Debian 10 actualizado: publicada la versión 10.5
1 de agosto de 2020
El proyecto Debian se complace en anunciar la quinta actualización de su
distribución «estable» Debian 10 (nombre en clave buster
).
Esta versión añade, principalmente, correcciones de problemas de seguridad
junto con unos pocos ajustes para problemas graves. Los avisos de seguridad
se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.
Esta versión también aborda el aviso de seguridad de Debian: DSA-4735-1 grub2 -- actualización de seguridad, que describe varios problemas CVE en relación con la vulnerabilidad de arranque seguro UEFI con GRUB2: 'BootHole'.
Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian
10, solo actualiza algunos de los paquetes incluidos. No es
necesario deshacerse de los viejos medios de instalación de buster
. Tras la instalación de Debian,
los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian
actualizada.
Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.
Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.
Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:
Corrección de fallos varios
Esta actualización de la distribución «estable» añade unas pocas correcciones importantes a los paquetes siguientes:
Paquete | Motivo |
---|---|
appstream-glib | Corrige fallos de compilación en compilaciones realizadas de 2020 en adelante |
asunder | Utiliza gnudb en lugar de freedb por omisión |
b43-fwcutter | Se asegura de que la eliminación va bien con configuraciones regionales distintas de English; no falla la eliminación si algunos ficheros no existen ya; corrige dependencias con pciutils y con ca-certificates, que faltaban |
balsa | Proporciona identidad del servidor al validar certificados, permitiendo la validación satisfactoria cuando se utiliza el parche de glib-networking para CVE-2020-13645 |
base-files | Actualizado para esta versión |
batik | Corrige falsificación de solicitudes en el lado servidor («server-side request forgery») mediante atributos xlink:href [CVE-2019-17566] |
borgbackup | Corrige fallo de corrupción de índice que conduce a pérdida de datos |
bundler | Actualiza la versión mínima requerida de ruby-molinillo |
c-icap-modules | Añade soporte de ClamAV 0.102 |
cacti | Corrige problema por el que se rechazaban marcas de tiempo («timestamps») UNIX posteriores al 13 de septiembre de 2020 como inicio/fin de gráficos; corrige ejecución de código remoto [CVE-2020-7237], ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-7106], problema de CSRF [CVE-2020-13231]; la inhabilitación de una cuenta de usuario no invalida los permisos inmediatamente [CVE-2020-13230] |
calamares-settings-debian | Habilita el módulo displaymanager, corrigiendo opciones de autologin; usa xdg-user-dir para especificar el nombre de directorio del escritorio |
clamav | Nueva versión del proyecto original; correcciones de seguridad [CVE-2020-3327 CVE-2020-3341 CVE-2020-3350 CVE-2020-3327 CVE-2020-3481] |
cloud-init | Nueva versión del proyecto original |
commons-configuration2 | Evita la creación de objetos durante la carga de ficheros YAML [CVE-2020-1953] |
confget | Corrige la gestión que hace el módulo Python de valores que contienen = |
dbus | Nueva versión «estable» del proyecto original; evita un problema de denegación de servicio [CVE-2020-12049]; evita «uso tras liberar» si dos nombres de usuario tienen el mismo uid |
debian-edu-config | Corrige pérdida de dirección IPv4 asignada dinámicamente |
debian-installer | Actualiza la ABI de Linux a la 4.19.0-10 |
debian-installer-netboot-images | Recompilado contra proposed-updates |
debian-ports-archive-keyring | Retrasa un año la fecha de expiración de la clave 2020 (84C573CD4E1AFD6C); añade la clave Debian Ports Archive Automatic Signing Key (2021); mueve la clave 2018 (ID: 06AED62430CB581C) al anillo de claves eliminadas |
debian-security-support | Actualiza el estado de soporte de varios paquetes |
dpdk | Nueva versión del proyecto original |
exiv2 | Ajusta parche de seguridad demasiado restrictivo [CVE-2018-10958 y CVE-2018-10999]; corrige problema de denegación de servicio [CVE-2018-16336] |
fdroidserver | Corrige la validación de la dirección de Litecoin |
file-roller | Corrección de seguridad [CVE-2020-11736] |
freerdp2 | Corrige inicios de sesión con tarjeta inteligente; correcciones de seguridad [CVE-2020-11521 CVE-2020-11522 CVE-2020-11523 CVE-2020-11524 CVE-2020-11525 CVE-2020-11526] |
fwupd | Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian |
fwupd-amd64-signed | Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian |
fwupd-arm64-signed | Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian |
fwupd-armhf-signed | Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian |
fwupd-i386-signed | Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian |
fwupdate | Usa nuevas claves para firmar de Debian |
fwupdate-amd64-signed | Usa nuevas claves para firmar de Debian |
fwupdate-arm64-signed | Usa nuevas claves para firmar de Debian |
fwupdate-armhf-signed | Usa nuevas claves para firmar de Debian |
fwupdate-i386-signed | Usa nuevas claves para firmar de Debian |
gist | Evita API de autorización discontinuada («deprecated») |
glib-networking | Devuelve error de identidad errónea si identity no tiene valor [CVE-2020-13645]; rompe balsa anterior a la 2.5.6-2+deb10u1 porque la corrección para CVE-2020-13645 rompe la verificación de certificados en balsa |
gnutls28 | Corrige errores de reanudación TL1.2; corrige filtración de contenido de la memoria; gestiona tickets de sesión de longitud cero, corrigiendo errores de conexión a algunos proveedores de alojamiento («hosting providers») grandes en sesiones TLS1.2; corrige error de verificación con cadenas alternativas |
intel-microcode | Devuelve algunos microcódigos a versiones previas, como solución provisional a cuelgues durante el arranque en Skylake-U/Y y Skylake Xeon E3 |
jackson-databind | Corrige varios problemas de seguridad que afectan a BeanDeserializerFactory [CVE-2020-9548 CVE-2020-9547 CVE-2020-9546 CVE-2020-8840 CVE-2020-14195 CVE-2020-14062 CVE-2020-14061 CVE-2020-14060 CVE-2020-11620 CVE-2020-11619 CVE-2020-11113 CVE-2020-11112 CVE-2020-11111 CVE-2020-10969 CVE-2020-10968 CVE-2020-10673 CVE-2020-10672 CVE-2019-20330 CVE-2019-17531 and CVE-2019-17267] |
jameica | Añade mckoisqldb al classpath, permitiendo el uso de la extensión («plugin») SynTAX |
jigdo | Corrige el soporte de HTTPS en jigdo-lite y en jigdo-mirror |
ksh | Corrige problema de restricción de variables de entorno [CVE-2019-14868] |
lemonldap-ng | Corrige regresión en la configuración de nginx introducida por la corrección para CVE-2019-19791 |
libapache-mod-jk | Renombra fichero de configuración de Apache de manera que pueda ser habilitado e inhabilitado automáticamente |
libclamunrar | Nueva versión «estable» del proyecto original; añade un metapaquete sin número de versión |
libembperl-perl | Trata páginas de error de Apache >= 2.4.40 |
libexif | Correcciones de seguridad [CVE-2020-12767 CVE-2020-0093 CVE-2020-13112 CVE-2020-13113 CVE-2020-13114]; corrige desbordamiento de memoria [CVE-2020-0182] y desbordamiento de entero [CVE-2020-0198] |
libinput | Quirks: añade atributo de integración de «trackpoint» |
libntlm | Corrige desbordamiento de memoria [CVE-2019-17455] |
libpam-radius-auth | Corrige desbordamiento de memoria en campo contraseña [CVE-2015-9542] |
libunwind | Corrige violación de acceso en mips; habilita manualmente soporte de excepciones C++ solo en i386 y amd64 |
libyang | Corrige caída por corrupción de caché, CVE-2019-19333, CVE-2019-19334 |
linux | Nueva versión «estable» del proyecto original |
linux-latest | Actualizado para la ABI del núcleo 4.19.0-10 |
linux-signed-amd64 | Nueva versión «estable» del proyecto original |
linux-signed-arm64 | Nueva versión «estable» del proyecto original |
linux-signed-i386 | Nueva versión «estable» del proyecto original |
lirc | Corrige gestión de ficheros de configuración |
mailutils | maidag: reduce privilegios de setuid para todas las operaciones de entrega excepto mda [CVE-2019-18862] |
mariadb-10.3 | Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-2752 CVE-2020-2760 CVE-2020-2812 CVE-2020-2814 CVE-2020-13249]; corrige regresión en la detección de ZSTD en RocksDB |
mod-gnutls | Corrige una posible violación de acceso en un «handshake» TLS fallido; corrige fallos de pruebas |
multipath-tools | kpartx: usa la ruta de partx correcta en regla udev |
mutt | No comprueba cifrado de IMAP PREAUTH si está en uso $tunnel |
mydumper | Enlazado con libm |
nfs-utils | statd: toma user-id de /var/lib/nfs/sm [CVE-2019-3689]; no hace que el propietario de /var/lib/nfs sea statd |
nginx | Corrige vulnerabilidad de «contrabando» de petición («request smuggling») de páginas de error [CVE-2019-20372] |
nmap | Actualiza tamaño de clave por omisión a 2048 bits |
node-dot-prop | Corrige regresión introducida por la corrección para CVE-2020-8116 |
node-handlebars | Prohíbe llamar directamente a helperMissingy a blockHelperMissing[CVE-2019-19919] |
node-minimist | Corrige contaminación de prototipo [CVE-2020-7598] |
nvidia-graphics-drivers | Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-5963 CVE-2020-5967] |
nvidia-graphics-drivers-legacy-390xx | Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-5963 CVE-2020-5967] |
openstack-debian-images | Instala resolvconf si se instala cloud-init |
pagekite | Evita problemas con la expiración de los certificados SSL incluidos utilizando los del paquete ca-certificates |
pdfchain | Corrige caída en el arranque |
perl | Corrige varios problemas de seguridad relacionados con expresiones regulares [CVE-2020-10543 CVE-2020-10878 CVE-2020-12723] |
php-horde | Corrige vulnerabilidad de ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-8035] |
php-horde-gollem | Corrige vulnerabilidad de ejecución de scripts entre sitios («cross-site scripting») en la salida de breadcrumb [CVE-2020-8034] |
pillow | Corrige varios problemas de lectura fuera de límites [CVE-2020-11538 CVE-2020-10378 CVE-2020-10177] |
policyd-rate-limit | Corrige problemas en la contabilidad debidos a la reutilización de sockets |
postfix | Nueva versión «estable» del proyecto original; corrige violación de acceso en el rol cliente de tlsproxy cuando el rol servidor está inhabilitado; corrige el valor por omisión de maillog_file_rotate_suffix utilizaba el minuto en lugar del mes; corrige varios problemas relacionados con TLS; correcciones de README.Debian |
python-markdown2 | Corrige problema de ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-11888] |
python3.7 | Evita bucle infinito al leer, utilizando el módulo tarfile, ficheros TAR preparados de una manera determinada [CVE-2019-20907]; soluciona colisiones de hash en IPv4Interface y en IPv6Interface [CVE-2020-14422]; corrige problema de denegación de servicio en urllib.request.AbstractBasicAuthHandler [CVE-2020-8492] |
qdirstat | Corrige grabación de categorías MIME configuradas por el usuario |
raspi3-firmware | Corrige error tipográfico que podría dar lugar a sistemas que no arrancan |
resource-agents | IPsrcaddr: hace que protosea opcional para corregir una regresión cuando se usa sin NetworkManager |
ruby-json | Corrige vulnerabilidad de creación insegura de objetos [CVE-2020-10663] |
shim | Usa nuevas claves para firmar de Debian |
shim-helpers-amd64-signed | Usa nuevas claves para firmar de Debian |
shim-helpers-arm64-signed | Usa nuevas claves para firmar de Debian |
shim-helpers-i386-signed | Usa nuevas claves para firmar de Debian |
speedtest-cli | Pasa las cabeceras correctas para corregir medida de la velocidad de subida |
ssvnc | Corrige escritura fuera de límites [CVE-2018-20020], bucle infinito [CVE-2018-20021], inicialización errónea [CVE-2018-20022], potencial denegación de servicio [CVE-2018-20024] |
storebackup | Corrige posible vulnerabilidad de elevación de privilegios [CVE-2020-7040] |
suricata | Corrige reducción de privilegios en modo de ejecución nflog |
tigervnc | No usa libunwind en armel, armhf o arm64 |
transmission | Corrige posible problema de denegación de servicio [CVE-2018-10756] |
wav2cdr | Usa tipos de entero de tamaño fijo de C99 para corregir aserción en tiempo de ejecución en arquitecturas de 64 bits distintas de amd64 y alpha |
zipios++ | Corrección de seguridad [CVE-2019-13453] |
Actualizaciones de seguridad
Esta versión añade las siguientes actualizaciones de seguridad a la distribución «estable». El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:
Paquetes eliminados
Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:
Paquete | Motivo |
---|---|
golang-github-unknwon-cae | Problemas de seguridad; sin desarrollo activo |
janus | No se puede soportar en «estable» |
mathematica-fonts | Depende de una ubicación de descargas no disponible |
matrix-synapse | Problemas de seguridad; no se puede soportar |
selenium-firefoxdriver | Incompatible con versiones más recientes de Firefox ESR |
Instalador de Debian
Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «estable».
URL
Las listas completas de paquetes que han cambiado en esta versión:
La distribución «estable» actual:
Actualizaciones propuestas a la distribución «estable»:
Información sobre la distribución «estable» (notas de publicación, erratas, etc.):
Información y anuncios de seguridad:
Acerca de Debian
El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.
Información de contacto
Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.