Debian takes security very seriously. We handle all security problems brought to our attention and ensure that they are corrected within a reasonable timeframe. Many advisories are coordinated with other free software vendors and are published the same day a vulnerability is made public and we also have a Security Audit team that reviews the archive looking for new or unfixed security bugs.
Experience has shown that security through obscurity does not work. Public disclosure allows for more rapid and better solutions to security problems. In that vein, this page addresses Debian’s status with respect to various known security holes, which could potentially affect Debian.
Debian also participates in security standardization efforts: the Debian Security Advisories are CVE-Compatible (review the cross references) and Debian is represented in the Board of the Open Vulnerability Assessment Language project.
Содержание
Keeping your Debian system secure
In order to receive the latest Debian security advisories, subscribe to the debian-security-announce mailing list.
You can use apt to easily get the latest security updates. This requires a line such as
deb http://security.debian.org/debian-security buster/updates main contrib non-free
in your /etc/apt/sources.list file. Then execute apt-get update && apt-get upgrade to download and apply the pending updates. The security archive is signed with the normal Debian archive signing keys.
For more information about security issues in Debian, please refer to the Security Team FAQ and a manual called Securing Debian.
Recent Advisories
These web pages include a condensed archive of security advisories posted to the debian-security-announce list.
[19 Nov 2019] DSA-4574 redmine security update
[18 Nov 2019] DSA-4573 symfony security update
[18 Nov 2019] DSA-4572 slurm-llnl security update
[17 Nov 2019] DSA-4571 thunderbird security update
[17 Nov 2019] DSA-4570 mosquitto security update
[14 Nov 2019] DSA-4569 ghostscript security update
[14 Nov 2019] DSA-4568 postgresql-common security update
[13 Nov 2019] DSA-4565 intel-microcode security update
[12 Nov 2019] DSA-4567 dpdk security update
[12 Nov 2019] DSA-4566 qemu security update
[12 Nov 2019] DSA-4564 linux security update
[12 Nov 2019] DSA-4563 webkit2gtk security update
[10 Nov 2019] DSA-4562 chromium security update
[08 Nov 2019] DSA-4561 fribidi security update
[06 Nov 2019] DSA-4560 simplesamlphp security update
[05 Nov 2019] DSA-4559 proftpd-dfsg security update
[04 Nov 2019] DSA-4558 webkit2gtk security update
[31 Oct 2019] DSA-4557 libarchive security update
[31 Oct 2019] DSA-4556 qtbase-opensource-src security update
[29 Oct 2019] DSA-4555 pam-python security update
[28 Oct 2019] DSA-4554 ruby-loofah security update
[28 Oct 2019] DSA-4553 php7.3 security update
[28 Oct 2019] DSA-4552 php7.0 security update
[25 Oct 2019] DSA-4551 golang-1.11 security update
[25 Oct 2019] DSA-4550 file security update
[24 Oct 2019] DSA-4549 firefox-esr security update
[21 Oct 2019] DSA-4548 openjdk-8 security update
[21 Oct 2019] DSA-4547 tcpdump security update
[20 Oct 2019] DSA-4546 openjdk-11 security update
The latest Debian security advisories are also available in RDF format. We also offer a second file that includes the first paragraph of the corresponding advisory so you can see in it what the advisory is about.
The older security advisories are also available: 2019, 2018, 2017, 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003, 2002, 2001, 2000, 1999, 1998, 1997 and undated security advisories, included for posterity.
Debian distributions are not vulnerable to all security problems. The Debian Security Tracker collects all information about the vulnerability status of Debian packages, and can be searched by CVE name or by package.
Contact Information
Please read the Security Team FAQ before contacting us, your question may well be answered there already!
Debian очень серьёзно относится к проблемам безопасности. Все проблемы безопасности, доведённые до нашего внимания, обрабатываются и исправляются в течении определённых разумных сроков. Множество предупреждений безопасности координируются другими поставщиками Свободного ПО и публикуются в тот же день, что и найденная уязвимость. Также у нас есть команда Аудита Безопасности, которая ищет в архивах новые или неисправленные ошибки безопасности.
