Обновлённый Debian 10: выпуск 10.10 released

19 Июня 2021

Проект Debian с радостью сообщает о десятом обновлении своего стабильного выпуска Debian 10 (кодовое имя buster). Это обновление в основном содержит исправления проблем безопасности, а также несколько корректировок серьёзных проблем. Рекомендации по безопасности опубликованы отдельно и указываются при необходимости.

Заметьте, что это обновление не является новой версией Debian 10, а лишь обновлением некоторых включённых в выпуск пакетов. Нет необходимости выбрасывать старые носители с выпуском buster. После установки пакеты можно обновить до текущих версий, используя актуальное зеркало Debian.

Тем, кто часто устанавливает обновления с security.debian.org, не придётся обновлять много пакетов, большинство обновлений с security.debian.org включены в данное обновление.

Новые установочные образы будут доступны позже в обычном месте.

Обновление существующих систем до этой редакции можно выполнить с помощью системы управления пакетами, используя одно из множества HTTP-зеркал Debian. Исчерпывающий список зеркал доступен на странице:

https://www.debian.org/mirror/list

Исправления различных ошибок

Данное стабильное обновление вносит несколько важных исправлений для следующих пакетов:

Пакет Причина
apt Принятие по умолчанию изменения имён выпусков для репозиториев (напр., stable -> oldstable)
awstats Исправление удалённого доступа к файлам [CVE-2020-29600 CVE-2020-35176]
base-files Обновление /etc/debian_version для редакции 10.10
berusky2 Исправление ошибки сегментирования при запуске
clamav Новый стабильный выпуск основной ветки разработки; исправление отказа в обслуживании [CVE-2021-1405]
clevis Исправление поддержки для TPM, поддерживающих только SHA256
connman dnsproxy: проверка длины буферов до выполнения функции memcpy [CVE-2021-33833]
crmsh Исправление выполнения произвольного кода [CVE-2020-35459]
debian-installer Использование ABI ядра Linux версии 4.19.0-17
debian-installer-netboot-images Повторная сборка с учётом proposed-updates
dnspython XFR: не пытаться сравнивать с несуществующим значением окончания срока действия
dput-ng Исправление аварийной остановки в загрузчике sftp в случае получения EACCES от сервера; обновление кодовых имён; обеспечение работы dcut dm для незагружающих сопровождающих; исправление TypeError в коде обработки исключений при http-загрузках; не пытаться и не создавать электронную почту загружающего на основе системного имени узла в файлах .dak-commands
eterm Исправление выполнения произвольного кода [CVE-2021-33477]
exactimage Исправление сборки с C++11 и OpenEXR 2.5.x
fig2dev Исправление переполнения буфера [CVE-2021-3561]; несколько исправлений вывода данных; повторная сборка тестового набора в ходе сборки и при автоматическом тестировании
fluidsynth Исправление использования указателей после освобождения памяти [CVE-2021-28421]
freediameter Исправление отказа в обслуживании [CVE-2020-6098]
fwupd Исправление создания строки SBAT поставщика; прекращение использования dpkg-dev в fwupd.preinst; новая стабильная версия основной ветки разработки
fwupd-amd64-signed Синхронизация с fwupd
fwupd-arm64-signed Синхронизация с fwupd
fwupd-armhf-signed Синхронизация с fwupd
fwupd-i386-signed Синхронизация с fwupd
fwupdate Улучшение поддержки SBAT
fwupdate-amd64-signed Синхронизация с fwupdate
fwupdate-arm64-signed Синхронизация с fwupdate
fwupdate-armhf-signed Синхронизация с fwupdate
fwupdate-i386-signed Синхронизация с fwupdate
glib2.0 Исправление нескольких переполнений целых чисел [CVE-2021-27218 CVE-2021-27219]; исправление атаки через символьные ссылки, касающейся file-roller [CVE-2021-28153]
gnutls28 Исправление разыменования null-указателя [CVE-2020-24659]; добавление нескольких улучшений по повторному выделению памяти
golang-github-docker-docker-credential-helpers Исправление двойного освобождения памяти [CVE-2019-1020014]
htmldoc Исправление переполнения буфера [CVE-2019-19630 CVE-2021-20308]
ipmitool Исправление переполнения буфера [CVE-2020-5208]
ircii Исправление отказа в обслуживании issue [CVE-2021-29376]
isc-dhcp Исправление выхода за пределы выделенного буфера памяти [CVE-2021-25217]
isync Отклонение забавных имён почтовых ящиков из IMAP LIST/LSUB [CVE-2021-20247]; исправление обработки неожиданного кода ответа APPENDUID [CVE-2021-3578]
jackson-databind Исправление раскрытия внешней сущности [CVE-2020-25649] и нескольких связанных с сериализацией проблем [CVE-2020-24616 CVE-2020-24750 CVE-2020-35490 CVE-2020-35491 CVE-2020-35728 CVE-2020-36179 CVE-2020-36180 CVE-2020-36181 CVE-2020-36182 CVE-2020-36183 CVE-2020-36184 CVE-2020-36185 CVE-2020-36186 CVE-2020-36187 CVE-2020-36188 CVE-2020-36189 CVE-2021-20190]
klibc malloc: установка errno при ошибке; исправление нескольких переполнений буфера [CVE-2021-31873 CVE-2021-31870 CVE-2021-31872]; cpio: исправление возможной аварийной остановки на 64-битных системах [CVE-2021-31871]; {set,long}jmp [s390x]: сохранение/восстановление правильных регистров FPU
libbusiness-us-usps-webtools-perl Обновление до нового API US-USPS
libgcrypt20 Исправление слабого шифрования ElGamal с ключами, которые не создаются GnuPG/libgcrypt [CVE-2021-33560]
libgetdata Исправление использование указателей после освобождения памяти [CVE-2021-20204]
libmateweather Переименование America/Godthab в America/Nuuk как в tzdata
libxml2 Исправление чтения за пределами выделенного буфера памяти в xmllint [CVE-2020-24977]; исправление использование указателей после освобождения памяти в xmllint [CVE-2021-3516 CVE-2021-3518]; проверка UTF8 в xmlEncodeEntities [CVE-2021-3517]; передача ошибки в xmlParseElementChildrenContentDeclPriv; исправление экспоненциального раскрытия сущности [CVE-2021-3541]
liferea Исправление совместимости с webkit2gtk >= 2.32
linux Новый стабильный выпуск основной ветки разработки; увеличение версии ABI до 17; [rt] обновление до 4.19.193-rt81
linux-latest Обновление до ABI версии 4.19.0-17
linux-signed-amd64 Новый стабильный выпуск основной ветки разработки; увеличение версии ABI до 17; [rt] обновление до 4.19.193-rt81
linux-signed-arm64 Новый стабильный выпуск основной ветки разработки; увеличение версии ABI до 17; [rt] обновление до 4.19.193-rt81
linux-signed-i386 Новый стабильный выпуск основной ветки разработки; увеличение версии ABI до 17; [rt] обновление до 4.19.193-rt81
mariadb-10.3 Новый выпуск основной ветки разработки; исправления безопасности [CVE-2021-2154 CVE-2021-2166 CVE-2021-27928]; исправление поддержки Innotop; поставка caching_sha2_password.so
mqtt-client Исправление отказа в обслуживании [CVE-2019-0222]
mumble Исправление удалённого выполнения произвольного кода [CVE-2021-27229]
mupdf Исправление использование указателей после освобождения памяти [CVE-2020-16600] и двойного освобождения памяти [CVE-2021-3407]
nmap Обновленеи поставляемого списка префиксов MAC
node-glob-parent Исправление отказа в обслуживании при обработке регулярного выражения [CVE-2020-28469]
node-handlebars Исправление выполнения произвольного кода [CVE-2019-20920 CVE-2021-23369]
node-hosted-git-info Исправление отказа в обслуживании при обработке регулярного выражения [CVE-2021-23362]
node-redis Исправление отказа в обслуживании при обработке регулярного выражения [CVE-2021-29469]
node-ws Исправление отказа в обслуживании при обработке регулярного выражения issue [CVE-2021-32640]
nvidia-graphics-drivers Исправление неправильного значения контроля доступа [CVE-2021-1076]
nvidia-graphics-drivers-legacy-390xx Исправление неправильного значения контроля доступа [CVE-2021-1076]; исправление ошибки установки для кандидатов на выпуск Linux 5.11
opendmarc Исправление переполнения динамической памяти [CVE-2020-12460]
openvpn Исправление ошибки illegal client float [CVE-2020-11810]; проверка, чтобы состояние ключа было аутентифицировано до отправки push-ответа [CVE-2020-15078]; увеличение очереди журнала listen() до 32
php-horde-text-filter Исправление межсайтового скриптинга [CVE-2021-26929]
plinth Использование сессии для проверки приветственного шага первой загрузки
ruby-websocket-extensions Исправление отказа в обслуживании [CVE-2020-7663]
rust-rustyline Исправление сборки с более новыми версиями rustc
rxvt-unicode Отключение экранирующей последовательности ESC G Q [CVE-2021-33477]
sabnzbdplus Исправление выполнения произвольного кода [CVE-2020-13124]
scrollz Исправление отказа в обслуживании [CVE-2021-29376]
shim Новый выпуск основной ветки разработки; добавление поддержки SBAT; исправление повторного выделения памяти для двоичного кода i386; не вызывать QueryVariableInfo() на машинах с EFI 1.10 (например, на старых Intel Mac); исправление обработки ignore_db и user_insecure_mode; добавление сценариев сопровождающего в шаблонные пакеты для управления установкой и удалением fbXXX.efi и mmXXX.efi при установке/удалении пакетов shim-helpers-$arch-signed; завершение работы без вывода ошибок в случае, если установка выполнялась на машину без EFI; не прекращать работу с ошибкой, если вызовы debconf возвращают ошибки
shim-helpers-amd64-signed Синхронизация с shim
shim-helpers-arm64-signed Синхронизация с shim
shim-helpers-i386-signed Синхронизация с shim
shim-signed Обновление для новой версии shim; многочисленные исправления ошибок в обработке postinst и postrm; предоставление двоичных файлов без подписи для arm64 (см. NEWS.Debian); завершение работы без вывода ошибок в случае, если установка выполнялась на машину без EFI; не прекращать работу с ошибкой, если вызовы debconf возвращают ошибки; исправление ссылок в документации; сборка с учётом shim-unsigned 15.4-5~deb10u1; добавление явной зависимости из shim-signed в shim-signed-common
speedtest-cli Обработка случая, когда опция ignoreids пуста или содержит пустые идентификаторы
tnef Исправление чтения за пределами выделенного буфера памяти [CVE-2019-18849]
uim libuim-data: копирование поля Breaks из uim-data, что исправляет некоторые сценарии обновления
user-mode-linux Повторная сборка с учётом ядра Linux версии 4.19.194-1
velocity Исправление потенциального выполнения произвольного кода [CVE-2020-13936]
wml Исправление регрессии в обработке Unicode
xfce4-weather-plugin Переход на версию 2.0 API met.no

Обновления безопасности

В данный выпуск внесены следующие обновления безопасности. Команда безопасности уже выпустила рекомендации для каждого из этих обновлений:

Идентификационный номер рекомендации Пакет
DSA-4848 golang-1.11
DSA-4865 docker.io
DSA-4873 squid
DSA-4874 firefox-esr
DSA-4875 openssl
DSA-4877 webkit2gtk
DSA-4878 pygments
DSA-4879 spamassassin
DSA-4880 lxml
DSA-4881 curl
DSA-4882 openjpeg2
DSA-4883 underscore
DSA-4884 ldb
DSA-4885 netty
DSA-4886 chromium
DSA-4887 lib3mf
DSA-4888 xen
DSA-4889 mediawiki
DSA-4890 ruby-kramdown
DSA-4891 tomcat9
DSA-4892 python-bleach
DSA-4893 xorg-server
DSA-4894 php-pear
DSA-4895 firefox-esr
DSA-4896 wordpress
DSA-4898 wpa
DSA-4899 openjdk-11-jre-dcevm
DSA-4899 openjdk-11
DSA-4900 gst-plugins-good1.0
DSA-4901 gst-libav1.0
DSA-4902 gst-plugins-bad1.0
DSA-4903 gst-plugins-base1.0
DSA-4904 gst-plugins-ugly1.0
DSA-4905 shibboleth-sp
DSA-4907 composer
DSA-4908 libhibernate3-java
DSA-4909 bind9
DSA-4910 libimage-exiftool-perl
DSA-4912 exim4
DSA-4913 hivex
DSA-4914 graphviz
DSA-4915 postgresql-11
DSA-4916 prosody
DSA-4918 ruby-rack-cors
DSA-4919 lz4
DSA-4920 libx11
DSA-4921 nginx
DSA-4922 hyperkitty
DSA-4923 webkit2gtk
DSA-4924 squid
DSA-4925 firefox-esr
DSA-4926 lasso
DSA-4928 htmldoc
DSA-4929 rails
DSA-4930 libwebp

Удалённые пакеты

Следующие пакеты были удалены из-за причин, на которые мы не можем повлиять:

Пакет Причина
sogo-connector Несовместим с текущими версиями Thunderbird

Программа установки Debian

Программа установки была обновлена с целью включения исправлений, добавленных в данную редакцию стабильного выпуска.

URL

Полный список пакетов, которые были изменены в данной редакции:

http://ftp.debian.org/debian/dists/buster/ChangeLog

Текущий стабильный выпуск:

http://ftp.debian.org/debian/dists/stable/

Предлагаемые обновления для стабильного выпуска:

http://ftp.debian.org/debian/dists/proposed-updates

Информация о стабильном выпуске (информация о выпуске, известные ошибки и т. д.):

https://www.debian.org/releases/stable/

Анонсы безопасности и информация:

https://www.debian.org/security/

О Debian

Проект Debian — объединение разработчиков свободного программного обеспечения, которые жертвуют своё время и знания для создания абсолютно свободной операционной системы Debian.

Контактная информация

Более подробную информацию вы можете получить на сайте Debian https://www.debian.org/, либо отправив письмо по адресу <press@debian.org>, либо связавшись с командой стабильного выпуска по адресу <debian-release@lists.debian.org>.