Capítulo 5. Problemas que debe tener en cuenta para bullseye

Se ha eliminado el soporte para las opciones de montaje barrier y nobarrier del sistema de ficheros XFS. Es recomendable revisar si se utilizan estas opciones en la configuración de /etc/fstab y eliminarlas si es el caso. Las particiones que utilicen estos parámetros no podrán montarse.

For bullseye, the security suite is now named bullseye-security instead of codename/updates and users should adapt their APT source-list files accordingly when upgrading.

La línea de seguridad en su configuración de APT puede ser similar a la siguiente:

deb https://deb.debian.org/debian-security bullseye-security main contrib

If your APT configuration also involves pinning or APT::Default-Release, it is likely to require adjustments as the codename of the security archive no longer matches that of the regular archive. An example of a working APT::Default-Release line for bullseye looks like:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

which takes advantage of APT's support for regular expressions (inside /).

El hash por omisión de contraseñas para cuentas del sistema locales se ha modificado de SHA-512 a yescrypt (consulte crypt(5)). Se espera que este cambio mejore la seguridad contra ataques de fuerza bruta de diccionario, tanto desde el punto de vista de la complejidad del espacio de claves y del tiempo necesario para llevar a cabo este tipo de ataques.

Para aprovecharse de esta mejora de seguridad, ha de modificar las contraseñas locales. Por ejemplo, puede utilizar la orden passwd.

Las contraseñas antiguas seguirán utilizando el hash de contraseña que se utilizó cuando éstas se crearon.

No hay soporte de «yescrypt» en Debian 10 (buster). Como consecuencia de esto, no pueden copiarse los archivos de contraseñas shadow en (/etc/shadow) de un sistema bullseye a un sistema buster. Si se copian estos archivos, las contraseñas que se han modificado en el sistema bullseye no funcionarán en el sistema buster system. De forma similar, los hashes de contraseñas no pueden cortar y copiarse de un sistema bullseye a un sistema buster.

Si necesita compatibilidad para los hashes de contraseña entre bullseye y buster, modifique /etc/pam.d/common-password. Debe buscar la línea que sea parecida a:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

y reemplazar yescrypt con sha512.

El soporte de NSS NIS y NIS+ se ha movido a paquetes separados nombrados libnss-nis y libnss-nisplus. Desgraciadamente, glibc no puede depender de esos paquetes, por lo que son sólo recomendados.

Por tanto es recomendable en aquellos sistemas que utilicen NIS o NIS+ que esos paquetes están correctamente instalados antes de la actualización.

El gestor de DNS unbound ha modificado la forma en la que gestiona archivos de fragmentos de configuración. Si depende de la directiva include: para unir varios fragmentos en un archivo de configuración válido debería leer el archivo NEWS.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

Los complementos para vim que anteriormente se proporcionaban en vim-scripts se gestionan ahora de forma nativa a través de la funcionalidad nativa de Vim de “paquetes” en lugar de a través de vim-addon-manager. Los usuarios de Vim deberían prepararse antes de la actualización siguiendo las instrucciones descritas en el archivo NEWS.

OpenStack Victoria (publicado in bullseye) requiere cgroup v1 para QoS de los dispositivos de bloque. Dado que bullseye también cambia y utiliza cgroupv2 por omisión (consulte Sección 2.2.4, “Grupos de control v2”), el arbol sysfs en /sys/fs/cgroup no incluye funcionalidades de cgroup v1 como /sys/fs/cgroup/blkio. Como consecuencia de ésto la ejecución de cgcreate -g blkio:foo fallará. En aquellos nodos OpenStack que estén ejecutando nova-compute o cinder-volume es muy recomendable añadir los parámetros systemd.unified_cgroup_hierarchy=false y systemd.legacy_systemd_cgroup_controller=false a la línea de órdenes del núcleo. Esto hará que se deje de utilizar el valor por omisión y se restaure la jerarquía antigua de cgroup.

Siguiendo las recomendaciones de los desarrolladores originales, la versión Victoria de OpenStack que se publica en bullseye cambia la API de OpenStack para utilizar el nuevo formato YAML. Como consecuencia de ésto, la mayor parte de los servicios de OpenStack (como Nova, Glance, y Keystone) parecen rotos con todos los archivos de políticas de API escritos de forma explícita en archivos policy.json. Los paquetes ahora incluyen un directorio /etc/PROJECT/policy.d que contiene un archivo 00_default_policy.yaml. Este archivo tiene todas las políticas comentadas por omisión.

