Debian 10 aktualisiert: 10.7 veröffentlicht
5. Dezember 2020
Das Debian-Projekt freut sich, die siebte Aktualisierung seiner
Stable-Veröffentlichung Debian 10 (Codename Buster
)
ankündigen zu dürfen. Diese Aktualisierung behebt hauptsächlich
Sicherheitslücken der Stable-Veröffentlichung sowie einige ernste Probleme.
Für sie sind bereits separate Sicherheitsankündigungen veröffentlicht worden, auf
die, wenn möglich, verwiesen wird.
Bitte beachten Sie, dass diese Aktualisierung keine neue Version von Debian 10 darstellt, sondern nur einige der enthaltenen Pakete auffrischt. Es gibt keinen Grund, Buster-Medien zu entsorgen, da deren Pakete nach der Installation mit Hilfe eines aktuellen Debian-Spiegelservers auf den neuesten Stand gebracht werden können.
Wer häufig Aktualisierungen von security.debian.org herunterlädt, wird nicht viele Pakete auf den neuesten Stand bringen müssen. Die meisten dieser Aktualisierungen sind in dieser Revision enthalten.
Neue Installationsabbilder können bald von den gewohnten Orten bezogen werden.
Vorhandene Installationen können auf diese Revision angehoben werden, indem das Paketverwaltungssystem auf einen der vielen HTTP-Spiegel von Debian verwiesen wird. Eine vollständige Liste der Spiegelserver ist verfügbar unter:
Verschiedene Fehlerkorrekturen
Diese Stable-Veröffentlichung nimmt an den folgenden Paketen einige wichtige Korrekturen vor:
| Paket | Grund |
|---|---|
| base-files | Aktualisierung auf die Zwischenveröffentlichung |
| choose-mirror | Liste der Spiegelserver aktualisiert |
| cups | Ungültiges free bei 'printer-alert' behoben |
| dav4tbsync | Neue Veröffentlichung der Originalautoren, kompatibel mit neueren Thunderbird-Versionen |
| debian-installer | Linux-Kernel-ABI 4.19.0-13 verwenden; grub2 zu Built-Using hinzugefügt |
| debian-installer-netboot-images | Neukompilierung gegen proposed-updates |
| distro-info-data | Ubuntu 21.04, Hirsute Hippo, hinzugefügt |
| dpdk | Neue stabile Veröffentlichung der Originalautoren; Problem mit Code-Fernausführung behoben [CVE-2020-14374], außerdem TOCTOU-Probleme [CVE-2020-14375], Pufferüberlauf [CVE-2020-14376], übermäßiges Lesen des Puffers (buffer over-read) [CVE-2020-14377] und Ganzzahlüberlauf [CVE-2020-14377]; armhf-Kompilierung mit NEON überarbeitet |
| eas4tbsync | Neue Veröffentlichung der Originalautoren, kompatibel mit neueren Thunderbird-Versionen |
| edk2 | Ganzzahlüberlauf beim DxeImageVerificationHandler beseitigt [CVE-2019-14562] |
| efivar | Unterstützung für NVMe-Fabrics und NVMe-Subsystem-Geräte hinzugefügt; uninitialisierte Variable in parse_acpi_root korrigiert, um möglichen Speicherzugriffsfehler zu beheben |
| enigmail | Migrationsassistenten für Thunderbirds eingebaute GPG-Unterstützung eingeführt |
| espeak | Verwendung von espeak mit mbrola-fr4 für den Fall angepasst, dass mbrola-fr1 nicht installiert ist |
| fastd | Speicherleck behoben, das auftritt, wenn zu viele ungültige Pakete eingegangen sind [CVE-2020-27638] |
| fish | Sicherstellen, dass die TTY-Optionen beim Verlassen wiederhergestellt werden |
| freecol | Anfälligkeit für externe XML-Entitäten behoben [CVE-2018-1000825] |
| gajim-omemo | 12-Byte-IV verwenden, um die Kompatibilität mit iOS-Clients zu verbessern |
| glances | Standardmäßig nur bei Localhost lauschen |
| iptables-persistent | Laden von Kernel-Modulen nicht erzwingen; Regel-Leerungs-Logik überarbeitet |
| lacme | Statt der hartkodierten die von den Originalautoren gelieferte Zertifikatskette benutzen, um die Unterstützung von neuen Let's-Encrypt-Wurzel- und Zwischenzertifikaten zu erleichtern |
| libdatetime-timezone-perl | Enthaltene Daten auf tzdata 2020d aktualisiert |
| libimobiledevice | Teilweise Unterstützung für iOS 14 hinzugefügt |
| libjpeg-turbo | Dienstblockade [CVE-2018-1152], übermäßiges Lesen des Puffers (buffer over-read) [CVE-2018-14498], mögliche Fernausführung von Code [CVE-2019-2201] und übermäßiges Lesen des Puffers (buffer over-read) [CVE-2020-13790] behoben |
| libxml2 | Dienstblockade [CVE-2017-18258], Nullzeiger-Dereferenzierung [CVE-2018-14404], Endlosschleife [CVE-2018-14567], Speicherleck [CVE-2019-19956 CVE-2019-20388], Endlosschleife [CVE-2020-7595] behoben |
| linux | Neue stabile Veröffentlichung der Originalautoren |
| linux-latest | Aktualisierung auf 4.19.0-13er Kernel-ABI |
| linux-signed-amd64 | Neue stabile Veröffentlichung der Originalautoren |
| linux-signed-arm64 | Neue stabile Veröffentlichung der Originalautoren |
| linux-signed-i386 | Neue stabile Veröffentlichung der Originalautoren |
| lmod | Architektur auf anyumgestellt - nötig, weil LUA_PATH und LUA_CPATH während der Kompilierung ermittelt werden |
| mariadb-10.3 | Neue stabile Veröffentlichung der Originalautoren; Sicherheitskorrekturen [CVE-2020-14765 CVE-2020-14776 CVE-2020-14789 CVE-2020-14812 CVE-2020-28912] |
| mutt | Sichergehen, dass die IMAP-Verbindung nach einem Verbindungsfehler geschlossen wird [CVE-2020-28896] |
| neomutt | Sichergehen, dass die IMAP-Verbindung nach einem Verbindungsfehler geschlossen wird [CVE-2020-28896] |
| node-object-path | Prototype-Pollution in set() behoben [CVE-2020-15256] |
| node-pathval | Prototype-Pollution behoben [CVE-2020-7751] |
| okular | Codeausführung via Aktionsverküpfung behoben [CVE-2020-9359] |
| openjdk-11 | Neue Veröffentlichung der Originalautoren; JVM-Absturz behoben |
| partman-auto | Größen von /boot in den meisten Rezepten auf Werte zwischen 512 und 768M angehoben, um besser mit Kernel-ABI-Änderungen und größeren initramfsen umgehen zu können; RAM-Größe, welche für die Berechnung der Swap-Partition herangezogen wird, deckeln, um Probleme auf Maschinen, die mehr RAM als Festspeicher haben, zu lösen |
| pcaudiolib | Unterdrückungslatenz auf 10ms deckeln |
| plinth | Apache: mod_status deaktiviert [CVE-2020-25073] |
| puma | HTTP-Injektions- und HTTP-Schmuggel-Problme behoben [CVE-2020-5247 CVE-2020-5249 CVE-2020-11076 CVE-2020-11077] |
| ros-ros-comm | Ganzzahlüberlauf behoben [CVE-2020-16124] |
| ruby2.5 | Potenzielle Anfälligkeit für HTTP-Anfrageschmuggel in WEBrick behoben [CVE-2020-25613] |
| sleuthkit | Stapelpufferüberlauf in yaffsfs_istat behoben [CVE-2020-10232] |
| sqlite3 | Teilung durch null [CVE-2019-16168], Nullzeiger-Dereferenzierung [CVE-2019-19923], Falschbehandlung von NULL-Pfadnamen während einer Aktualisierung eines ZIP-Archivs [CVE-2019-19925], Falschbehandlung von NULen in Dateinamen [CVE-2019-19959], möglichen Absturz (WITH-Stack-Unwinding) [CVE-2019-20218], Ganzzahlüberlauf [CVE-2020-13434], Speicherzugriffsfehler [CVE-2020-13435], use-after-free-Problem [CVE-2020-13630], Nullzeiger-Dereferenzierung [CVE-2020-13632], Heap-Überlauf [CVE-2020-15358] behoben |
| systemd | Basic/cap-list: numerische Leistungsmerkmale auswerten/ausgeben; neue Leistungsmerkmale des Linux-Kernel 5.8 erkennen; networkd: keine MAC für Brückengeräte erzeugen |
| tbsync | Neue Veröffentlichung der Originalautoren, kompatibel mit neueren Thunderbird-Versionen |
| tcpdump | Problem mit nicht vertrauenswürdigen Eingaben in der PPP-Ausgabe behoben [CVE-2020-8037] |
| tigervnc | Zeritifkatsausnahmen im nativen und Java-VNC-Betrachter ordentlich speichern [CVE-2020-26117] |
| tor | Neue stabile Veröffentlichung der Originalautoren; multiple security, usability, portability, and reliability fixes |
| transmission | Speicherleck behoben |
| tzdata | Neue Veröffentlichung der Originalautoren |
| ublock-origin | Neue Version der Originalautoren; Plugin in Browser-spezifische Pakete aufgeteilt |
| vips | Verwendung nicht initialisierter Variablen unterbunden [CVE-2020-20739] |
Sicherheitsaktualisierungen
Diese Revision fügt der Stable-Veröffentlichung die folgenden Sicherheitsaktualisierungen hinzu. Das Sicherheitsteam hat bereits für jede davon eine Ankündigung veröffentlicht:
Entfernte Pakete
Die folgenden Pakete wurden wegen Umständen entfernt, die außerhalb unserer Kontrolle liegen:
| Paket | Grund |
|---|---|
| freshplayerplugin | Nicht mehr von den Browsern unterstützt; Entwicklung durch Originalautoren eingestellt |
| nostalgy | Inkompatibel mit neueren Thunderbird-Versionen |
| sieve-extension | Inkompatibel mit neueren Thunderbird-Versionen |
Debian-Installer
Der Installer wurde neu gebaut, damit er die Sicherheitskorrekturen enthält, die durch diese Zwischenveröffentlichung in Stable eingeflossen sind.
URLs
Die vollständige Liste von Paketen, die sich mit dieser Revision geändert haben:
Die derzeitige Stable-Distribution:
Vorgeschlagene Aktualisierungen für die Stable-Distribution:
Informationen zur Stable-Distribution (Veröffentlichungshinweise, Errata usw.):
Sicherheitsankündigungen und -informationen:
Über Debian
Das Debian-Projekt ist ein Zusammenschluss von Entwicklern Freier Software, die ihre Zeit und Bemühungen einbringen, um das vollständig freie Betriebssystem Debian zu erschaffen.
Kontaktinformationen
Für weitere Informationen besuchen Sie bitte die Debian-Webseiten unter https://www.debian.org/, schicken eine E-Mail (auf Englisch) an <press@debian.org>, oder kontaktieren das Stable-Release-Team (auch auf Englisch) über <debian-release@lists.debian.org>.