Опыт показал, что способ "безопасность путём сокрытия" не работает. Общедоступность информации позволяет быстрее найти лучшее решение проблем безопасности. В соответствии с этим, эта страница показывает положение Debian по отношению к известным дырам в системе, которые могут коснуться и Debian.
Debian также участвует в проектах по стандартизации безопасности: рекомендации Debian по безопасности (Debian Security Advisories) являются совместимыми с CVE (смотрите справочные ссылки), Debian представлен в Совете проекта Open Vulnerability Assessment Language.
Как поддерживать безопасность вашей системы Debian
Чтобы получать последние рекомендации Debian по безопасности, подпишитесь на список рассылки debian-security-announce.
С помощью apt вы можете легко получить последние обновления, связанные с безопасностью. Для этого нужно добавить строку
deb http://security.debian.org/debian-security buster/updates main contrib non-free
в файл /etc/apt/sources.list . Затем выполните apt-get update && apt-get upgrade чтобы скачать и установить имеющиеся обновления. Архив обновлений безопасности подписан обычными ключами архива Debian.
Более подробную информацию о вопросах безопасности в Debian см. в Security Team FAQ и руководстве Securing Debian.
Последние рекомендации по безопасности
Эти страницы содержат архив рекомендаций по безопасности, отправленных в список рассылки debian-security-announce.
[19.11.2019] DSA-4574 redmine security update
[18.11.2019] DSA-4573 symfony обновление безопасности
[18.11.2019] DSA-4572 slurm-llnl обновление безопасности
[17.11.2019] DSA-4571 thunderbird обновление безопасности
[17.11.2019] DSA-4570 mosquitto обновление безопасности
[14.11.2019] DSA-4569 ghostscript обновление безопасности
[14.11.2019] DSA-4568 postgresql-common обновление безопасности
[13.11.2019] DSA-4565 intel-microcode обновление безопасности
[12.11.2019] DSA-4567 dpdk обновление безопасности
[12.11.2019] DSA-4566 qemu обновление безопасности
[12.11.2019] DSA-4564 linux обновление безопасности
[12.11.2019] DSA-4563 webkit2gtk обновление безопасности
[10.11.2019] DSA-4562 chromium обновление безопасности
[08.11.2019] DSA-4561 fribidi обновление безопасности
[06.11.2019] DSA-4560 simplesamlphp обновление безопасности
[05.11.2019] DSA-4559 proftpd-dfsg обновление безопасности
[04.11.2019] DSA-4558 webkit2gtk обновление безопасности
[31.10.2019] DSA-4557 libarchive обновление безопасности
[31.10.2019] DSA-4556 qtbase-opensource-src обновление безопасности
[29.10.2019] DSA-4555 pam-python обновление безопасности
[28.10.2019] DSA-4554 ruby-loofah обновление безопасности
[28.10.2019] DSA-4553 php7.3 обновление безопасности
[28.10.2019] DSA-4552 php7.0 обновление безопасности
[25.10.2019] DSA-4551 golang-1.11 обновление безопасности
[25.10.2019] DSA-4550 file обновление безопасности
[24.10.2019] DSA-4549 firefox-esr обновление безопасности
[21.10.2019] DSA-4548 openjdk-8 обновление безопасности
[21.10.2019] DSA-4547 tcpdump обновление безопасности
Последние рекомендации Debian по безопасности также доступны в формате RDF. Мы также предлагаем второй файл, включающий первый абзац этих рекомендаций по безопасности. Из него вы легко сможете понять, чего касается каждая из них.
Также доступны старые рекомендации: 2019, 2018, 2017, 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003, 2002, 2001, 2000, 1999, 1998, 1997 и Не датированные рекомендации по безопасности, оставленные для потомков.
Дистрибутивы Debian не являются уязвимыми по отношению ко всем проблемам безопасности. Система отслеживания безопасности Debian собирает всю информацию о статусе уязвимостей в пакетах Debian. Уязвимости в ней могут быть найдены по идентификатору CVE или по имени пакета.
Контактная информация
Пожалуйста, перед тем, как связаться с нами, прочтите FAQ от команды безопасности. Может быть, там уже содержится ответ на ваш вопрос!
A: Как сообщается в DSA, вам следует обновить пакеты, подверженные указанной уязвимости. Вы можете сделать просто обновив (после обновления списка доступных пакетов с помощью apt-get update) каждый пакет в вашей системе с помощью команды apt-get upgrade, либо обновов конкретный пакет с помощью команды apt-get install пакет.
