Capítulo 5. Problemas a ter en conta con bullseye

O sistema de ficheiros XFS eliminou as opcións de montaxe barrier e nobarrier. Recoméndase que se eliminen de /etc/fstab se estiveran algunha delas. As particións que usen estas opcións saltarán cun erro ao montarse.

En bullseye, a suite de seguridade mudou o nome de buster/updates a bullseye-security, e os usuarios deberían actualizar os seus ficheiros de fontes de APT ao actualizar.

A liña sobre seguranza na súa configuración de APT debería parecerse a:

deb https://deb.debian.org/debian-security bullseye-security main contrib

Se a súa configuración de APT inclúe o bloqueo de paquetes ou APT::Default-Release pode que teña que axustalos, pois o nome do arquivo de seguridade xa non coincido co do arquivo normal. Exemplo funcional do APT::Default-Release en bullseye:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

which takes advantage of APT's support for regular expressions (inside /).

O resumo criptográfico por omisión para as contas locais do sistema cambiouse do SHA-512 a yescrypt (consulte crypt(5)). Isto proporcionará máis seguridade ante os ataques de dicionario, pola maior complexidade espacial e temporal necesaria.

Para aproveitar esta mellora na seguridade cambie os contrasinais locais, por exemplo coa orde passwd.

Os vellos contrasinais continuarán funcionando sexa cal fora o resumo criptográfico que as creara.

Yescrypt non é compatible con Debian 10 (buster). Polo tanto, os ficheiros de contrasinais ocultos (/etc/shadow) non se poden copiar dende un sistema bullseye a un sistema buster. Se se copian os contrasinais que foran cambiados no sistema bullseye estes non funcionarán no sistema buster. E tampouco se poden copiar os resumos criptográficos dos contrasinais dun sistema bullseye a un sistema buster.

Se precisa que os resumos criptográficos dos contrasinais sexan compatibles entre bullseye e buster terá que modificar /etc/pam.d/common-password. Atope unha liña que se asemelle a:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

e substitúa yescrypt por sha512.

A compatibilidade cos NSS NIS e NIS+ foi dividido entre os paquetes libnss-nis e libnss-nisplus. Porén glibc non pode depender neses paquetes, polo que por agora só se recomendan.

Polo tanto recomendamos que nos sistemas que usen NIS ou NIS+ se comprobe que se instalaron cadanseu paquete tras a actualización.

O servizo de resolución de consultas DNS unbound cambiou a maneira na que xestiona os anacos dos ficheiros de configuración. Se vostede usa include: para xuntar varios anacos nunha configuración válida consulte o ficheiro NEWS.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

Os engadidos de vim, antes distribuídos por vim-scripts, son agora xestionados polo xestor de « paquetes » nativo de Vim; e non por vim-addon-manager. Os usuarios de Vim deberían prepararse antes de actualizar seguindo as instrucións no ficheiro NEWS.

OpenStack Victoria (estreado en bullseye) precisa de cgroup v1 para a calidade do servizo dos dispositivos en bloque. Como bullseye usará cgroupv2 por omisión (véxase Sección 2.2.4, « Grupos de control v2 »), a árbore sysfs en /sys/fs/cgroup non incluirá características de cgroup v1 coma /sys/fs/cgroup/blkio, polo que cgcreate -g blkio:foo non funcionará. Para os nodos de OpenStack que executen nova-compute ou cinder-volume recoméndase que se lles engadan os parámetros systemd.unified_cgroup_hierarchy=false e systemd.legacy_systemd_cgroup_controller=false á liña de ordes do núcleo para sobrescribir os valores por omisión e usar a xerarquía cgroup antiga.

A API OpenStack de OpenStack Victoria en bullseye foi modificada, seguindo as recomendacións dos autores orixinais, para usar o novo formato YAML. Polo tanto a maioría dos servizos OpenStack, por exemplo Nova, Glance e Keystone; non funcionarán ao teren as políticas da API especificadas nos ficheiros policy.json. Por iso os paquetes inclúen o cartafol /etc/PROJECT/policy.d co ficheiro 00_default_policy.yaml, con todas as políticas comentadas por omisión.

O paquete OpenStack en Debian move o ficheiro policy.json a disabled.policy.json.old, para evitar que se active. Nos casos onde non se puido arranxar nada mellor a tempo o que se fixo foi borrar o ficheiro policy.json. Polo tanto faga copias de seguridade dos seus policy.json antes de actualizar.

Pódese atopar máis información na documentación orixinal.

A diferenza dunha actualización normal do sendmail, durante a actualización de buster a bullseye o servizo sendmail pararase, durante máis tempo ca de forma normal. Pode ver consellos xenéricos para reducir o tempo de inactividade en Sección 4.1.3, « Prepárese para desconectar os servizos ».

