Capítulo 5. Problemas a estar atento em bullseye

Foi removido o suporte para as opções de mount barrier e nobarrier do sistema de ficheiros XFS. É recomendado verificar em /etc/fstab pela presença de alguma dessas palavras-chave e removê-las. As partições que utilizem estas opções irão falhar o mount.

Para bullseye, o conjunto de segurança é agora chamado bullseye-security em vez de codename/updates e os utilizadores devem adaptar os seus ficheiros source-list do APT de acordo, ao atualizarem.

A linha do security na sua configuração do APT pode parecer assim:

deb https://deb.debian.org/debian-security bullseye-security main contrib

Se a sua configuração do APT também involver pinning ou APT::Default-Release, é provável que necessite de ajustes já que o nome de código do arquivo de segurança já não coincide com o do arquivo normal. Um exemplo de uma linha funcional de APT::Default-Release para bullseye parece-se com:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

which takes advantage of APT's support for regular expressions (inside /).

A hash predefinida das palavras-passe para as contas de sistema locais foi alterada de SHA-512 para yescrypt (ver crypt(5)). Isto é esperado que melhore a segurança contra ataques de tentativa de adivinhar palavras-passe com recurso a dicionário, em termos de espaço e complexidade de tempo para o ataque.

Para tomar partido da melhoria desta segurança, altere as palavras-passe locais; por exemplo utilize o comando passwd.

As palavras-passe antigas irão continuar a funcionar, qualquer que tenha sido a hash de palavras-passe utilizada para as criar.

Yescript não é suportado em Debian 10 (Buster). Por isso, os ficheiros de shadow password (/etc/shadow) não podem ser copiados de um sistema Bullseye para um sistema Buster. Se esses ficheiros forem copiados, as palavras-passe que foram alteradas no sistema Bullseye não irão funcionar no sistema Buster. Similarmente, não se pode fazer cortar&colar às hashes de palavra-passe de um sistema Bullseye para um Buster.

Se for necessária a compatibilidade entre sistemas Bullseye e Buster, então modifique /etc/pam.d/common-password. Encontre a linha que se parece com:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

e substitua yescrypt por sha512.

O suporte para NSS NIS e NIS+ foi movido para pacotes separados chamados libnss-nis e libnss-nisplus. Infelizmente, glibc não pode depender desses pacotes, pois agora são apenas recomendados.

Em sistemas que utilizem NIS ou NIS+, é por isso recomendado verificar se esses pacotes estão correctamente instalados após a atualização.

O DNS resolver unbound foi alterado na forma como lida com ficheiros de fragmentos de configuração. Se depende da directiva include: para juntar os vários fragmentos para uma configuração válida, deve ler o ficheiro NEWS.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

Os addons para vim eram disponibilizados historicamente por vim-scripts, agora são geridos pela funcionalidade nativa “package” do Vim em vez do vim-addon-manager. Os utilizadores de Vim devem-se preparar antes de atualizar seguindo as instruções no ficheiro NEWS.

O OpenStack Victoria (lançado em bullseye) necessita de cgroup v1 para QoS de dispositivos de bloco. Já que a partir de bullseye também muda para a utilização de cgroupv2 por predefinição (veja a Secção 2.2.4, “Control groups v2”), a árvore sysfs em /sys/fs/cgroup não irá incluir as funcionalidades de cgroup v1, tais como /sys/fs/cgroup/blkio, e como resultado cgcreate -g blkio:foo irá falhar. Para nós de OpenStack que corram nova-compute ou cinder-volume, é altamente recomendado acrescentar os parâmetros systemd.unified_cgroup_hierarchy=false e system.legacy_systemd_cgroup_controller=false à linha de comandos do kernel de modo a ultrapassar a predefinição e restaurar a antiga hierarquia cgroup.

Seguindo as recomendações dos autores, o OpenStack Victoria conforme é lançado em bullseye muda a API OpenStack para utilizar o novo formato YAML. Como resultado, a maioria dos serviços de OpenStack, incluindo Nova, Glance e Keystone parecem estragados com todas as políticas de API escritas explicitamente nos ficheiros policy.d. Por isso, os pacotes agora vêm com um directório /etc/PROJECT/policy.d contendo um ficheiro 00_default_policy.yaml, com todas as políticas comentadas, por predefinição.

Para evitar que o antigo ficheiro policy.json se mantenha ativo, os pacotes OpenStack em Debian agora renomeiam esse ficheiro como disabled.policy.json. Em alguns casos onde não pode ser feito nada melhor a tempo do lançamento o policy.json é simplesmente apenas apagado. Por isso antes de atualizar, é fortemente aconselhado fazer uma cópia de segurança aos ficheiros policy.json das suas instalações.

Estão disponíveis mais detalhes na documentação dos autores.

Em contraste com as atualizações normais de sendmail, durante a atualização de buster para bullseye, o serviço sendmail irá ser parado, causando uma paragem mais longa do que é normal. Para conselhos genéricos acerca de como reduzir o tempo de paragem veja a Secção 4.1.3, “Preparar para desligar temporariamente os serviços”.

