Capitolo 5. Problemi di cui essere al corrente per bullseye

Il supporto per le opzioni di montaggio barrier e nobarrier è stato rimosso dal file system XFS. È raccomandato controllare se in /etc/fstab è presente l'una o l'altra parola chiave e rimuoverla. Le partizioni che usano tali opzioni non verranno montate con successo.

Per bullseye, la suite di sicurezza si chiama ora bullseye-security invece di nome-in-codice/ e gli utenti devono adattare i loro file source-list di APT di conseguenza, quando aggiornano.

La riga per la sicurezza nella configurazione di APT dell'utente può essere del tipo:

deb https://deb.debian.org/debian-security bullseye-security main contrib

Se la propria configurazione di APT include anche pinning o APT::Default-Release, è probabile che richieda aggiustamenti dato che il nome in codice dell'archivio di sicurezza non corrisponde più a quello dell'archivio regolare. Un esempio di riga APT::Default-Release funzionante per bullseye è:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

che sfrutta la funzionalità di APT che gestisce espressioni regolari (dentro /).

L'hash predefinito per le password per gli account nel sistema locale è stato cambiato da SHA-512 a yescrypt (vedere crypt(5)). Ci si aspetta che questo fornisca una sicurezza migliorata rispetto ad attacchi per indovinare le password basati su dizionario, in termini della complessità sia nello spazio che nel tempo degli attacchi.

Per sfruttare questa sicurezza migliorata, cambiare le password locali; per esempio usare il comando passwd.

Le vecchie password continueranno a funzionare usando l'hash per password che era stato usato per crearle, qualunque esso sia.

Yescript non è supportato da Debian 10 (buster). Di conseguenza i file password shadow (/etc/shadow) non possono essere copiati da un sistema bullseye in un sistema buster. Se si copiano tali file, le password che sono state cambiate nel sistema bullseye non funzioneranno nel sistema buster. In modo simile, non si può fare il copia-e-incolla degli hash di password da un sistema bullseye ad un sistema buster.

Se è richiesta la compatibilità degli hash delle password tra bullseye e buster, modificare /etc/pam.d/common-password. Trovare la riga simile a:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

e sostituire yescrypt con sha512.

Il supporto per NSS NIS e NIS+ è stato spostato in pacchetti separati chiamati libnss-nis e libnss-nisplus. Purtroppo, glibc non può dipendere da tali pacchetti, perciò sono adesso solo raccomandati.

Nei sistemi che usano NIS o NIS+ è perciò raccomandato controllare che tali pacchetti siano correttamente installati dopo l'aggiornamento.

Il risolutore DNS unbound ha cambiato il modo in cui gestisce i frammenti di file di configurazione. Se si fa affidamento sun una direttiva include: per fondere diversi frammenti in una configurazione valida, si dovrebbe leggere il file NEWS.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

I moduli aggiuntivi per vim storicamente forniti da vim-scripts sono ora gestiti attraverso la funzionalità nativa «package» di Vim, invece che da vim-addon-manager. Gli utenti di Vim dovrebbero prepararsi prima dell'aggiornamento seguendo le istruzioni nel file NEWS.

OpenStack Victoria (rilasciato in bullseye) richiede cgroup v1 per QoS dei device a blocchi. A partire da bullseye passa anche ad usare cgroupv2 in modo predefinito (vedere Sezione 2.2.4, «Control groups v2»), l'albero sysfs in /sys/fs/cgroup non include funzionalità cgroup v1 come /sys/fs/cgroup/blkio, e come risultato cgcreate -g blkio:foo fallisce. Per i nodi OpenStack con in esecuzione nova-compute o cinder-volume è fortemente raccomandato aggiungere i parametri systemd.unified_cgroup_hierarchy=false e systemd.legacy_systemd_cgroup_controller=false alla riga di comando del kernel per scavalcare i valori predefiniti e ripristinare la vecchia gerarchia di cgroup.