Algúns paquetes, por exemplo gvfs-fuse, kio-fuse, e sshfs; pasáronse ao FUSE 3. Isto fai que, durante a actualización, instalarase o paquete fuse3 e eliminarase o paquete fuse .

Nalgúns casos, por exemplo ao actualizar facendo só apt-get dist-upgrade sen seguir os pasos recomendados en Capítulo 4, Actualizar dende Debian 10 (buster), pode que os paquetes que dependen de fuse3 queden atascados durante a actualización. Pódese arranxar este problema seguindo outra vez os pasos indicados en Sección 4.4.5, « Actualizar o sistema » co apt de bullseye, ou actualizándoos manualmente.

A partir da versión 2.2.27-1 a configuración de cada usuario da suite GnuPG foi movida a ~/.gnupg/gpg.conf, e xa non se usa ~/.gnupg/options. Renomee o ficheiro se for preciso, ou mova os seus contidos a outro sitio.

A partir de Linux 5.10 todos os usuarios poden crear espazos de nomes por omisión. Isto lle permitirá crear gaiolas illadas máis restrinxidas para executar código non fiable aos navegadores e os xestores de contedores, sen ter que seren superusuarios ou cambiar o identificador de usuario.

Antes Debian lles restrinxía esta capacidade por omisión aos procesos a executarse coma superusuario, por expoñer problemas de seguridade no núcleo. Porén a implementación desta capacidade mellorou moito, e estamos seguros de que os beneficios de seguridade superan os perigos que leva.

Se prefire mantela restrinxida, poña o sysctl a:

user.max_user_namespaces = 0
      

Pero pense que hai varios ambientes de escritorio e funcionalidades nos contedores que non funcionarán con esta capacidade restrinxida, entre outros os navegadores, WebKitGTK, Flatpak e as iconas en GNOME.

A opción de sysctl propia de Debian kernel.unprivileged_userns_clone=0 fai algo semellante, pero non se recomenda o seu uso.

A partir de Linux 5.10 Debian tamén desactiva as chamadas non autorizadas a bfp(). Porén un administrador pode cambiar isto, se o precisa, indicándolle 1 ou 0 ao sysctl kernel.unprivileged_bpf_disabled.

Se prefire manter restrinxidas as chamadas a bpf() configure sysctl tal que:

kernel.unprivileged_bpf_disabled = 0
      

Para máis información sobre o cambio vaia a #990411 para ver a petición.

O paquete redmine non está incluído en bullseye por que cambiou da vella versión de rails, que está a piques de recibir as súas últimas actualizacións (só restan arranxos de seguridade inescusables), á nova versión de bullseye demasiado tarde. Os Mantedores Ruby Extras seguen ao día as novas que veñen da fonte orixinal, e sacarán unha versión de mantemento dende «backports» en canto saia e os paquetes funcionen. Se non pode agardar a que iso pase antes de actualizar, recomendámoslle que use unha máquina virtual ou un contedor con buster para illar esa aplicación.

Decátese de que a versión de Exim en bullseye é unha grande actualización. Esta actualización introduce o concepto da lectura de datos corruptos [tainted] dende fontes non fiábeis, por exemplo o remitente ou destinatario dunha mensaxe. Estes datos corruptos (por exemplo $local_part or $domain) non se poden usar como ficheiros, ou para nomes de cartafoles ou ordes; entre outros.

Isto romperá as configuracións que non estean actualizadas correctamente. Tampouco funcionarán sen cambios os ficheiros de configuración de Exim no antigo Debian, vostede deberá instalar a nova configuración coas súas modificacións locais.

Algúns exemplos non funcionais inclúen:

Os pasos xerais para adaptar estes cambios é usar o resultado dunha busca no proceso posterior en lugar do valor orixinal (subministrado dende o remoto).

Para facilitar a actualización creouse un parámetro principal de configuración para temporalmente degradar os erros de corrupción a avisos, permitíndolle funcionar á antiga configuración co novo Exim. Para activar isto engada

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

no ficheiro de configuración de Exim (por exemplo en /etc/exim4/exim4.conf.localmacros) antes de actualizar, e consulte os rexistros para atopar avisos de corrupción. Isto é unha trapallada que xa está preparada para se eliminar ao introducir as novas versións.

Por culpa de cambios no núcleo Linux a sondaxe de dispositivos SCSI volveuse indeterminista. Isto pódeslle causar problemas ás instalacións que se baseen na orde de sondaxe dos discos. Esta mensaxe da lista de correo suxire dúas alternativas: usar ligazóns en /dev/disk/by-path ou unha norma en udev.

As versións 1 e 2 do protocolo de rede de rdiff-backup son incompatibles entre si. Polo tanto terá que ter a mesma versión (xa for 1 ou 2) de rdiff-backup aquí e acolá. Como buster ten a versión 1.2.8 e bullseye a versión 2.0.5 actualizar só o cliente ou só o sistema remoto impedirá o funcionamento de rdiff-backup nos dous sistemas.

Está dispoñible a versión 2.0.5 de rdiff-backup no arquivo buster-backports, véxase backports. Isto permítelle aos usuarios actualizar só o paquete rdiff-backup nos sistemas con buster, e cando se puider actualizar a bullseye sen problemas.

O paquete intel-microcode existente en bullseye e en buster-security (véxase DSA-4934-1) contén dous problemas importantes coñecidos. Nalgúns procesadores CoffeeLake esta actualización pode estragar as interfaces de rede que usen firmware-iwlwifi, e, nalgúns procesadores Skylake R0/D0 en sistemas con BIOS ou microcódigo non actualizado, o sistema pode calarse ao arrancar.

Se non quixo actualizar co DSA-4934-1 por mor de calquera dos dous problemas, ou se non activou o arquivo de seguridade, teña en conta que actualizar o paquete intel-microcode en bullseye pode causar que o sistema se cale ao arrancar, ou que se estrague iwlwifi. Se isto sucede pode amañalo desactivando a carga do microcódigo ao iniciar. Consulte as instrucións no DSA, que se atopan no README.Debian dentro de intel-microcode.

Os paquetes de buster que dependen de libgc1c2 (por exemplo guile-2.2-libs) pode que non se actualicen na primeira quenda da actualización a bullseye. Facendo unha segunda actualización soe resolver o problema. Para máis información consulte o fallo #988963.

O paquete fail2ban pode configurarse para que envíe notificacións por correo electrónico. Para facelo usa mail, que pode obterse de varios paquetes. Unha actualización de seguranza (necesaria nos sistemas que usan o mail de mailutils) xusto antes da saída de bullseye estragou esta función nos sistemas que usan o mail de bsd-mailx. Os usuarios que usen fail2ban con bsd-mailx e queiran que fail2ban envíe mensaxes por correo deberán mudar o fornecedor de mail, ou desfacer manualmente a modificación orixinal (que engadiu a cadea "-E 'set escape'" en varios sitios dentro de /etc/fail2ban/action.d/).

Inda que as conexións da Interface de Ordes Segura (SSH) deberían continuar funcionando durante a instalación, por culpa de circunstancias desafortunadas, o tempo que ten que pasar antes de poder facer novas conexións SSH é maior que de costume. Se a actualización estase a facer mediante unha conexión SSH que pode sufrir cortes recomendamos actualizar openssh-server antes de actualizar o sistema completo.

The openvswitch upgrade may fail to recover bridges after boot. The workaround is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

For more info, see bug #989720.

Cando remate apt full-upgrade, a actualización « en sí » rematou. Para actualizar a bullseye non é necesario facer máis cousas antes de reiniciar.

Hai algúns paquetes onde Debian non pode prometer manter unha modernización mínima por razóns de seguridade. Estes paquetes trátanse nas seguintes subseccións.

	Nota
	O paquete debian-security-support axuda a manterse ao día sobre a asistencia técnica de seguridade dos paquetes.

Sen un dispositivo para apuntar non hai unha maneira directa de cambiar os axustes na aplicación de Preferencias de GNOME do paquete gnome-control-center. Para evitalo podes navegar dende a barra lateral cara o contido principal premendo a Frecha Dereita dúas veces. Para volver á barra lateral podes comezar unha busca con Ctrl+F, escribindo algo e premendo Esc para cancelar a busca. Agora podes usar Frecha Arriba e Frecha Abaixo para navegar a barra lateral. Non é posíbel seleccionar os resultados da busca co teclado.

Dende a implantación de sulogin en buster arrancar con rescue precisa do contrasinal de superusuario. Se non puxo ningunha non poderá usar o modo de recuperación. Porén inda se poderá arrancar co argumento no núcleo init=/sbin/sulogin --force

Para que systemd faga algo semellante cando entre no modo de recuperación (tamén chamado modo de usuario único [«single mode»]: véxase systemd(1)), execute sudo systemctl edit rescue.service e cre un ficheiro que poña:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

Tamén pode axudar facelo coa unidade emergency.service, que se inicia automaticamente en caso de certos fallos (véxase systemd.special(7)), ou se se lle engadiu emergency á liña de ordes do núcleo (p.e. se o sistema non se pode recuperar dende o modo de recuperación).

Para máis información e discusión sobre as implicacións de seguridade véxase #802211.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

Esta é unha lista dos paquetes obsoletos que se consideran importantes (véxase Sección 4.8, « Paquetes obsoletos » para a definición).

A lista de paquetes obsoletos inclúe:

Na seguinte versión de Debian 12 (alcumada bookworm) quitáronse algunhas características. Os usuarios terán que migrar a outras alternativas para evitar problemas ao actualizaren a Debian 12.

Isto inclúe as seguintes características: