Релиз Debian 13.4: исправлены критические уязвимости и баги

Команда разработчиков Debian официально представила четвёртое техническое обновление дистрибутива Debian 13 (кодовое имя «trixie»). Данный выпуск не является полноценным обновлением версии, а представляет собой совокупность важных исправлений, направленных на повышение общей безопасности и стабильности операционной системы.

Основной фокус в Debian 13.4 сделан на оптимизации сетевых служб и устранении дыр в безопасности, многие из которых уже были известны по отдельным бюллетеням.

Ключевые исправления компонентов

• Apache2: устранена регрессия в работе HTTP/2.
• bird2: исправлены ошибки флагов устаревших IPv6-префиксов и устранен сбой при экспорте маршрутов с не-BGP атрибутами в протоколе BMP.
• ifupdown: решены проблемы с DAD для IPv6 и скорректирован порядок запуска dhclient.
• open-iscsi: исправлено обнаружение статических узлов iSCSI.
• chrony: демон синхронизации времени получил адаптацию для корректной работы с актуальными версиями ядер.
• clatd: исправлены пути для NetworkManager и настройка systemd-юнитов.

Безопасность и патчи

• OpenSSH: закрыты CVE-2025–61984 и CVE-2025–61985, исправлена работа MaxStartups.
• Glibc: устранено повреждение кучи (CVE-2026–0861), утечки данных стека (CVE-2026–0915) и использование неинициализированной памяти (CVE-2025–15281).
• Базы данных: MariaDB и PostgreSQL-17 получили обновления, исправляющие критические уязвимости (включая CVE-2025–13699 и CVE-2026–2006).
• Wget2: исправлена уязвимость перезаписи файлов через metalink (CVE-2025–69194) и переполнение буфера (CVE-2025–69195).
• Erlang, Dpkg, Wireshark и Xen: закрыт ряд уязвимостей, предотвращающих DoS-атаки, переполнение буфера и проблемы с изоляцией vCPU.

Системные обновления

• GRUB2: исправлено определение ZFS-разделов для архитектур amd64, arm64 и ia32.
• Sudo: устранена ошибка обработки имен файлов в sudoers.d с использованием двоеточия.
• systemd-resolved: исправлена установка в debvm.