Seguendo le raccomandazioni degli autori originali, OpenStack Victoria nel rilascio bullseye passa per l'API OpenStack all'uso del nuovo formato YAML. Come risultato, la maggior parte dei servizi OpenStack, inclusi Nova, Glance e Keystone appaiono non funzionanti con tutte le politiche per API scritte esplicitamente nei file policy.json. I pacchetti, perciò, vengono ora forniti con una directory /etc/PROJECT/policy.d contenente un file 00_default_policy.yaml con tutte le politiche commentate in modo predefinito.

Per evitare che il vecchio file policy.json rimanga attivo, i pacchetti OpenStack di Debian ora lo rinominano in disabled.policy.json.old. In alcuni casi, quando non è stato possibile fare nulla di meglio prima del rilascio, policy.json viene semplicemente eliminato. Perciò, prima di aggiornare, è fortemente consigliato di fare il backup dei file policy.json delle proprie installazioni.

Ulteriori dettagli sono disponibili nella documentazione originale.

A differenza dei normali aggiornamenti di sendmail, durante l'aggiornamento da buster a bullseye il servizio sendmail viene fermato, determinando una mancanza di servizio più lunga del consueto. Per un suggerimento generico su come ridurre il tempo di inattività, vedere Sezione 4.1.3, «Preparazione all'indisponibilità dei servizi».

Alcuni pacchetti, inclusi gvfs-fuse, kio-fuse e sshfs sono passati a FUSE 3. Durante gli aggiornamenti ciò causerà l'installazione di fuse3 e la rimozione di fuse.

In alcune circostanze eccezionali, ad esempio quando si effettua l'aggiornamento eseguendo solamente apt-get dist-upgrade invece dei passaggi di aggiornamento raccomandati da Capitolo 4, Aggiornamenti da Debian 10 (buster), i pacchetti che dipendono da fuse3 possono essere mantenuti fermi durante l'aggiornamento. Eseguire nuovamente i passaggi descritti in Sezione 4.4.5, «Aggiornamento del sistema» con apt di bullseye o aggiornarli manualmente risolverà la situazione.

A partire dalla versione 2.2.27-1, la configurazione del singolo utente della suite GnuPG è stata completamente spostata in ~/.gnupg/gpg.conf e ~/.gnupg/options non è più utilizzato. Rinominare il file se necessario o spostare i suoi contenuti nella nuova posizione.

A partire da Linux 5.10, viene permesso, in modo predefinito, a tutti gli utenti di creare spazi dei nomi utente. Ciò permette a programmi come browser web e gestori di contenuti di creare sandbox più ristrette per codice non fidato o meno fidato, senza la necessità di essere eseguito come root o di usare uno strumento ausiliario setuid-root.

Il comportamento predefinito della Debian precedente era di restringere questa funzionalità ai processi in esecuzione come root, perché esponeva più problemi di sicurezza nel kernel. Tuttavia, ora che l'implementazione di questa funzionalità è maturata, c'è la convinzione che i benefici di sicurezza che essa fornisce superino i rischi connessi alla sua abilitazione.

Se si preferisce mantenere ristretta funzionalità, impostare sysctl:

user.max_user_namespaces = 0
      

Notare che varie funzionalità di desktop e contenitori non funzioneranno con questa restrizione, inclusi browser web, WebKitGTK, Flatpak e miniature di GNOME.

L'impostazione sysctl kernel.unprivileged_userns_clone=0 specifica di Debian ha un effetto simile, ma è deprecata.

A partire da Linux 5.10, Debian disabilita chiamate non privilegiate a bpf() in modo predefinito. Tuttavia, un amministratore può sempre cambiare, se necessario, questa impostazione in un secondo momento scrivendo 0 o 1 nel sysctl kernel.unprivileged_bpf_disabled.

Se si preferisce mantenere abilitate le chiamate non privilegiate a bpf(), impostare sysctl:

kernel.unprivileged_bpf_disabled = 0
      

Per informazioni sulla modifica del comportamento predefinito in Debian vedere il bug 990411 con la richiesta di modifica.