Para impedir que el antiguo fichero policy.json esté activo, los paquetes de OpenStack en Debian renombran este archivo a disabled.policy.json.old. En aquellos casos en los que no se podía hacer nada mejor antes de la publicación el archivo policy.json simplemente se borra. Antes de actualizar se recomienda encarecidamente hacer una copia de seguridad de los archivos policy.json en su despliegue.

Puede encontrar más detalles en la documentación original del producto.

A diferencia de las actualizaciones normales de sendmail, el servicio de sendmail se parará durante la actualización de buster a bullseye the sendmail. Esto causará que el servicio no esté disponible durante más tiempo del habitual. Puede leer algunos consejos genéricos para reducir los tiempos de indisponibilidad en Sección 4.1.3, “Prepararse para la indisponibilidad de servicios” .

Algunos paquetes se han movido a FUSE 3, esto incluye algunos paquetes como gvfs-fuse, kio-fuse, y sshfs. Esto provocará que durante la actualización se instale fuse3 y se elimine fuse .

En algunas circunstancias excepciones pueden retenerse los paquetes que dependen de fuse3 durante la actualización. Esto puede suceder, por ejemplo, si realiza la actualización ejecutando sólamente apt-get dist-upgrade en lugar de los pasos recomendados de actualización en Capítulo 4, Actualizaciones desde Debian 10 (buster). Se puede resolver la situación si ejecuta de nuevo los pasos que se indican en Sección 4.4.5, “Actualizar el sistema” con la versión de bullseye de apt o si los actualiza manualmente.

Starting with version 2.2.27-1, per-user configuration of the GnuPG suite has completely moved to ~/.gnupg/gpg.conf, and ~/.gnupg/options is no longer in use. Please rename the file if necessary, or move its contents to the new location.

From Linux 5.10, all users are allowed to create user namespaces by default. This will allow programs such as web browsers and container managers to create more restricted sandboxes for untrusted or less-trusted code, without the need to run as root or to use a setuid-root helper.

The previous Debian default was to restrict this feature to processes running as root, because it exposed more security issues in the kernel. However, as the implementation of this feature has matured, we are now confident that the risk of enabling it is outweighed by the security benefits it provides.

If you prefer to keep this feature restricted, set the sysctl:

user.max_user_namespaces = 0
      

Note that various desktop and container features will not work with this restriction in place, including web browsers, WebKitGTK, Flatpak and GNOME thumbnailing.

The Debian-specific sysctl kernel.unprivileged_userns_clone=0 has a similar effect, but is deprecated.

From Linux 5.10, Debian disables unprivileged calls to bpf() by default. However, an admin can still change this setting later on, if needed, by writing 0 or 1 to the kernel.unprivileged_bpf_disabled sysctl.

If you prefer to keep unprivileged calls to bpf() enabled, set the sysctl:

kernel.unprivileged_bpf_disabled = 0
      

For background on the change as default in Debian see bug 990411 for the change request.

The package redmine is not provided in bullseye, as it was too late migrating over from the old version of rails which is at the end of upstream support (receiving fixes for severe security bugs only) to the version which is in bullseye. The Ruby Extras Maintainers are following upstream closely and will be releasing a version via backports as soon as it is released and they have working packages. If you can't wait for this to happen before upgrading, you can use a VM or container running buster to isolate this specific application.

Please consider the version of Exim in bullseye a major Exim upgrade. It introduces the concept of tainted data read from untrusted sources, like e.g. message sender or recipient. This tainted data (e.g. $local_part or $domain) cannot be used among other things as a file or directory name or command name.

This will break configurations which are not updated accordingly. Old Debian Exim configuration files also will not work unmodified; the new configuration needs to be installed with local modifications merged in.

Typical nonworking examples include:

The basic strategy for dealing with this change is to use the result of a lookup in further processing instead of the original (remote provided) value.

To ease upgrading there is a new main configuration option to temporarily downgrade taint errors to warnings, letting the old configuration work with the newer Exim. To make use of this feature add

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

to the Exim configuration (e.g. to /etc/exim4/exim4.conf.localmacros) before upgrading and check the logfile for taint warnings. This is a temporary workaround which is already marked for removal on introduction.

Due to changes in the Linux kernel, the probing of SCSI devices is no longer deterministic. This could be an issue for installations that rely on the disk probing order. Two possible alternatives using links in /dev/disk/by-path or a udev rule are suggested in this mailing list post.

The network protocol of versions 1 and 2 of rdiff-backup are incompatible. This means that you must be running the same version (either 1 or 2) of rdiff-backup locally and remotely. Since buster ships version 1.2.8 and bullseye ships version 2.0.5, upgrading only the local system or only the remote system from buster to bullseye will break rdiff-backup runs between the two.

Version 2.0.5 of rdiff-backup is available in the buster-backports archive, see backports. This enables users to first upgrade only the rdiff-backup package on their buster systems, and then independently upgrade systems to bullseye at their convenience.

The intel-microcode package currently in bullseye and buster-security (see DSA-4934-1) is known to contain two significant bugs. For some CoffeeLake CPUs this update may break network interfaces that use firmware-iwlwifi, and for some Skylake R0/D0 CPUs on systems using a very outdated firmware/BIOS, the system may hang on boot.

If you held back the update from DSA-4934-1 due to either of these issues, or do not have the security archive enabled, be aware that upgrading to the intel-microcode package in bullseye may cause your system to hang on boot or break iwlwifi. In that case, you can recover by disabling microcode loading on boot; see the instructions in the DSA, which are also in the intel-microcode README.Debian.

Packages that depend on libgc1c2 in buster (e.g. guile-2.2-libs) may be held back during the first full upgrade run to bullseye. Doing a second upgrade normally solves the issue. The background of the issue can be found in bug #988963.

The fail2ban package can be configured to send out e-mail notifications. It does that using mail, which is provided by multiple packages in Debian. A security update (needed on systems that use mail from mailutils) just before the release of bullseye broke this functionality for systems that have mail provided by bsd-mailx. Users of fail2ban in combination with bsd-mailx who wish fail2ban to send out e-mail should either switch to a different provider for mail or manually unapply the upstream commit (which inserted the string "-E 'set escape'" in multiple places under /etc/fail2ban/action.d/).

Although existing Secure Shell (SSH) connections should continue to work through the upgrade as usual, due to unfortunate circumstances the period when new SSH connections cannot be established is longer than usual. If the upgrade is being carried out over an SSH connection which might be interrupted, it's recommended to upgrade openssh-server before upgrading the full system.

The openvswitch upgrade may fail to recover bridges after boot. The workaround is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

For more info, see bug #989720.

Cuando haya terminado apt full-upgrade la actualización “formal” se habrá completado. No hay que hacer ninguna acción especial antes del siguiente reinicio del sistema tras la actualización a bullseye.

Hay algunos paquetes para los que Debian no puede comprometerse a proporcionar versiones actualizadas resolviendo problemas de seguridad. La información de estos paquetes se cubre en las siguientes subsecciones.

	Nota
	El paquete debian-security-support ayuda a supervisar el estado de soporte de seguridad de los paquetes instalados en el sistema.

No hay una forma directa de cambiar la configuración en la aplicación de Configuración de GNOME ofrecida por gnome-control-center sin un dispositivo apuntador. Como alternativa, puede navegar de la barra lateral al contenido principal pulsando dos veces Flecha derecha. Para volver a la barra lateral, puede empezar a escribir con Ctrl+F, escriba algo y luego pulse Esc para cancelar la búsqueda. Ahora puede utilizar las teclas Flecha arriba y Flecha abajo para navegar a la barra lateral. No es posible seleccionar resultados con el teclado.

El arranque con la opción rescue requiere la contraseña de root desde la implementación de sulogin que se utiliza desde since buster. El modo rescate no puede utilizarse si no se ha configurado una contraseña. Sin embargo, aún es posible arrancar con el párametro del núcleo init=/sbin/sulogin --force

Puede configurar systemd para hacer el equivalente a esto cuando se arranca en modo de rescate (también conocido como modo de un solo usuario, consulte: systemd(1)) ejecutando sudo systemctl edit rescue.service y crear un archivo diciendo simplemente:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

También puede ser útil hacer ésto (o en su lugar) en la unidad de servicio emergency.service. Esta unidad se ejecuta automáticamente cuando se producen ciertos errores (consulte systemd.special(7)), o cuando se añade la opción emergency la línea de órdenes del núcleo (p.ej. si el sistema no puede recuperarse utilizando el modo de rescate).

Para conocer más del trasfondo de este cambio y leer una discusión sobre las implicaciones de seguridad puede consultar #802211.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

A continuación se muestra una lista de los paquetes conocidos y notables que ahora están obsoletos (consulte Sección 4.8, “Paquetes obsoletos” para obtener una descripción).

La lista de paquetes obsoletos incluye:

Con la publicación de Debian 12 (nombre en clave bookworm) algunas funcionalidades estarán obsoletas. Los usuarios deben migrar a otras alternativas para evitar problemas al actualizar a Debian 12.

Esto incluye las siguientes funcionalidades: