Debian 10 actualizado: publicada la versión 10.5

1 de agosto de 2020

El proyecto Debian se complace en anunciar la quinta actualización de su distribución «estable» Debian 10 (nombre en clave buster). Esta versión añade, principalmente, correcciones de problemas de seguridad junto con unos pocos ajustes para problemas graves. Los avisos de seguridad se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.

Esta versión también aborda el aviso de seguridad de Debian: DSA-4735-1 grub2 -- actualización de seguridad, que describe varios problemas CVE en relación con la vulnerabilidad de arranque seguro UEFI con GRUB2: 'BootHole'.

Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian 10, solo actualiza algunos de los paquetes incluidos. No es necesario deshacerse de los viejos medios de instalación de buster. Tras la instalación de Debian, los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian actualizada.

Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.

Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.

Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:

https://www.debian.org/mirror/list

Corrección de fallos varios

Esta actualización de la distribución «estable» añade unas pocas correcciones importantes a los paquetes siguientes:

Paquete Motivo
appstream-glib Corrige fallos de compilación en compilaciones realizadas de 2020 en adelante
asunder Utiliza gnudb en lugar de freedb por omisión
b43-fwcutter Se asegura de que la eliminación va bien con configuraciones regionales distintas de English; no falla la eliminación si algunos ficheros no existen ya; corrige dependencias con pciutils y con ca-certificates, que faltaban
balsa Proporciona identidad del servidor al validar certificados, permitiendo la validación satisfactoria cuando se utiliza el parche de glib-networking para CVE-2020-13645
base-files Actualizado para esta versión
batik Corrige falsificación de solicitudes en el lado servidor («server-side request forgery») mediante atributos xlink:href [CVE-2019-17566]
borgbackup Corrige fallo de corrupción de índice que conduce a pérdida de datos
bundler Actualiza la versión mínima requerida de ruby-molinillo
c-icap-modules Añade soporte de ClamAV 0.102
cacti Corrige problema por el que se rechazaban marcas de tiempo («timestamps») UNIX posteriores al 13 de septiembre de 2020 como inicio/fin de gráficos; corrige ejecución de código remoto [CVE-2020-7237], ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-7106], problema de CSRF [CVE-2020-13231]; la inhabilitación de una cuenta de usuario no invalida los permisos inmediatamente [CVE-2020-13230]
calamares-settings-debian Habilita el módulo displaymanager, corrigiendo opciones de autologin; usa xdg-user-dir para especificar el nombre de directorio del escritorio
clamav Nueva versión del proyecto original; correcciones de seguridad [CVE-2020-3327 CVE-2020-3341 CVE-2020-3350 CVE-2020-3327 CVE-2020-3481]
cloud-init Nueva versión del proyecto original
commons-configuration2 Evita la creación de objetos durante la carga de ficheros YAML [CVE-2020-1953]
confget Corrige la gestión que hace el módulo Python de valores que contienen =
dbus Nueva versión «estable» del proyecto original; evita un problema de denegación de servicio [CVE-2020-12049]; evita «uso tras liberar» si dos nombres de usuario tienen el mismo uid
debian-edu-config Corrige pérdida de dirección IPv4 asignada dinámicamente
debian-installer Actualiza la ABI de Linux a la 4.19.0-10
debian-installer-netboot-images Recompilado contra proposed-updates
debian-ports-archive-keyring Retrasa un año la fecha de expiración de la clave 2020 (84C573CD4E1AFD6C); añade la clave Debian Ports Archive Automatic Signing Key (2021); mueve la clave 2018 (ID: 06AED62430CB581C) al anillo de claves eliminadas
debian-security-support Actualiza el estado de soporte de varios paquetes
dpdk Nueva versión del proyecto original
exiv2 Ajusta parche de seguridad demasiado restrictivo [CVE-2018-10958 y CVE-2018-10999]; corrige problema de denegación de servicio [CVE-2018-16336]
fdroidserver Corrige la validación de la dirección de Litecoin
file-roller Corrección de seguridad [CVE-2020-11736]
freerdp2 Corrige inicios de sesión con tarjeta inteligente; correcciones de seguridad [CVE-2020-11521 CVE-2020-11522 CVE-2020-11523 CVE-2020-11524 CVE-2020-11525 CVE-2020-11526]
fwupd Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian
fwupd-amd64-signed Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian
fwupd-arm64-signed Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian
fwupd-armhf-signed Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian
fwupd-i386-signed Nueva versión del proyecto original; corrige posible problema de verificación de firmas [CVE-2020-10759]; usa nuevas claves para firmar de Debian
fwupdate Usa nuevas claves para firmar de Debian
fwupdate-amd64-signed Usa nuevas claves para firmar de Debian
fwupdate-arm64-signed Usa nuevas claves para firmar de Debian
fwupdate-armhf-signed Usa nuevas claves para firmar de Debian
fwupdate-i386-signed Usa nuevas claves para firmar de Debian
gist Evita API de autorización discontinuada («deprecated»)
glib-networking Devuelve error de identidad errónea si identity no tiene valor [CVE-2020-13645]; rompe balsa anterior a la 2.5.6-2+deb10u1 porque la corrección para CVE-2020-13645 rompe la verificación de certificados en balsa
gnutls28 Corrige errores de reanudación TL1.2; corrige filtración de contenido de la memoria; gestiona tickets de sesión de longitud cero, corrigiendo errores de conexión a algunos proveedores de alojamiento («hosting providers») grandes en sesiones TLS1.2; corrige error de verificación con cadenas alternativas
intel-microcode Devuelve algunos microcódigos a versiones previas, como solución provisional a cuelgues durante el arranque en Skylake-U/Y y Skylake Xeon E3
jackson-databind Corrige varios problemas de seguridad que afectan a BeanDeserializerFactory [CVE-2020-9548 CVE-2020-9547 CVE-2020-9546 CVE-2020-8840 CVE-2020-14195 CVE-2020-14062 CVE-2020-14061 CVE-2020-14060 CVE-2020-11620 CVE-2020-11619 CVE-2020-11113 CVE-2020-11112 CVE-2020-11111 CVE-2020-10969 CVE-2020-10968 CVE-2020-10673 CVE-2020-10672 CVE-2019-20330 CVE-2019-17531 and CVE-2019-17267]
jameica Añade mckoisqldb al classpath, permitiendo el uso de la extensión («plugin») SynTAX
jigdo Corrige el soporte de HTTPS en jigdo-lite y en jigdo-mirror
ksh Corrige problema de restricción de variables de entorno [CVE-2019-14868]
lemonldap-ng Corrige regresión en la configuración de nginx introducida por la corrección para CVE-2019-19791
libapache-mod-jk Renombra fichero de configuración de Apache de manera que pueda ser habilitado e inhabilitado automáticamente
libclamunrar Nueva versión «estable» del proyecto original; añade un metapaquete sin número de versión
libembperl-perl Trata páginas de error de Apache >= 2.4.40
libexif Correcciones de seguridad [CVE-2020-12767 CVE-2020-0093 CVE-2020-13112 CVE-2020-13113 CVE-2020-13114]; corrige desbordamiento de memoria [CVE-2020-0182] y desbordamiento de entero [CVE-2020-0198]
libinput Quirks: añade atributo de integración de «trackpoint»
libntlm Corrige desbordamiento de memoria [CVE-2019-17455]
libpam-radius-auth Corrige desbordamiento de memoria en campo contraseña [CVE-2015-9542]
libunwind Corrige violación de acceso en mips; habilita manualmente soporte de excepciones C++ solo en i386 y amd64
libyang Corrige caída por corrupción de caché, CVE-2019-19333, CVE-2019-19334
linux Nueva versión «estable» del proyecto original
linux-latest Actualizado para la ABI del núcleo 4.19.0-10
linux-signed-amd64 Nueva versión «estable» del proyecto original
linux-signed-arm64 Nueva versión «estable» del proyecto original
linux-signed-i386 Nueva versión «estable» del proyecto original
lirc Corrige gestión de ficheros de configuración
mailutils maidag: reduce privilegios de setuid para todas las operaciones de entrega excepto mda [CVE-2019-18862]
mariadb-10.3 Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-2752 CVE-2020-2760 CVE-2020-2812 CVE-2020-2814 CVE-2020-13249]; corrige regresión en la detección de ZSTD en RocksDB