Alguns pacotes que incluem gvfs-fuse, kio-fuse, e sshfs mudaram para FUSE 3. Durante as atualizações isto irá fazer com que fuse3 seja instalado e que fuse seja removido.

Nalgumas circunstâncias excepcionais, e.g. quando se atualiza apenas correndo apt-get dist-upgrade em vez dos passos de atualização recomendados na Capítulo 4, Actualizações a partir de Debian 10 (buster), os pacotes que dependam de fuse3 podem ser mantidos durante as atualizações. Correr os passos discutidos na Secção 4.4.5, “Actualizar o sistema” contra o apt de bullseye ou atualizado manualmente irá resolver a situação.

A partir da versão 2.2.27-1, a configuração por utilizador do conjunto GnuPG foi completamente movida para ~/gnupg/gpg.conf, e ~/gnupg/options deixou de ser utilizado. Por favor renomeie o ficheiro se necessário, ou mova o seu conteúdo para a nova localização.

A partir de Linux 5.10, é permitido, por predefinição, a todos os utilizadores criarem user namespaces. Isto irá permitir a programas tais como navegadores web e gestores de containers criar sandboxes mais restringidas para código não-confiável ou menos-confiável, sem a necessidade de correr como root ou utilizar a ajuda de setuid-root.

A anterior predefinição de Debian era restringir esta funcionalidade a processos que corressem como root, porque expunham mais problemas de segurança no kernel. No entanto, como a implementação desta funcionalidade amadureceu, agora estamos confiantes que o risco de a habilitar é ultrapassado pelos beneficios de segurança que disponibiliza.

Se preferir manter esta funcionalidade restrita, defina o sysctl:

user.max_user_namespaces = 0
      

Note que várias funcionalidades de desktop e de containers não irão funcionar com esta restrição, incluindo navegadores web, WebKitGTK, Flatpak e miniaturas de GNOME.

O sysctl específico de Debian, kernel.unprivileged_userns_clone=0tem um efeito similar, mas foi descontinuado.

A partir do Linux 5.10, Debian desabilita chamadas não privilegiadas a bpf() por predefinição. No entanto, um administrador pode mesmo assim alterar esta definição posteriormente, caso seja necessário, ao escrever 0 ou 1 em sysctl kernel.unprivileged_bpf_disabled.

Se preferir manter ativas as chamadas não privilegiadas a bpf(), defina o sysctl:

kernel.unprivileged_bpf_disabled = 0
      

Para enquadramento da alteração da predefinição em Debian veja o bug 990411 para ver o pedido de alteração.

O pacote redmine não é disponibilizado em bullseye já que era tarde demais para migrar da antiga versão de rails que está no final do suporte pelos autores (apenas recebe correções para bugs de segurança sérios) para a versão que está em bullseye. Os Maintainers de Ruby Extras seguem o original de perto e irão lançar uma versão através de backports assim que for lançado e tenham pacotes funcionais. Se não puder esperar por isto acontecer antes da atualização, pode utilizar uma VM ou um container a correr buster para isolar esta aplicação específica.

Por favor tenha em conta que a versão de Exim em bullseye é uma grande atualização de Exim. Introduz o conceito de dados contaminados (tainted) lidos a partir de fontes não-confiáveis, como e.g. o remetente da mensagem ou o destinatário. Estes dados contaminados (e.g. $local_part ou $domain) não podem ser utilizados, entre outras coisas, como nome de ficheiro, ou de directório ou de comando.

Isto irá estragar configurações que não sejam atualizadas de acordo. Os ficheiros de Debian antidos da configuração de Exim também não irão funcionar sem serem modificados; a nova configuração tem de ser instalada com as modicficações locais acrescentadas.

Exemplos típicos não-funcionais incluem:

A estratégia básica para lidar com esta alteração é utilizar o resultado de lookup em processamento adicional em vez do valor (disponibilizado remotamente) original.

Para facilitar a atualização, há uma nova opção de configuração para fazer temporariamente downgrade de erros de taint para avisos, deixando a antiga configuração funcionar com o novo Exim. Para utilizar esta funcionalidade acrescente

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

à configuração do Exim (e.g. para /etc/exim4/exim4.conf.localmacros) antes de atualizar e verificar o ficheiro log por avisos de taint. Isto é um subterfúgio temporário o qual já está marcado para remoção após a introdução.

Devido a alterações no kernel Linux, a deteção de dispositivos SCSI já não é determinística. Isto pode ser um problema para instalações que se baseiam na ordem de deteção de discos. Duas alternativas possíveis utilizando links em /dev/disk/by-path ou é sugerida uma regra de udev em esta publicação na mailing list.

O protocolo de rede com versões 1 e 2 do rdiff-backup são incompatíveis. Isto significa que terá de correr localmente e remotamente a mesma versão (ou 1 ou 2) do rdiff-backup. Já que o buster distribui a versão 1.2.8 e bullseye distribui a versão 2.0.5, atualizar de buster para bullseye apenas o sistema local ou apenas o sistema remoto irá estragar a execução do rdiff-backup entre os dois.

Está disponível no arquivo buster-backports a versão 2.0.5 de rdiff-backup, veja backports. Isto permite aos utilizadores primeiro atualizar apenas o pacote rdiff-backup nos seus sistemas buster, e depois atualizar independentemente os sistemas bullseye na sua conveniência.

Atualmente o pacote intel-microcode em bullseye e em buster-security (veja DSA-4934-1) é conhecido por conter dois bugs significativos. Para alguns CPUs CoffeeLake esta atualização pode fazer deixar de funcionar placas de rede que utilizem firmware-iwlwifi, e para alguns CPUs Skylake R0/D0 em sistemas com firmware/BIOS antigos, o sistema pode bloquear no arranque.

Se reteve a atualização do DSA-4934-1 devido a algum destes problemas, ou se não tiver o arquivo de segurança, tenha em atenção que ao atualizar o pacote intel-microcode em bullseye pode fazer o seu sistema bloquear no arranque ou deixar de funcionar o iwlwifi. Nesse caso, pode recuperar ao desabilitar o carregamento de microcode no arranque; veja as instruções no DSA, que também estão no README.Debian do intel-microcode.

Os pacotes em buster que dependem de libgc1c2 (e.g. guile-2.2-libs) poderão ser mantidos durante a execução da primeira atualização completa para bullseye. Fazer uma segunda atualização normalmente resolve o problema. O enquadramento do problema pode ser encontrado no bug #988963.

O pacote fail2ban pode ser configurado para enviar notificações por e-mail. Faz isso utilizando o comando mail, que é disponibilizado por vários pacotes em Debian. Uma atualização de segurança (necessária em sistemas que utilizam mail de mailutils) feita mesmo antes do lançamento de bullseye estragou esta funcionalidade em sistemas que tenham o mail disponibilizado por bsd-mailx. Os utilizadores de fail2ban em combinação com bsd-mailx que desejem que o fail2ban envie e-mails devem ou mudar para um provedor de mail diferente ou manualmente desfazer a aplicação do commit original (que inseriu a string "E 'set escape" em vários lugares de /etc/fail2ban/action.d.

Apesar das ligações existes de Secure Shell (SSH) continuarem a funcionar durante a atualização como é normal, devido a circunstâncias desafortunadas o período em que não podem ser establecidas novas ligações SSH é mais longo do que o normal. Se a atualização estiver a ser feita através de uma ligaão SSH que possa ser interrompida, é recomendado atualizar o openssh-server antes de atualizar o sistema completo.

The openvswitch upgrade may fail to recover bridges after boot. The workaround is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

For more info, see bug #989720.

Quando apt full-upgrade tiver terminado, a actualização “formal” estará completa. Para o upgrade para bullseye não é necessário tomar ações especiais antes de reiniciar.

Existem alguns pacotes onde Debian não pode prometer disponibilizar backports mínimos para problemas de segurança. Estes estão cobertos nas seguintes subsecções.

	Nota
	O pacote debian-security-support ajuda a seguir o estado do suporte de segurança dos pacotes instalados.

Sem um dispositivo apontador, não há forma directa de alterar as definições na aplicação de definições do GNOME, disponibilizada por gnome-control-center. Como forma de contornar isto, pode navegar desde a barra lateral para o conteúdo principal carregando duas vezes na Seta Direita. Para voltar à barra lateral, pode iniciar uma pesquisa com Ctrl+F, escreva qualquer coisa e depois carregue em Esc para cancelar a pesquisa. Agora pode utilizar a Seta Cima e Seta Baixo para navegar pela barra lateral. Não é possível seleccionar resultados de pesquisa com o teclado.

Com a implementação de sulogin utilizado desde o buster, arrancar com a opção rescue necessita sempre da palavra-passe de root. Se não foi definida nenhuma, isto torna o modo rescue efectivamente inutilizavel. No entanto ainda é possível arrancar utilizando o parâmetro do kernel init=/sbin/sulogin --fore.

Para configurar systemd para fazer o equivalente a isto sempre que arrancar para o modo rescue (também conhecido como single mode: veja systemd(1)), corra sudo systemctl edit rescue.service e criar um ficheiro com apenas:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

Também pode (ou em vez disso) ser útil para fazer isto para o unit emergency.service, o qual é iniciado automaticamente no caso de certos erros (veja systemd.special(7)), ou se emergency for acrescentado à linha de comandos do kernel (e.g. se o sistema não poder ser recuperado ao utilizar o modo modo rescue).

Para enquadramento e uma discussão das implicações de segurança veja #802211.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

Os seguintes são uma lista de pacotes conhecidos e relevantes que são obsoletos (para uma descrição, veja a Secção 4.8, “Pacotes obsoletos” ).

A lista de pacotes obsoletos inclui:

Com o próximo lançamento de Debian 12 (nome de código bookworm) serão depreciadas algumas funcionalidades. Os utilizadores irão necessitar de migrar para outras alternativas para prevenir problemas ao actualizar para 12.

Isto inclui as seguintes funcionalidades: