse med fejlsideforespørgselssmugling [CVE-2019-20372] |
node-url-parse | Renser stier og værter før de fortolkes [CVE-2018-3774] |
nvidia-graphics-drivers | Ny stabil opstrømsudgave; ny opstrømsudgave; sikkerhedsrettelser [CVE-2020-5963 CVE-2020-5967] |
pcl | Retter manglende afhængighed af libvtk6-qt-dev |
perl | Retter adskillige regulære udtræk med forbindelse til sikkerhedsproblemer [CVE-2020-10543 CVE-2020-10878 CVE-2020-12723] |
php-horde | Retter sårbarhed i forbindelse med udførelse af skripter på tværs af websteder [CVE-2020-8035] |
php-horde-data | Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8518] |
php-horde-form | Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8866] |
php-horde-gollem | Retter sårbarhed i forbindelse med udførelse af skripter på tværs af websteder i breadcrumb-uddata [CVE-2020-8034] |
php-horde-trean | Retter sårbarhed i forbindelse med autentificeret fjernudførelse af kode [CVE-2020-8865] |
phpmyadmin | Flere sikkerhedsrettelser [CVE-2018-19968 CVE-2018-19970 CVE-2018-7260 CVE-2019-11768 CVE-2019-12616 CVE-2019-6798 CVE-2019-6799 CVE-2020-10802 CVE-2020-10803 CVE-2020-10804 CVE-2020-5504] |
postfix | Ny stabil opstrømsudgave |
proftpd-dfsg | Retter håndtering af SSH_MSG_IGNORE-pakker |
python-icalendar | Retter Python3-afhængigheder |
rails | Retter mulig udførelse af skripter på tværs af websteder gennem Javascript-escapehelper [CVE-2020-5267] |
rake | Retter kommandoindsprøjtningssårbarhed [CVE-2020-8130] |
roundcube | Retter udførelse af skripter på tværs af websteder gennem HTML-meddelelser med ondsindet svg/namespace [CVE-2020-15562] |
ruby-json | Retter sårbarhed i forbindelse med usikker objektoprettelse [CVE-2020-10663] |
ruby2.3 | Retter sårbarhed i forbindelse med usikker objektoprettelse [CVE-2020-10663] |
sendmail | Retter fremfinding af queue runner-kontrolproces i split daemon-tilstand, NOQUEUE: connect from (null), fjernelse af fejl ved anvendelse af BTRFS |
sogo-connector | Ny opstrømsversion, kompatibel med nyere versioner af Thunderbird |
ssvnc | Retter skrivning udenfor grænserne [CVE-2018-20020], uendelig løkke [CVE-2018-20021], ukorrekt initialisering [CVE-2018-20022], potentielt lammelsesangreb [CVE-2018-20024] |
storebackup | Retter mulig rettighedsforøgelsessårbarhed [CVE-2020-7040] |
swt-gtk | Retter manglende afhængighed af libwebkitgtk-1.0-0 |
tinyproxy | Opretter PID-fil før rettighederne til ikke-root-konto smides væk [CVE-2017-11747] |
tzdata | Ny stabil opstrømsudgave |
websockify | Retter manglende afhængighed af python{3,}-pkg-resources |
wpa | Retter omgåelse af PMF-disconnection protection i AP-tilstand [CVE-2019-16275]; retter MAC-tilfældighedsproblem med nogle kort |
xdg-utils | Renser vindues navn før det sendes over D-Bus; håndterer på korrekt vis mapper med navne indeholdende mellemrum; opretter om nødvendigt mappen applications |
xml-security-c | Retter længdeberegning i concat-metoden |
xtrlock | Retter blokering af (nogle) multitouch-enheder når låst [CVE-2016-10894] |
Sikkerhedsopdateringer
Denne revision tilføjer følgende sikkerhedsopdateringer til den gamle stabile udgave. Sikkerhedsteamet har allerede udgivet bulletiner for hver af de nævnte opdateringer:
Fjernede pakker
Følgende pakker er blevet fjernet på grund af omstændigheder uden for vores kontrol:
Pakke | Årsag |
---|---|
certificatepatrol | Ikke kompatibel med nyere versioner af Firefox ESR |
colorediffs-extension | Ikke kompatibel med nyere versioner af Thunderbird |
dynalogin | Afhænging af simpleid som skal fjernes |
enigmail | Ikke kompatibel med nyere versioner af Thunderbird |
firefox-esr | [armel] No longer supported (requires nodejs) |
firefox-esr | [mips mipsel mips64el] Understøttes ikke længere (kræver nyere rustc) |
getlive | Defekt pga. ændringer af Hotmail |
gplaycli | Defekt pga. ændringer i Google API |
kerneloops | Opstrømstjenste er ikke længere tilgængelig |
libmicrodns | Sikkerhedsproblemer |
libperlspeak-perl | Sikkerhedsproblemer; vedligeholdes ikke |
mathematica-fonts | Afhængig af utilgængeligt downloadsted |
pdns-recursor | Sikkerhedsproblemer; ingen understøttelse |
predictprotein | Afhængig af profphd som skal fjernes |
profphd | Ubrugelig |
quotecolors | Ikke kompatibel med nyere versioner af Thunderbird |
selenium-firefoxdriver | Ikke kompatibel med nyere versioner af Thunderbird |
simpleid | Fungerer ikke med PHP7 |
simpleid-ldap | Afhængig af simpleid som skal fjernes |
torbirdy | Ikke kompatibel med nyere versioner af Thunderbird |
weboob | Vedligeholdes ikke; allerede fjernet fra senere udgivelser |
yahoo2mbox | Har været defekt i flere år |
Debian Installer
Installeringsprogrammet er opdateret for at medtage rettelser indført i oldstable, i denne punktopdatering.
URL'er
Den komplette liste over pakker, som er ændret i forbindelse med denne revision:
Den aktuelle gamle stabile distribution:
Foreslåede opdateringer til den gamle stabile distribution:
Oplysninger om den gamle stabile distribution (udgivelsesbemærkninger, fejl, osv.):
Sikkerhedsannonceringer og -oplysninger:
Om Debian
Debian-projektet er en organisation af fri software-udviklere som frivilligt bidrager med tid og kræfter, til at fremstille det helt frie styresystem Debian GNU/Linux.
Kontaktoplysninger
For flere oplysninger, besøg Debians websider på https://www.debian.org/ eller send e-mail på engelsk til <press@debian.org> eller kontakt holdet bag den stabile udgave på <debian-release@debian.org>.