mod-gnutls Corrige una posible violación de acceso en un «handshake» TLS fallido; corrige fallos de pruebas
multipath-tools kpartx: usa la ruta de partx correcta en regla udev
mutt No comprueba cifrado de IMAP PREAUTH si está en uso $tunnel
mydumper Enlazado con libm
nfs-utils statd: toma user-id de /var/lib/nfs/sm [CVE-2019-3689]; no hace que el propietario de /var/lib/nfs sea statd
nginx Corrige vulnerabilidad de «contrabando» de petición («request smuggling») de páginas de error [CVE-2019-20372]
nmap Actualiza tamaño de clave por omisión a 2048 bits
node-dot-prop Corrige regresión introducida por la corrección para CVE-2020-8116
node-handlebars Prohíbe llamar directamente a helperMissing y a blockHelperMissing [CVE-2019-19919]
node-minimist Corrige contaminación de prototipo [CVE-2020-7598]
nvidia-graphics-drivers Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-5963 CVE-2020-5967]
nvidia-graphics-drivers-legacy-390xx Nueva versión «estable» del proyecto original; correcciones de seguridad [CVE-2020-5963 CVE-2020-5967]
openstack-debian-images Instala resolvconf si se instala cloud-init
pagekite Evita problemas con la expiración de los certificados SSL incluidos utilizando los del paquete ca-certificates
pdfchain Corrige caída en el arranque
perl Corrige varios problemas de seguridad relacionados con expresiones regulares [CVE-2020-10543 CVE-2020-10878 CVE-2020-12723]
php-horde Corrige vulnerabilidad de ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-8035]
php-horde-gollem Corrige vulnerabilidad de ejecución de scripts entre sitios («cross-site scripting») en la salida de breadcrumb [CVE-2020-8034]
pillow Corrige varios problemas de lectura fuera de límites [CVE-2020-11538 CVE-2020-10378 CVE-2020-10177]
policyd-rate-limit Corrige problemas en la contabilidad debidos a la reutilización de sockets
postfix Nueva versión «estable» del proyecto original; corrige violación de acceso en el rol cliente de tlsproxy cuando el rol servidor está inhabilitado; corrige el valor por omisión de maillog_file_rotate_suffix utilizaba el minuto en lugar del mes; corrige varios problemas relacionados con TLS; correcciones de README.Debian
python-markdown2 Corrige problema de ejecución de scripts entre sitios («cross-site scripting») [CVE-2020-11888]
python3.7 Evita bucle infinito al leer, utilizando el módulo tarfile, ficheros TAR preparados de una manera determinada [CVE-2019-20907]; soluciona colisiones de hash en IPv4Interface y en IPv6Interface [CVE-2020-14422]; corrige problema de denegación de servicio en urllib.request.AbstractBasicAuthHandler [CVE-2020-8492]
qdirstat Corrige grabación de categorías MIME configuradas por el usuario
raspi3-firmware Corrige error tipográfico que podría dar lugar a sistemas que no arrancan
resource-agents IPsrcaddr: hace que proto sea opcional para corregir una regresión cuando se usa sin NetworkManager
ruby-json Corrige vulnerabilidad de creación insegura de objetos [CVE-2020-10663]
shim Usa nuevas claves para firmar de Debian
shim-helpers-amd64-signed Usa nuevas claves para firmar de Debian
shim-helpers-arm64-signed Usa nuevas claves para firmar de Debian
shim-helpers-i386-signed Usa nuevas claves para firmar de Debian
speedtest-cli Pasa las cabeceras correctas para corregir medida de la velocidad de subida
ssvnc Corrige escritura fuera de límites [CVE-2018-20020], bucle infinito [CVE-2018-20021], inicialización errónea [CVE-2018-20022], potencial denegación de servicio [CVE-2018-20024]
storebackup Corrige posible vulnerabilidad de elevación de privilegios [CVE-2020-7040]
suricata Corrige reducción de privilegios en modo de ejecución nflog
tigervnc No usa libunwind en armel, armhf o arm64
transmission Corrige posible problema de denegación de servicio [CVE-2018-10756]
wav2cdr Usa tipos de entero de tamaño fijo de C99 para corregir aserción en tiempo de ejecución en arquitecturas de 64 bits distintas de amd64 y alpha
zipios++ Corrección de seguridad [CVE-2019-13453]

