Vývojáři objevili vážnou bezpečnostní chybu v balíčku OpenSSL, který je součástí Debianu. V září 2006 byl do balíčku přidán patch, který mimo jiné poškodil generátor náhodných čísel a OpenSSL začalo vytvářet vadné klíče. Postiženy jsou všechny větve, i systémy, které z Debianu vycházejí. Patch se naštěstí nedostal k vývojářům OpenSSL, takže ostatní systémy jsou nedotčeny. Oprava už přijela, teď je ale potřeba přegenerovat všechny vadné klíče, které byly vytvořeny v posledních dvou letech.
Za čtrnáct dní bude ukončena podpora Sarge. Norbert Tretkowski nyní oznámil, že ve stejnou dobu bude ukončena také podpora pro sarge-backports. V pondělí 31. března tedy bude ukončena podpora i pro novější software určený pro stejnou verzi distribuce. Pokud ještě Debian 3.1 někde používáte, určitě rychle přejděte na novou verzi, jinak zůstanete bez záplat.
Včera byl vydán třetí update distribuce Debian Etch, který je oficiálně značen jako 4.0r3. Jako obvykle tato verze zavádí veškeré dostupné bezpečnostní záplaty, přináší ale také některé opravy technických problémů. Kromě toho byla například vylepšena kompatibilita s procesory Nevada z počítačů SGI O2 a byl odstraněn balíček flashplugin-nonfree. Vývojáři také povýšili některé balíčky (linux-modules a nvidia-graphics), které tak nyní zvládnou spolupráci s novějšími jádry. Podrobnosti naleznete například v poznámkách k Etch.
Andreas Schuldei a Michael Vogt vytvořili backport funkce, která umožňuje do apt přidat podporu https. Ta se hodí zejména ve chvíli, kdy potřebujete používat soukromý repositář s citlivým balíčky, které se nesmí dostat do nepovolaných rukou. V Lenny a Sid je tato funkčnost k dispozici v samostatném balíčku apt-transport-https.
V případě Etch se ale nejedná o samostatný balíček, ale o úpravu (opatchování) stávájícího aptu. Balík se tedy nemůže dostat na Backports.org. Andreas zatím uvažuje, jestli má smysl balíček vystavovat na nějaký alternativní zdroj.
Dnes jsem upozorňoval na nepříjemnou bezpečnostní chybu v linuxových jádrech 2.6.17 až 2.6.24.1. Nyní je k dispozici nový oficiální balíček pro Etch s jádrem označeným 2.6.18.dfsg.1-18etch1, který zmíněnou chybu opravuje. Rozhodně doporučuji udělat co nejrychleji update.
Byla objevena velmi nepříjemná bezpečnostní chyba, která se týká všech jader verzí 2.6.17 – 2.6.24.1 a umožňuje lokálním uživatelům získat nejvyšší práva. Bohužel postihuje i uživatele Debianu, včetně Etch. Podrobnější informace získáte například na Jendově blogu. Vývojáři problém řeší v bug tracking systému, kde jsou k dispozici odkazy na neoficiální opravená jádra. Pokud chcete problém hned vyřešit, aktualizujte ručně jádro na 2.6.24.2. Oficiální oprava v repositářích zatím není.