В сообщении указывается пакет с исходным кодом, в котором имеется уязвимость. Следовательно, вам следует обновить все двоичные пакеты, которые создаются из этого пакета с исходным кодом. Чтобы проверить то, какие двоичные пакеты следует обновить, обратитесь к https://packages.debian.org/src:имя-пакета-с-исходным-кодом и нажмите на [показать . двоичные пакеты] для того выпуска, который вы обновляете.
Может потребоваться перезапуск сервиса или работающего процесса. Команда checkrestart, содержащаяся в пакете debian-goodies, может помочь вам найти процессы и службы, которые следует перезапустить.
A: Скорее всего, проблема с вашей стороны. Список рассылки debian-security-announce защищён фильтром, пропускающим только сообщения с правильной подписью членов команды безопасности.
Наиболее вероятно, что программы обработки почты на каком-то этапе несколько изменяют сообщение, из-за чего не проходит проверка подписи. Проверьте, что ваше программное обеспечение не производит кодирования или декодирования MIME или преобразования символов табуляции в пробелы или наоборот.
Известными возможными виновниками проблем являются fetchmail (с включенным параметром mimedecode), formail (начиная с procmail версии 3.14) и evolution.
A: После того, как команда безопасности получает уведомление о проблеме, один или несколько её членов команды анализируют его, и проверяют, затронут ли стабильный выпуск Debian (т.е., уязвим он или нет). Если наша система уязвима, мы стараемся исправить ошибку. Также мы связываемся с сопровождающим пакета, если он ещё не вышел на связь сам. Наконец, обновление тестируется и подготавливаются новые пакеты, которые затем компилируются на всех архитектурах стабильного выпуска и загружаются на сервер. После того, как всё это проделано, публикуется рекомендация.
Самое главное, что необходимо помнить при создании нового пакета, в котором исправлена проблема, связанная с безопасностью, это то, что нужно вносить так мало изменений, насколько это возможно. Наши пользователи и разработчики рассчитывают на неизменное поведение одного выпуска системы, поэтому любые сделанные нами изменения, возможно, обвалят чью-то систему. Особенно это относится к библиотекам: удостоверьтесь, что вы не меняете ни программный интерфейс приложений (Application Program Interface, API), ни двоичный интерфейс приложений (Application Binary Interface, ABI), как бы малы ни были эти изменения.
Это означает, что переход к новой версии пакета — не лучшее решение. Вместо этого нужно перенести на старую версию необходимые изменения. В основном, если команда безопасности Debian не в состоянии справиться с проблемой, разработчики исходного кода, обычно, готовы помочь.
В некоторых случаях внедрить исправления в старую версию невозможно, например, когда нужно изменить или переписать очень большие куски кода. В этом случае переход к новой версии может оказаться вынужденным, но это нужно заранее согласовать с командой безопасности.
A: Вместо того, чтобы предлагать обновить пакет до нового выпуска, мы переносим исправления, связанные с безопасностью, в версию, включенную в стабильный выпуск. Мы делаем это, чтобы убедиться в том, что выпуск меняется так мало, насколько это возможно, чтобы система в результате обновления не изменила своё поведение и не обрушилась. Вы можете проверить, установлена ли у вас безопасная версия пакета, прочитав журнал изменений в нём или сравнив точный номер его версии с версией, указанной в рекомендации Debian по безопасности.
A: Обычно команда безопасности выпускает рекомендацию со сборками обновлённых пакетов для всех архитектур, поддерживаемых Debian. Тем не менее, некоторые архитектуры более медленны, чем другие, и может так получиться, что сборки для большинства архитектур будут готовы, но для некоторых архитектур они будут отсутствовать. Эти архитектуры представляют собой небольшую часть от общего количества наших пользователей. В зависимости от срочности проблемы мы можем решить выпустить рекомендацию немедленно. Отсутствующие сборки будут установлены сразу же как только они будут доступны, но об их установке в архив не будет сообщено. Конечно, мы никогда не выпустим рекомендацию, если сборки для i386 или amd64 не будут готовы.
A: Работа над безопасностью нестабильного выпуска ведётся в первую очередь сопровождающими пакетов, а не командой безопасности Debian. Хотя команда безопасности может загружать срочные исправления безопасности, если известно, что сопровождающий неактивен, поддержка стабильного выпуска всегда будет иметь более высокий приоритет. Если вы хотите иметь безопасный (и стабильный) сервер, мы настоятельно рекомендуем вам использовать стабильный выпуск.
A: Работа над безопасностью тестируемого выпуска зависит от работы над безопасностью, выполняемой всем Проектом для нестабильного выпуска. Тем не менее, имеется минимальная двухдневная задержка миграции пакетов, так как иногда исправления безопасности могут задерживаться переходами других пакетов. Команда безопасности помогает перемещать пакеты, которые задерживают миграцию важных обновлений безопасности, но это не всегда возможно, поэтому могут возникать задержки. Исправления безопасности для тестируемого выпуска могут существенно отставать особенно в первые месяцы после очередного нового выпуска, когда много новых версий пакетов загружаются в нестабильный выпуск. Если вы хотите иметь безопасный (и стабильный) сервер, мы настоятельно рекомендуем вам использовать стабильный выпуск.
A: Если коротко, никак не ведётся. Contrib и non-free не являются официальными частями дистрибутива Debian, не входят в выпуски, и потому не поддерживаются командой безопасности. Некоторые несвободные пакеты распространяются без исходного кода, или их лицензия не позволяет распространение изменённых версий. В этих случаях исправление в них проблем безопасности вообще невозможно. Если решить проблему всё же возможно, и если сопровождающий пакета либо кто-то ещё предоставил корректную новую версию пакета, команда безопасности, в общем случае, возьмёт её в обработку и выпустит рекомендацию.
A: Мы пытаемся указать ту версию из нестабильного выпуска, в которой проблема исправлена. Иногда бывает так, что сопровождающий загрузил тем временем ещё более новую версию. Сравните версию в нестабильном выпуске и версию, которую указали мы. Если она такая же или выше, вы не должны быть подвержены этой уязвимости. Если вы хотите убедиться в том, что ваши системы не подвержены этой уязвимости, то вы можете проверить журнал изменений пакета с помощью команды apt-get changelog имя-пакета и поискать там запись об исправлении.
A: На самом деле, они есть. Это несколько официальных зеркал, организованных через псевдонимы DNS. Целью security.debian.org является предоставление обновлений, связанных с безопасностью, так быстро и легко, насколько это возможно.
Использование неофициальных зеркал усложнило бы процесс, что обычно не нужно, и может вызвать затруднения, если зеркала не будут содержать актуальные пакеты.
A: Некоторые поставщики (в основном GNU/Linux, но также и BSD производных) в некоторых случаях координируют между собой предложения по безопасности и соглашаются на определённую задержку, так чтобы все поставщики могли выпустить рекомендации одновременно. Так сделано, чтобы не дискриминировать поставщиков, которым нужно больше времени (напр., когда пакеты должны пройти длительные тесты контроля качества или поставщик поддерживает несколько архитектур или двоичных выпусков). Наша команда безопасности также подготавливает предложения заранее. Время от времени получается так, что нужно выпустить новое предложение по безопасности, а другое ещё не опубликовано. Таким образом один или несколько номеров могут быть пропущены.
A: Информацию, касающуюся безопасности, можно отправлять по адресу security@debian.org или team@security.debian.org. Письма на оба адреса читают все члены команды безопасности Debian.
Если нужно, сообщение можно зашифровать ключом контактов команды безопасности Debian (идентификатор ключа 0x0D59D2B15144766A14D241C66BAF400B05C3E651). Ключи PGP/GPG членов команды безопасности можно найти на сервере ключей keyring.debian.org.
A: Если вы обнаружили проблему, связанную с безопасностью, в вашем пакете или в чьём-либо ещё, пожалуйста, непременно свяжитесь с командой безопасности. Если команда безопасности Debian подтвердит наличие уязвимости, и вероятно, что проблемой затронуты и другие поставщики, команда безопасности, скорее всего, свяжется с ними. Если о наличии уязвимости ещё неизвестно широкой публике, они попытаются скоординировать действия с другими поставщиками, так что все основные дистрибутивы будут синхронизированы.
Если уязвимость уже публично известна, обязательно отправьте отчёт об ошибке в Debian BTS, и присвойте ему тег security .
Если вы сопровождающий Debian, см. ниже.
A: Если вы обнаружили программу, связанную с безопасностью, в вашем пакете или в чьём-либо ещё, пожалуйста, непременно свяжитесь с командой безопасности по электронной почте team@security.debian.org. Они отслеживают ещё не исправленные проблемы в безопасности, могут помочь сопровождающим в их исправлении, отвечают за отправку предложений по безопасности и сопровождают security.debian.org.
Справочник разработчика содержит подробные инструкции.
В частности, очень важно то, что вы не должны загружать пакеты в какой-то другой выпуск, помимо нестабильного, без предварительного согласования с командой безопасности. В противном случае вы послужите причиной путаницы и лишней работы.
A: Если появился более новый пакет, заменивший старый на security.debian.org, весьма вероятно, что старый через некоторое время будет удалён. Поэтому вы получите сообщение файл не найден . Мы не хотим распространять пакеты, о наличии ошибок, связанных с безопасностью, в которых мы знаем, дольше, чем это абсолютно необходимо.
Пожалуйста, используйте пакеты, указанные в последних рекомендация по безопасности, распространяемых через список рассылки debian-security-announce. Лучше всего перед обновлением пакета просто запустить apt-get update .
A: Нет. Архив на security.debian.org сопровождается командой безопасности, которая должна одобрить загрузку любого пакета. Вместо этого следует отправлять заплаты или исправленные пакеты с исходным кодом команде безопасности по электронной почте team@security.debian.org. Команда безопасности проанализирует их и в конце концов загрузит на сервер, внеся изменения или без них.
A: Технически, да. Тем не менее, вам не следует этого делать, поскольку это плохо пересекается с работой команды безопасности. Пакеты с security.debian.org будут скопированы в proposed-updates автоматически. Если пакет с тем же или более высоким номером версии в архиве уже есть, обновление от команды безопасности будет отвергнуто системой поддержки архива. Таким образом, стабильный выпуск останется без обновления, связанного с безопасностью, для этого пакета, если только неправильные пакеты в каталоге proposed-updates не будут отвергнуты. Пожалуйста, свяжитесь вместо этого с командой безопасности, сообщите все подробности об обнаруженной уязвимости, и вложите в письмо файлы исходного кода (diff.gz и dsc).
A: Если вы полностью уверены, что ваш пакет не нарушит работу каких-либо программ, что номер версии правилен (т.е. выше, чем номер версии в стабильном выпуске, но ниже, чем в тестируемом/нестабильном), что вы не изменили поведение пакета, несмотря на соответствующую проблему безопасности, что вы скомпилировали пакет для правильного выпуска ( oldstable-security или stable-security ), что в случае, если пакета ещё нет на security.debian.org, пакет содержит первоначальный исходный код, что вы можете подтвердить, что изменения по сравнению с последней версией касаются только соответствующей проблемы безопасности (проверьте это с помощью interdiff -z и обоих файлов .diff.gz ), что вы прочитали изменения кода по меньшей мере трижды и что debdiff не показывает никаких изменений, вы можете загрузить файлы в каталог последних поступлений ftp://ftp.security.upload.debian.org/pub/SecurityUploadQueue непосредственно на security.debian.org. Пожалуйста, пришлите также уведомление об этом с изложением всех подробностей и ссылками по адресу team@security.debian.org.
A: Пожалуйста, проверяйте каждую проблему перед тем, как сообщить о ней по адресу security@debian.org. Если вы можете предоставить заплату, это ускорит процесс. Не надо просто пересылать письма из системы отслеживания ошибок Debian, мы и так получаем их, но обязательно сообщайте нам дополнительную информацию о проблемах, освещённых там.
Неплохим способом начать работу над проблемами безопасности будет помощь на трекере безопасности Debian (инструкции).
A: Этот каталог содержит пакеты, которые предлагается включить в следующую редакцию стабильного дистрибутива Debian. Всегда, когда сопровождающий загружает пакет для стабильного дистрибутива, он попадает в каталог proposed-updates. Поскольку стабильный выпуск предполагается стабильным, автоматического обновления не производится. Команда безопасности загружает исправленные пакеты, указанные в её предложениях, в стабильный выпуск, однако сначала они помещаются в proposed-updates. Раз в несколько месяцев управляющий стабильного выпуска проверяет список пакетов в proposed-updates и решает, должен ли пакет быть включён в стабильный выпуск. Так формируется новая редакция стабильного выпуска (например, 2.2r3 или 2.2r4). Пакеты, которые не подходят для включения в стабильный выпуск, вероятно, будут отвергнуты и удалены из каталога proposed-updates.
Имейте в виду, что пакеты, загруженные в каталог proposed-updates/ сопровождающими (а не командой безопасности), командой безопасности не поддерживаются.
A: Команда безопасности Debian состоит из нескольких ответственных лиц проекта. Команда безопасности сама подбирает новых членов.
A: Команда безопасности поддерживает (или, по крайней мере, пытается) стабильный дистрибутив в течение одного года после выхода следующего выпуска, за исключением случаев, когда в течение этого года выходит ещё один стабильный выпуск. Поддерживать одновременно три выпуска невозможно — даже параллельная поддержка двух выпусков достаточно сложна.
A: Этот процесс включает в себя проверку подписи файла Release по открытому ключу, который использовался для данного архива. Файл Release содержит контрольные суммы файлов Packages и Sources, которые, в свою очередь, содержат контрольные суммы для пакетов с исходным кодом и двоичных пакетов. Подробные инструкции по проверке целостности пакетов вы можете найти в документе Руководство по защите Debian.
A: Во-первых, следует определить, почему пакет не работает и как это связано с обновлением. После этого свяжитесь с командой безопасности, если это серьёзная проблема, или с управляющими стабильного выпуска, если она не слишком серьезна. Мы говорим о ситуации, когда пакет перестал работать после обновления другого пакета. Если вы не можете определить, что именно работает неправильно, но у вас есть предположения, как можно исправить ситуацию, также свяжитесь с командой безопасности. При необходимости вас перенаправят к управляющему стабильным выпуском.
A: Проект Common Vulnerabilities and Exposures назначает уникальные имена, называемые CVE идентификаторами, конкретным уязвимостям безопасности, чтобы облегчить задачу указания конкретной проблемы. Дополнительная информация может быть найдена в Wikipedia.
A: Команда безопасности Debian отслеживает каждый выпущенный CVE идентификатор, связывает его с релевантным пакетом Debian и оценивает его влияние на контекст Debian — тот факт, что чем-то назначен CVE идентификатор не предполагает с необходимостью, что данная проблема представляет серьёзную угрозу системе Debian. Эта информация отслеживается Системой отслеживания безопасности Debian, проблемы, которые считаются серьёзными, выпускаются рекомендации безопасности Debian.
Менее серьёзные проблемы, для которых рекомендации по безопасности не выпускаются, могут быть исправлены в следующем выпуске Debian, в редакции текущего стабильного или предыдущего стабильного выпуска, либо включены в рекомендацию по безопасности, выпущенную для более серьёзной уязвимости.
A: Debian имеет статус CVE Numbering Authority и может назначать идентификаторы, но в соответствии с политикой CVE можно назначать идентификаторы только нераскрытым пока проблемам. Если вам известно о нераскрытой уязвимости в безопасности ПО в Debian и вы хотели бы получить для неё идентификатор, свяжитесь с командой безопасности Debian. В случае, когда уязвимость уже известна публично, мы советуем следовать процедуре, описанной в документе CVE OpenSource Request HOWTO.
A: Некоторые предупреждения безопасности содержат уязвимости, которые не могут быть классифицированы по классической схеме локальной и удалённой возможности использования. Некоторые уязвимости не могут быть использованы удалённо, то есть они не направлены на службу, открывшую сетевой порт. Если они могут быть использованы специальными файлами, которые могут быть предоставлены через сеть, хотя уязвимый сервис не соединён с сетью постоянно, в таком случае мы пишем local (remote) .
Подобные уязвимости представляют собой что-то среднее между локальной и удалённой уязвимостями, и часто содержат архивы, которые могут быть предоставлены по сети, то есть как почтовое вложение или со страницы загрузки.