Actualizaciones de seguridad

Esta versión añade las siguientes actualizaciones de seguridad a la distribución «estable». El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:

ID del aviso Paquete
DSA-4626 php7.3
DSA-4674 roundcube
DSA-4675 graphicsmagick
DSA-4676 salt
DSA-4677 wordpress
DSA-4678 firefox-esr
DSA-4679 keystone
DSA-4680 tomcat9
DSA-4681 webkit2gtk
DSA-4682 squid
DSA-4683 thunderbird
DSA-4684 libreswan
DSA-4685 apt
DSA-4686 apache-log4j1.2
DSA-4687 exim4
DSA-4688 dpdk
DSA-4689 bind9
DSA-4690 dovecot
DSA-4691 pdns-recursor
DSA-4692 netqmail
DSA-4694 unbound
DSA-4695 firefox-esr
DSA-4696 nodejs
DSA-4697 gnutls28
DSA-4699 linux-signed-amd64
DSA-4699 linux-signed-arm64
DSA-4699 linux-signed-i386
DSA-4699 linux
DSA-4700 roundcube
DSA-4701 intel-microcode
DSA-4702 thunderbird
DSA-4704 vlc
DSA-4705 python-django
DSA-4707 mutt
DSA-4708 neomutt
DSA-4709 wordpress
DSA-4710 trafficserver
DSA-4711 coturn
DSA-4712 imagemagick
DSA-4713 firefox-esr
DSA-4714 chromium
DSA-4716 docker.io
DSA-4718 thunderbird
DSA-4719 php7.3
DSA-4720 roundcube
DSA-4721 ruby2.5
DSA-4722 ffmpeg
DSA-4723 xen
DSA-4724 webkit2gtk
DSA-4725 evolution-data-server
DSA-4726 nss
DSA-4727 tomcat9
DSA-4728 qemu
DSA-4729 libopenmpt
DSA-4730 ruby-sanitize
DSA-4731 redis
DSA-4732 squid
DSA-4733 qemu
DSA-4735 grub-efi-amd64-signed
DSA-4735 grub-efi-arm64-signed
DSA-4735 grub-efi-ia32-signed
DSA-4735 grub2

Paquetes eliminados

Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:

Paquete Motivo
golang-github-unknwon-cae Problemas de seguridad; sin desarrollo activo
janus No se puede soportar en «estable»
mathematica-fonts Depende de una ubicación de descargas no disponible
matrix-synapse Problemas de seguridad; no se puede soportar
selenium-firefoxdriver Incompatible con versiones más recientes de Firefox ESR

Instalador de Debian

Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «estable».

URL

Las listas completas de paquetes que han cambiado en esta versión:

http://ftp.debian.org/debian/dists/buster/ChangeLog

La distribución «estable» actual:

http://ftp.debian.org/debian/dists/stable/

Actualizaciones propuestas a la distribución «estable»:

http://ftp.debian.org/debian/dists/proposed-updates

Información sobre la distribución «estable» (notas de publicación, erratas, etc.):

https://www.debian.org/releases/stable/

Información y anuncios de seguridad:

https://www.debian.org/security/

Acerca de Debian

El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.

Información de contacto

Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.