Hoofdstuk 5. Kwesties waarvan u zich bewust moet zijn bij bullseye

Bij het XFS-bestandssysteem werd ondersteuning voor de aankoppelopties barrier en nobarrier verwijderd. Het wordt aanbevolen om /etc/fstab te controleren op de aanwezigheid van een van beide sleutelwoorden en deze te verwijderen. Partities die deze opties gebruiken zullen niet aangekoppeld worden.

In bullseye heet de beveiligingssuite nu bullseye-security in plaats van codename/updates en gebruikers moeten hun sources.list-bestanden voor APT dienovereenkomstig aanpassen bij het upgraden.

De beveiligingsregel in uw APT-configuratie kan er zo uitzien:

deb https://deb.debian.org/debian-security bullseye-security main contrib

Als uw APT-configuratie ook pinning of APT::Default-Release omvat, zijn er waarschijnlijk aanpassingen nodig omdat de codenaam van het beveiligingsarchief niet langer overeenkomt met die van het reguliere archief. Een voorbeeld van een werkende APT::Default-Release-regel voor bullseye ziet er als volgt uit:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

Deze regel maakt gebruik van het feit dat APT reguliere expressies ondersteunt (binnen /).

De standaard wachtwoordhash voor lokale systeemaccounts is veranderd van SHA-512 naar yescrypt (zie crypt(5)). Dit zal naar verwachting een verbeterde beveiliging bieden tegen op woordenboek gebaseerde aanvallen om wachtwoorden te raden, zowel wat betreft de ruimte- als de tijdcomplexiteit van de aanval.

Wijzig lokale wachtwoorden om van deze verbeterde beveiliging te profiteren; gebruik bijvoorbeeld heet commando passwd.

Oude wachtwoorden blijven werken, ongeacht de wachtwoord-hash die is gebruikt om ze te maken.

Yescrypt wordt niet ondersteund in Debian 10 (buster). Als gevolg hiervan kunnen shadow-wachtwoordbestanden (/etc/shadow) niet van een bullseye-systeem terug naar een buster-systeem worden gekopieerd. Als deze bestanden worden gekopieerd, zullen wachtwoorden die zijn gewijzigd op het bullseye-systeem niet werken op het buster-systeem. Evenzo kunnen wachtwoord-hashes niet worden geknipt en geplakt van een bullseye- naar een buster-systeem.

Als compatibiliteit vereist is voor wachtwoord-hashes tussen bullseye en buster, pas dan /etc/pam.d/common-password aan. Zoek de regel die er als volgt uitziet:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

en vervang yescrypt door sha512.

De ondersteuning voor NSS NIS en NIS+ werd verplaatst naar aparte pakketten, genaamd libnss-nis en libnss-nisplus. Helaas kan glibc deze pakketten niet vereisen en daarom worden deze nu slechts aanbevolen.

Op systemen die NIS of NIS+ gebruiken, is het daarom aangeraden om te controleren of die pakketten correct geïnstalleerd zijn na de upgrade.

De DNS-resolver unbound heeft de manier veranderd waarop het configuratiebestandsfragmenten verwerkt. Als u vertrouwt op een include:-richtlijn om verschillende fragmenten samen te voegen tot een geldige configuratie, moet u het NEWS-bestand lezen.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

De uitbreidingen voor vim welke voorheen werden geleverd door vim-scripts, worden nu beheerd door vim's eigen “pakket”-functionaliteit in plaats van door vim-addon-manager. Gebruikers van vim moeten zich voor de opwaardering hierop voorbereiden door de instructies uit het bestand NEWS te volgen.

OpenStack Victoria (uitgebracht in bullseye) vereist cgroup v1 voor blokapparaat QoS. Omdat in bullseye ook overgeschakeld wordt op het gebruik van cgroup v2 als standaard (zie Paragraaf 2.2.4, “Control groups v2”), zal de sysfs-boom in /sys/fs/cgroup geen cgroup-functies voor v1 bevatten zoals /sys/fs/cgroup/blkio, met als gevolg dat cgcreate -g blkio:foo zal mislukken. Voor OpenStack-nodes die nova-compute of cinder-volume gebruiken, wordt sterk aanbevolen om de standaardinstelling te overschrijven en de oude cgroup-hiërarchie te herstellen door aan de kernel-commandoregel de parameters systemd.unified_cgroup_hierarchy=false en systemd.legacy_systemd_cgroup_controller=false toe te voegen.

In navolging van de bovenstroomse aanbevelingen, schakelt OpenStack Victoria, zoals het in bullseye uitgebracht wordt, voor de OpenStack API over op het gebruik van het nieuwe YAML-formaat. Als gevolg hiervan blijken de meeste OpenStack-diensten, waaronder Nova, Glance en Keystone, defect te zijn met al de API-beleidsregels die expliciet in de bestanden policy.json beschreven zijn. Daarom worden pakketten nu standaard geleverd met een map /etc/PROJECT/policy.d met daarin het bestand 00_default_policy.yaml waarin alle beleidsregels zijn uitgecommentarieerd.

Om te vermijden dat het oude bestand policy.json actief blijft, hernoemen de OpenStack-pakketten in Debian dat bestand nu naar disabled.policy.json.old. In sommige gevallen, waarin voor de release tijdig niets beters kon worden gedaan, wordt het bestand policy.json zelfs gewoon verwijderd. Dus voordat u een opwaardering uitvoert, wordt het ten zeerste aangeraden om een back-up te maken van de bestanden policy.json uit uw implementaties.

Meer details zijn te vinden in de bovenstroomse documentatie.

In tegenstelling tot normale opwaarderingen van sendmail, zal de dienst sendmail gestopt worden tijdens de opwaardering van buster naar bullseye, met een langere onderbreking dan gewoonlijk tot gevolg. Voor algemeen advies over het beperken van de onbeschikbaarheid kunt u Paragraaf 4.1.3, “Bereid u voor op het feit dat diensten een tijd onbeschikbaar zullen zijn” raadplegen.

Sommige pakketten, waaronder gvfs-fuse, kio-fuse en sshfs zijn overgeschakeld op FUSE 3. Daardoor zal tijdens opwaarderingen fuse3 geïnstalleerd worden en zal fuse verwijderd worden.

In sommige uitzonderlijke omstandigheden, bijvoorbeeld wanneer men de opwaardering enkel met het commando apt-get dist-upgrade uitvoert in plaats van met de in Hoofdstuk 4, Opwaarderen vanuit Debian 10 (buster) aanbevolen opwaarderingsstappen, kunnen pakketten die fuse3 vereisen, achtergehouden worden tijdens de opwaardering. De in Paragraaf 4.4.5, “Het systeem opwaarderen” besproken opwaarderingsstappen opnieuw uitvoeren met apt uit bullseye of de betrokken pakketten handmatig opwaarderen zal het probleem oplossen.

Vanaf versie 2.2.27-1 is de per-gebruiker-configuratie van de GnuPG-suite volledig verplaatst naar ~/.gnupg/gpg.conf en is ~/.gnupg/options niet langer in gebruik. Hernoem het bestand indien nodig, of verplaats de inhoud naar de nieuwe locatie.

Vanaf Linux 5.10 is het standaard alle gebruikers toegestaan om gebruikersnaamruimten te creëren. Hierdoor kunnen programma's zoals webbrowsers en containerbeheerders sandboxen met meer beperkingen maken voor niet-vertrouwde of minder vertrouwde code, zonder dat deze als root moeten worden uitgevoerd of dat er een setuid-root-hulpmiddel moet gebruikt worden.

De vorige standaard in Debian was om deze functie te beperken tot processen die als root werden uitgevoerd, omdat dit een grotere blootstelling aan beveiligingsproblemen in de kernel opleverde. Naarmate de implementatie van deze functie meer voldragen werd, zijn wij nu echter de overtuiging toegedaan dat het risico van het inschakelen ervan niet opweegt tegen de veiligheidsvoordelen ervan.

Als u deze functie liever beperkt houdt, stel dan de volgende sysctl in:

user.max_user_namespaces = 0
      

Merk op dat verschillende desktop- en containerfuncties niet zullen werken met deze beperking, inclusief webbrowsers, WebKitGTK, Flatpak en miniatuurvoorbeelden in GNOME.

Het Debian-specifieke sysctl kernel.unprivileged_userns_clone=0 heeft een gelijkaardig effect, maar is verouderd.

Vanaf Linux 5.10 worden in Debian standaard niet-geprivilegieerde aanroepen naar bpf() uitgeschakeld. Zo nodig kan een beheerder deze instelling echter later nog wijzigen door 0 of 1 naar de sysctl kernel.unprivileged_bpf_disabled te schrijven.

Als u liever niet-geprivilegieerde aanroepen naar bpf() ingeschakeld wilt houden, stel dan de volgende sysctl in:

kernel.unprivileged_bpf_disabled = 0
      

Zie bug 990411 waarin om de wijziging verzocht wordt, voor achtergrondinformatie over deze wijziging van de standaardinstelling in Debian.

Het pakket redmine wordt niet aangeboden in bullseye, omdat het te laat was met de overschakeling van de oude versie van rails, die aan het einde is van de bovenstroomse ondersteuning (en alleen reparaties voor ernstige beveiligingsfouten ontvangt), naar de versie die in bullseye zit. De onderhouders van Ruby Extras volgen van nabij de bovenstroomse ontwikkelingen en zullen via backports een versie uitbrengen van zodra deze uitgebracht werd en ze over werkende pakketten beschikken. Indien u niet kunt wachten met opwaarderen totdat dit gebeurd is, kunt u gebruik maken van een VM of een container waarin buster draait, om deze specifieke toepassing af te zonderen.

Beschouw de versie van Exim in bullseye als een belangrijke opwaardering van Exim. Ze introduceert het concept van besmette gegevens die worden gelezen uit niet-vertrouwde bronnen, zoals bijv. de afzender of de ontvanger van het bericht. Deze besmette gegevens (bijv. $local_part of $domain) kunnen onder andere niet worden gebruikt als bestands- of mapnaam of als commandonaam.

Dit zal configuraties welke niet dienovereenkomstig worden bijgewerkt onbruikbaar maken. Ongewijzigde oude Debian configuratiebestanden van Exim zullen in ongewijzigde toestand ook niet werken. Men moet de nieuwe configuratie installeren en de lokale aanpassingen daarin invoegen.

Typische voorbeelden van zaken welke niet werken zijn:

De basisstrategie om met deze verandering om te gaan is om bij verdere verwerking het resultaat van een opzoekingsactie te gebruiken in plaats van de oorspronkelijke (extern verstrekte) waarde.

Om het opwaarderen te vergemakkelijken, bestaat er een nieuwe hoofdconfiguratieoptie om fouten gemaakt tegen dit concept van besmetting tijdelijk af te waarderen naar waarschuwingen, waardoor de oude configuratie kan blijven werken met de nieuwere Exim. Om van deze functionaliteit gebruik te maken, voegt u

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

toe aan de configuratie van Exim (bijv. in /etc/exim4/exim4.conf.localmacros) voor u opwaardeert. Dan kunt u het logbestand nakijken op waarschuwingen in verband met besmettingen. Dit is een tijdelijke oplossing die bij introductie al gemarkeerd staat om verwijderd te worden.

Door veranderingen in de Linux-kernel is het aftasten van SCSI-apparaten niet langer sluitend. Dit kan een probleem zijn voor installaties die afhankelijk zijn van de volgorde waarin de schijven onderzocht worden. In dit bericht in de mailinglijst. worden twee alternatieve mogelijkheden gesuggereerd om hiermee om te gaan: links gebruiken in /dev/disk/by-path of een udev-regel gebruiken.

Het netwerkprotocol van versie 1 en 2 van rdiff-backup is niet compatibel. Dit betekent dat u lokaal en op het externe systeem dezelfde versie (ofwel 1 ofwel 2) van rdiff-backup moet gebruiken. Aangezien buster versie 1.2.8 bevat en bullseye versie 2.0.5, zal het upgraden van buster naar bullseye van alleen het lokale systeem of alleen het externe systeem de rdiff-backup-doorloop tussen de twee verbreken.

Versie 2.0.5 van rdiff-backup is beschikbaar in het archief buster-backports; zie backports. Dit stelt gebruikers in staat om eerst alleen het pakket rdiff-backup op hun buster-systemen op te waarderen, en vervolgens onafhankelijk daarvan de systemen te upgraden naar bullseye wanneer het hen best past.

Van het momenteel in bullseye en buster-security (zie DSA-4934-1) aanwezige pakket intel-microcode is bekend dat het twee significante bugs bevat. Ernaartoe updaten kan bij sommige CoffeeLake CPU's die gebruik maken van firmware-iwlwifi, de netwerkinterfaces onklaar maken en kan bij sommige Skylake R0/D0 CPU's op systemen met een zeer verouderde firmware/BIOS, het systeem bij het opstarten doen vastlopen.

Als u de update van DSA-4934-1 hebt tegengehouden vanwege een van deze problemen, of als u het beveiligingsarchief niet hebt ingeschakeld, moet u er rekening mee houden dat opwaarderen naar het pakket intel-microcode in bullseye ervoor kan zorgen dat uw systeem vastloopt bij het opstarten of dat iwlwifi onklaar raakt. In dat geval kunt u de zaak herstellen door het laden van microcode bij het opstarten uit te schakelen; zie de richtlijnen in het DSA, welke ook te vinden zijn in het bestand README.Debian van het pakket intel-microcode.

Pakketten die in buster libgc1c2 vereisen (bijv. guile-2.2-libs) kunnen vastgehouden worden bij de eerste doorloop van een volledige opwaardering (full-upgrade) naar bullseye. Een tweede upgrade uitvoeren lost het probleem gewoonlijk op. Achtergrondinformatie bij dit probleem is te vinden in bug #988963.

Het pakket fail2ban kan geconfigureerd worden om e-mailmeldingen te verzenden. Het doet dit met mail, dat door verschillende pakketten in Debian aangeboden wordt. Een beveiligingsupdate (nodig op systemen die mail van mailutils gebruiken) net voor de release van bullseye maakte deze functionaliteit onklaar voor systemen die mail gebruiken dat geleverd wordt door bsd-mailx. Gebruikers van fail2ban in combinatie met bsd-mailx die willen dat fail2ban e-mail verstuurt, moeten ofwel overschakelen naar een andere aanbieder van mail, ofwel handmatig de bovenstroomse commit ongedaan maken (welke de tekenreeks "-E 'set escape'" invoegde op meerdere plaatsen onder /etc/fail2ban/action.d/).

Hoewel bestaande SSH-verbindingen (Secure Shell) tijdens de opwaardering gewoon zouden moeten blijven werken, is door ongelukkige omstandigheden de periode waarin geen nieuwe SSH-verbindingen tot stand kunnen worden gebracht, langer dan normaal. Als de opwaardering wordt uitgevoerd over een SSH-verbinding die onderbroken kan worden, is het aangewezen om eerst openssh-server op te waarderen voordat het volledige systeem opgewaardeerd wordt.

Het opwaarderingsproces van openvswitch slaagt er mogelijk niet in om na het opstarten de bridges te herstellen. Een tijdelijke oplossing is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

Zie voor meer informatie bug #989720.

Wanneer apt full-upgrade beëindigd is, is de opwaardering “formeel” afgerond. Bij de opwaardering naar bullseye zijn er geen speciale acties meer nodig voordat u de computer herstart.

Voor sommige pakketten kan Debian niet garanderen dat er bij veiligheidsproblemen minimale backports (oplossingen overgenomen van een recentere pakketversie) beschikbaar gesteld zullen worden. Daarover handelen de volgende paragrafen.

	Opmerking
	Het pakket debian-security-support helpt om de situatie op het gebied van beveiligingsondersteuning van geïnstalleerde pakketten na te gaan.

Zonder muis is er geen rechtstreekse manier om instellingen te wijzigen in de app GNOME-Instellingen (GNOME Settings) die beschikbaar gesteld wordt door gnome-control-center. Als mogelijke oplossing kunt u navigeren van de zijbalk naar de hoofdinhoud door tweemaal op de Rechterpijltoets te drukken. Om naar de zijbalk terug te keren, kunt u een zoekbewerking starten met Ctrl+F, iets intypen en dan op Esc drukken om de zoekbewerking af te breken. Nu kunt u gebruik maken van Pijl omhoog en Pijl omlaag om in de zijbalk te navigeren. Het is niet mogelijk om met het toetsenbord zoekresultaten te selecteren.

Met de toepassing van sulogin dat sinds buster gebruikt wordt, vereist het opstarten met de optie rescue altijd het wachtwoord van de systeembeheerder. Indien een dergelijk wachtwoord niet ingesteld werd, is de noodmodus effectief onbruikbaar. Het is echter nog steeds mogelijk om op te starten met de kernelparameter init=/sbin/sulogin --force

Om systemd te configureren om het equivalent hiervan te doen telkens het opstart in de noodmodus (ook wel bekend als enkelvoudige modus: zie systemd(1)), moet u het commando sudo systemctl edit rescue.service uitvoeren en een bestand maken met daarin enkel:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

Het kan ook (of in plaats daarvan) nuttig zijn om dit te doen voor de unit emergency.service, welke automatisch opgestart wordt in het geval van bepaalde fouten (zie systemd.special(7)), of indien emergency toegevoegd wordt aan de commandoregel van de kernel (bijv. als het systeem niet met behulp van de noodmodus hersteld kan worden).

Zie #802211 voor achtergrondinformatie en voor een bespreking van de veiligheidsimplicaties.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

Hierna volgt een lijst van bekende vermeldenswaardige uitgefaseerde pakketten (zie Paragraaf 4.8, “Verouderde pakketten” voor een beschrijving).

Tot de uitgefaseerde pakketten behoren:

Met de volgende uitgave van Debian 12 (codenaam bookworm) zal sommige functionaliteit verouderd zijn. Gebruikers zullen moeten overschakelen op alternatieven om problemen te voorkomen bij de opwaardering naar Debian 12.

Daaronder valt de volgende functionaliteit: