Debian 10 actualizado: publicada la versión 10.10

19 de junio de 2021

El proyecto Debian se complace en anunciar la décima actualización de su distribución «estable» Debian 10 (nombre en clave buster). Esta versión añade, principalmente, correcciones de problemas de seguridad junto con unos pocos ajustes para problemas graves. Los avisos de seguridad se han publicado ya de forma independiente, y aquí hacemos referencia a ellos donde corresponde.

Tenga en cuenta que esta actualización no constituye una nueva versión completa de Debian 10, solo actualiza algunos de los paquetes incluidos. No es necesario deshacerse de los viejos medios de instalación de buster. Tras la instalación de Debian, los paquetes instalados pueden pasarse a las nuevas versiones utilizando una réplica Debian actualizada.

Quienes instalen frecuentemente actualizaciones desde security.debian.org no tendrán que actualizar muchos paquetes, y la mayoría de dichas actualizaciones están incluidas en esta nueva versión.

Pronto habrá disponibles nuevas imágenes de instalación en los sitios habituales.

Puede actualizar una instalación existente a esta nueva versión haciendo que el sistema de gestión de paquetes apunte a una de las muchas réplicas HTTP de Debian. En la dirección siguiente puede encontrar el listado completo de réplicas:

https://www.debian.org/mirror/list

Corrección de fallos varios

Esta actualización de la distribución «estable» añade unas pocas correcciones importantes a los paquetes siguientes:

Paquete Motivo
apt Por omisión, acepta cambios de nombre de distribución en repositorios (por ejemplo, stable -> oldstable)
awstats Corrige problemas de acceso a ficheros remotos [CVE-2020-29600 CVE-2020-35176]
base-files Actualiza /etc/debian_version para la versión 10.10
berusky2 Corrige violación de acceso en el arranque
clamav Nueva versión «estable» del proyecto original; corrige problema de denegación de servicio [CVE-2021-1405]
clevis Corrige soporte para los TPM que solo soportan SHA256
connman dnsproxy: comprueba la longitud de las áreas de memoria antes de ejecutar memcpy [CVE-2021-33833]
crmsh Corrige problema de ejecución de código [CVE-2020-35459]
debian-installer Usa la ABI del núcleo Linux 4.19.0-17
debian-installer-netboot-images Recompilado contra proposed-updates
dnspython XFR: no intenta comparar con un valor de expiration no existente
dput-ng Corrige caída del componente de transferencia («uploader») sftp en caso de que el servidor devuelva el error EACCES; actualiza nombres en clave; hace que dcut dm funcione para los y las DD sin permisos de subida; corrige un TypeError en la gestión de excepciones de subidas http; no intenta construir correo electrónico de subida desde el nombre de máquina system en ficheros .dak-commands
eterm Corrige problema de ejecución de código [CVE-2021-33477]
exactimage Corrige compilación con C++11 y OpenEXR 2.5.x
fig2dev Corrige desbordamiento de memoria [CVE-2021-3561]; varias correcciones de la salida; recompila el juego de pruebas durante la compilación y en autopkgtest
fluidsynth Corrige problema de «uso tras liberar» [CVE-2021-28421]
freediameter Corrige problema de denegación de servicio [CVE-2020-6098]
fwupd Corrige la generación de la cadena de caracteres SBAT del vendedor; deja de utilizar dpkg-dev en fwupd.preinst; nueva versión «estable» del proyecto original
fwupd-amd64-signed Sincronizado con fwupd
fwupd-arm64-signed Sincronizado con fwupd
fwupd-armhf-signed Sincronizado con fwupd
fwupd-i386-signed Sincronizado con fwupd
fwupdate Mejora el soporte de SBAT
fwupdate-amd64-signed Sincronizado con fwupdate
fwupdate-arm64-signed Sincronizado con fwupdate
fwupdate-armhf-signed Sincronizado con fwupdate
fwupdate-i386-signed Sincronizado con fwupdate
glib2.0 Corrige varios problemas de desbordamiento de entero [CVE-2021-27218 CVE-2021-27219]; corrige un ataque de enlace simbólico que afecta a file-roller [CVE-2021-28153]
gnutls28 Corrige problema de desreferencia de puntero nulo [CVE-2020-24659]; añade varias mejoras a la reasignación de memoria
golang-github-docker-docker-credential-helpers Corrige problema de «doble liberación» [CVE-2019-1020014]
htmldoc Corrige problemas de desbordamiento de memoria [CVE-2019-19630 CVE-2021-20308]
ipmitool Corrige problemas de desbordamiento de memoria [CVE-2020-5208]
ircii Corrige problema de denegación de servicio [CVE-2021-29376]
isc-dhcp Corrige problema de desbordamiento de memoria [CVE-2021-25217]
isync Rechaza nombres raros de buzones de correo devueltos por IMAP LIST/LSUB [CVE-2021-20247]; corrige la gestión de códigos de respuesta APPENDUID inesperados [CVE-2021-3578]
jackson-databind Corrige problema de expansión de entidad externa [CVE-2020-25649] y varios problemas relacionados con la serialización [CVE-2020-24616 CVE-2020-24750 CVE-2020-35490 CVE-2020-35491 CVE-2020-35728 CVE-2020-36179 CVE-2020-36180 CVE-2020-36181 CVE-2020-36182 CVE-2020-36183 CVE-2020-36184 CVE-2020-36185 CVE-2020-36186 CVE-2020-36187 CVE-2020-36188 CVE-2020-36189 CVE-2021-20190]
klibc malloc: da valor a errno al fallar; corrige varios problemas de desbordamiento [CVE-2021-31873 CVE-2021-31870 CVE-2021-31872]; cpio: corrige posible caída en sistemas de 64 bits [CVE-2021-31871]; {set,long}jmp [s390x]: guarda/restaura los registros de FPU correctos
libbusiness-us-usps-webtools-perl Actualiza a la nueva API US-USPS
libgcrypt20 Corrige cifrado ElGamal débil con claves no generadas por GnuPG/libgcrypt [CVE-2021-33560]
libgetdata Corrige problema de «uso tras liberar» [CVE-2021-20204]
libmateweather Adaptado al cambio de nombre de America/Godthab como America/Nuuk en tzdata
libxml2 Corrige lectura fuera de límites en xmllint [CVE-2020-24977]; corrige problemas de «uso tras liberar» en xmllint [CVE-2021-3516 CVE-2021-3518]; valida UTF8 en xmlEncodeEntities [CVE-2021-3517]; propaga error en xmlParseElementChildrenContentDeclPriv; corrige ataque de expansión exponencial de entidad [CVE-2021-3541]
liferea Corrige compatibilidad con webkit2gtk >= 2.32
linux Nueva versión «estable» del proyecto original; incrementa la ABI a la 17; [rt] Actualizado a la 4.19.193-rt81
linux-latest Actualizado a la ABI 4.19.0-17
linux-signed-amd64 Nueva versión «estable» del proyecto original; incrementa la ABI a la 17; [rt] Actualizado a la 4.19.193-rt81
linux-signed-arm64 Nueva versión «estable» del proyecto original; incrementa la ABI a la 17; [rt] Actualizado a la 4.19.193-rt81
linux-signed-i386 Nueva versión «estable» del proyecto original; incrementa la ABI a la 17; [rt] Actualizado a la 4.19.193-rt81
mariadb-10.3 Nueva versión del proyecto original; correcciones de seguridad [CVE-2021-2154 CVE-2021-2166 CVE-2021-27928]; corrige soporte de Innotop; incluye caching_sha2_password.so
mqtt-client Corrige problema de denegación de servicio [CVE-2019-0222]
mumble Corrige problema de ejecución de código remoto [CVE-2021-27229]
mupdf Corrige problema de «uso tras liberar» [CVE-2020-16600] y problema de «doble liberación» [CVE-2021-3407]
nmap Actualiza la lista de prefijos MAC incluida
node-glob-parent Corrige problema de denegación de servicio con expresiones regulares [CVE-2020-28469]
node-handlebars Corrige problemas de ejecución de código [CVE-2019-20920 CVE-2021-23369]
node-hosted-git-info Corrige problema de denegación de servicio con expresiones regulares [CVE-2021-23362]
node-redis Corrige problema de denegación de servicio con expresiones regulares [CVE-2021-29469]
node-ws Corrige problema de denegación de servicio relacionado con expresiones regulares [CVE-2021-32640]
nvidia-graphics-drivers Corrige vulnerabilidad de control de acceso incorrecto [CVE-2021-1076]
nvidia-graphics-drivers-legacy-390xx Corrige vulnerabilidad de control de acceso incorrecto [CVE-2021-1076]; corrige fallo de instalación en versiones candidatas a definitiva de Linux 5.11
opendmarc Corrige problema de desbordamiento de memoria dinámica («heap») [CVE-2020-12460]
openvpn Corrige problema de cambio ilegal de dirección de cliente (illegal client float) [CVE-2020-11810]; se asegura de que el estado de la clave sea autenticado antes de enviar una respuesta push [CVE-2020-15078]; aumenta la cola de pendientes de listen() a 32
php-horde-text-filter Corrige problema de ejecución de scripts entre sitios («cross-site scripting») [CVE-2021-26929]
plinth Utiliza sesión para verificar el paso de bienvenida en el primer arranque
ruby-websocket-extensions Corrige problema de denegación de servicio [CVE-2020-7663]
rust-rustyline Corrige compilación con rustc más reciente
rxvt-unicode Inactiva la secuencia de escape ESC G Q [CVE-2021-33477]
sabnzbdplus Corrige vulnerabilidad de ejecución de código [CVE-2020-13124]
scrollz Corrige problema de denegación de servicio [CVE-2021-29376]
shim Nueva versión del proyecto original; añade soporte de SBAT; corrige reubicación de binarios en i386; no llama a QueryVariableInfo() en máquinas EFI 1.10 (por ejemplo, Macs Intel antiguos); corrige tratamiento de ignore_db y de user_insecure_mode; añade scripts del responsable del paquete a los paquetes plantilla para gestionar la instalación y eliminación de fbXXX.efi y de mmXXX.efi cuando instalamos/eliminamos los paquetes shim-helpers-$arch-signed; sale limpiamente si se instala en un sistema no EFI; no falla si las llamadas a debconf devuelven errores
shim-helpers-amd64-signed Sincronizado con shim
shim-helpers-arm64-signed Sincronizado con shim
shim-helpers-i386-signed Sincronizado con shim
shim-signed Actualizado para el nuevo shim; corrección de varios fallos en la gestión de postinst y de postrm; proporciona binarios sin firmar para arm64 (consulte NEWS.Debian); sale limpiamente si se instala en un sistema no EFI; no falla si las llamadas a debconf devuelven errores; corrige enlaces a la documentación; compilado contra shim-unsigned 15.4-5~deb10u1; añade dependencia explícita de shim-signed con shim-signed-common
speedtest-cli Gestiona el caso de que ignoreids esté vacío o contenga ids vacíos
tnef Corrige problema de lectura de memoria fuera de límites [CVE-2019-18849]
uim libuim-data: copia Rompe de uim-data, corrigiendo algunos escenarios de actualización
user-mode-linux Recompilado contra el núcleo Linux 4.19.194-1
velocity Corrige problema de potencial ejecución de código arbitrario [CVE-2020-13936]
wml Corrige regresión en el tratamiento de Unicode
xfce4-weather-plugin Cambia a la API met.no versión 2.0

Actualizaciones de seguridad

Esta versión añade las siguientes actualizaciones de seguridad a la distribución «estable». El equipo de seguridad ya ha publicado un aviso para cada una de estas actualizaciones:

ID del aviso Paquete
DSA-4848 golang-1.11
DSA-4865 docker.io
DSA-4873 squid
DSA-4874 firefox-esr
DSA-4875 openssl
DSA-4877 webkit2gtk
DSA-4878 pygments
DSA-4879 spamassassin
DSA-4880 lxml
DSA-4881 curl
DSA-4882 openjpeg2
DSA-4883 underscore
DSA-4884 ldb
DSA-4885 netty
DSA-4886 chromium
DSA-4887 lib3mf
DSA-4888 xen
DSA-4889 mediawiki
DSA-4890 ruby-kramdown
DSA-4891 tomcat9
DSA-4892 python-bleach
DSA-4893 xorg-server
DSA-4894 php-pear
DSA-4895 firefox-esr
DSA-4896 wordpress
DSA-4898 wpa
DSA-4899 openjdk-11-jre-dcevm
DSA-4899 openjdk-11
DSA-4900 gst-plugins-good1.0
DSA-4901 gst-libav1.0
DSA-4902 gst-plugins-bad1.0
DSA-4903 gst-plugins-base1.0
DSA-4904 gst-plugins-ugly1.0
DSA-4905 shibboleth-sp
DSA-4907 composer
DSA-4908 libhibernate3-java
DSA-4909 bind9
DSA-4910 libimage-exiftool-perl
DSA-4912 exim4
DSA-4913 hivex
DSA-4914 graphviz
DSA-4915 postgresql-11
DSA-4916 prosody
DSA-4918 ruby-rack-cors
DSA-4919 lz4
DSA-4920 libx11
DSA-4921 nginx
DSA-4922 hyperkitty
DSA-4923 webkit2gtk
DSA-4924 squid
DSA-4925 firefox-esr
DSA-4926 lasso
DSA-4928 htmldoc
DSA-4929 rails
DSA-4930 libwebp

Paquetes eliminados

Se han eliminado los paquetes listados a continuación por circunstancias ajenas a nosotros:

Paquete Motivo
sogo-connector Incompatible con versiones actuales de Thunderbird

Instalador de Debian

Se ha actualizado el instalador para incluir las correcciones incorporadas por esta nueva versión en la distribución «estable».

URL

Las listas completas de paquetes que han cambiado en esta versión:

http://ftp.debian.org/debian/dists/buster/ChangeLog

La distribución «estable» actual:

http://ftp.debian.org/debian/dists/stable/

Actualizaciones propuestas a la distribución «estable»:

http://ftp.debian.org/debian/dists/proposed-updates

Información sobre la distribución «estable» (notas de publicación, erratas, etc.):

https://www.debian.org/releases/stable/

Información y anuncios de seguridad:

https://www.debian.org/security/

Acerca de Debian

El proyecto Debian es una asociación de desarrolladores de software libre que aportan de forma voluntaria su tiempo y esfuerzo para producir el sistema operativo Debian, un sistema operativo completamente libre.

Información de contacto

Para más información, visite las páginas web de Debian en https://www.debian.org/, envíe un correo electrónico a <press@debian.org> o contacte con el equipo responsable de la publicación en <debian-release@lists.debian.org>.