Il pacchetto redmine non viene fornito in bullseye, dato che era troppo tardi per migrare dalla vecchia versione di rails, che è alla fine del supporto a monte (ricevendo solamente le soluzioni a gravi bug di sicurezza), alla versione che è in bullseye. I manutentori di Ruby Extras stanno seguendo da vicino lo sviluppo a monte e rilasceranno una versione attraverso backports non appena verrà rilasciata e avranno pacchetti funzionanti. Se non si può aspettare che ciò avvenga prima di aggiornare, si può usare una VM o un contenitore con in esecuzione buster per isolare questa specifica applicazione.

Considerare la versione di Exim in bullseye come un aggiornamento principale di Exim. Introduce il concetto di dati contaminati ("tainted") letti da fonti non fidate, come ad esempio l'autore o il destinatario di un messaggio. Questi dati (ad esempio $local_part o $domain) non possono essere usati, tra le altre cose, come nomi di file o directory o nomi di comandi.

Questo rende non funzionanti configurazioni che non vengono aggiornate di conseguenza. Anche i vecchi file di configurazione di Exim in Debian non funzioneranno se non modificati; la nuova configurazione deve essere installata con le modifiche locali riunite in essa.

Esempi tipici non funzionanti includono:

La strategia di base per affrontare questa modifica è quella di usare il risultato di una ricerca con lookup in una successiva elaborazione invece del valore originale (fornito da remoto).

Per facilitare l'aggiornamento esiste una nuova opzione per configurazione principale per abbassare temporaneamente gli errori relativi a dati "tainted" ad avvertimenti, permettendo alla vecchia configurazione di funzionare con il nuovo Exim. Per utilizzare questa funzionalità aggiungere

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

alla configurazione di Exim (ad esempio a /etc/exim4/exim4.conf.localmacros) prima dell'aggiornamento e controllare nel file di log la presenza di avvertimenti legati a dati "tainted". Questo è un aggiramento temporaneo del problema che è già contrassegnato, al momento dell'introduzione, per la rimozione.

A causa di cambiamenti nel kernel Linux, il rilevamento di device SCSI non è più deterministico. Questo può essere un problema per le installazioni che si affidano all'ordine di rilevamento dei dischi. In questo messaggio nella mailing-list sono suggerite due possibili alternative che usano i collegamenti in /dev/disk/by-path o una regola udev.

Il protocollo di rete delle versioni 1 e 2 di rdiff-backup sono incompatibili. Ciò significa che si deve eseguire la stessa versione (1 o 2) di rdiff-backup localmente e in remoto. Dato che buster fornisce la versione 1.2.8 e bullseye fornisce la versione 2.0.5, l'aggiornamento da buster a bullseye del solo sistema locale o del solo sistema remoto renderà non funzionante l'esecuzione di rdiff-backup tra i due.

La versione 2.0.5 di rdiff-backup è disponibile nell'archivio buster-backports archive, vedere backports.

Il pacchetto intel-microcode attualmente in bullseye e buster-security (see DSA-4934-1) contiene due bug importanti. Per alcune CPU CoffeeLake questo aggiornamento può rendere non funzionanti interfacce di rete che usano firmware-iwlwifi e, per alcune CPU Skylake R0/D0 su sistemi che usano un firmware/BIOS molto obsoleto, il sistema può bloccarsi all'avvio.

Se si è rimandato l'aggiornamento da DSA-4934-1 a causa di questi problemi, o non si ha l'archivio di sicurezza abilitato, tenere a mente che aggiornare al pacchetto intel-microcode in bullseye può far sì che il sistema si blocchi all'avvio o può rendere non funzionante iwlwifi. In tal caso, si può ripristinare la situazione disabilitando il caricamento del microcodice all'avvio; vedere le istruzioni nel DSA, che sono anche nel file README.Debian di intel-microcode.

I pacchetti che dipendono da libgc1c2 in buster (es. guile-2.2-libs) possono essere mantenuti alla versione precedente durante la prima esecuzione di un aggiornamento completo a bullseye. Fare un secondo aggiornamento solitamente risolve il problema. Le informazioni sulle basi del problema possono essere trovate nel bug n. 988963.

Il pacchetto fail2ban può essere configurato per inviare notifiche via email. Lo fa usando mail che è fornito in Debian da diversi pacchetti. Un aggiornamento di sicurezza (necessario sui sistemi che usano mail da mailutils) proprio prima del rilascio di bullseye ha reso non funzionante questa funzionalità per i sistemi che hanno mail fornito da bsd-mailx. Gli utenti con fail2ban in combinazione con bsd-mailx che desiderano che fail2ban invii email devono passare ad un diverso fornitore di mail oppure rimuovere manualmente l'applicazione del commit a monte (che ha inserito la stringa "-E 'set escape'" in diversi punti in /etc/fail2ban/action.d/).

Sebbene le connessioni SSH (Secure SHell) esistenti dovrebbero continuare a funzionare come di consueto durante l'aggiornamento, a causa di circostanze sfortunate il periodo in cui non è possibile stabilire nuove connessioni SSH è più lungo del solito. Se l'aggiornamento viene fatto attraverso una connessione SSH che può venire interrotta, è raccomandato aggiornare openssh-server prima di aggiornare il sistema completo.

L'aggiornamento di openvswitch può non riuscire a recuperare i bridge dopo l'avvio. Per aggirare il problema si deve:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

Per maggiori informazioni vedere il bug n.989720.

Quando apt full-upgrade ha terminato, l'aggiornamento è «formalmente» completo. Per l'aggiornamento a bullseye non ci sono azioni speciali necessarie prima di effettuare un riavvio.

Ci sono alcuni pacchetti per i quali Debian non può garantire di fornire i backport minimi per ragioni di sicurezza. Questi verranno trattati nelle sottosezioni che seguono.

	Nota
	Il pacchetto debian-security-support aiuta a tenere traccia dello stato del supporto di sicurezza per i pacchetti installati.

Senza un dispositivo puntatore non esiste un modo diretto per cambiare le impostazioni nell'applicazione Impostazioni di GNOME fornita da gnome-control-center. Per aggirare il problema si può navigare dalla barra laterale ai contenuti principali usando freccia a destra due volte. Per ritornare alla barra laterale si può avviare una ricerca con Ctrl+F, digitare qualcosa, poi premere Esc per annullare la ricerca. Ora si possono usare Freccia in su e Freccia in giù per navigare nella barra laterale. Non è possibile selezionare i risultati di una ricerca con la tastiera.

Con l'implementazione di sulogin, usato a partire da buster, l'avvio con l'opzione rescue richiede sempre la password di root. Se non ne è stata impostata una, ciò rende di fatto la modalità di ripristino inutilizzabile. È tuttavia ancora possibile avviare usando il parametro init=/sbin/sulogin --force del kernel.

Per configurare systemd in modo che faccia l'equivalente ogni volta che avvia in modalità ripristino (nota anche come "single mode", vedere systemd(1)), eseguire sudo systemctl edit rescue.service e creare un file contenente solamente:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

Potrebbe anche (o invece) essere utile farlo per l'unità emergency.service, che è avviata automaticamente nel caso di alcuni errori (vedere systemd.special(7)) o se viene aggiunto emergency alla riga di comando del kernel (ad esempio se il sistema non può essere ripristinato usando la modalità di ripristino).

Per informazioni a riguardo e per una discussione sulle implicazioni in termini di sicurezza vedere #802211.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

Quello che segue è un elenco di pacchetti obsoleti noti e degni di nota (vedere Sezione 4.8, «Pacchetti obsoleti» per una descrizione).

L'elenco dei pacchetti obsoleti comprende:

Con il prossimo rilascio di Debian 12 (nome in codice bookworm) alcune funzionalità diventeranno deprecate. Gli utenti dovranno migrare ad altre alternative per evitare problemi nell'aggiornamento a Debian 12.

Ciò include le seguenti funzionalità: