Capítulo 5. Problemas a serem considerados para a bullseye

O suporte às opções de montagem barrier e nobarrier foi removido do sistema de arquivos XFS. É recomendado checar /etc/fstab pela presença de uma dessas palavras e removê-la. Partições usando essas opções vão falhar ao montar.

Para a bullseye, a suíte de segurança é agora chamada bullseye-security em vez de codinome/updates, e usuários devem adaptar seus arquivos source-list do APT adequadamente ao atualizar.

A linha de segurança em sua configuração do APT pode parecer com:

deb https://deb.debian.org/debian-security bullseye-security main contrib

Se a sua configuração do APT também envolve “pinning” ou APT::Default-Release, provavelmente serão necessários ajustes, uma vez que o codinome do repositório de segurança não combina mais com o codinome do repositório regular. Um exemplo de uma linha APT::Default-Release funcional para a bullseye se parece com:

APT::Default-Release "/^bullseye(|-security|-updates)$/";

which takes advantage of APT's support for regular expressions (inside /).

O hash de senha padrão para contas de sistema locais foi alterado de SHA-512 para yescrypt (veja crypt(5)). É esperado que isso ofereça maior segurança com relação a ataques de adivinhação de senha baseado em dicionário, em termos da complexidade tanto de espaço quanto de tempo do ataque.

Para tirar proveito desta melhoria em segurança, altere senhas locais; por exemplo, use o comando passwd.

Senhas antigas continuarão funcionando usando qualquer que seja o hash de senha usado para criá-las.

Yescrypt não é suportado por Debian 10 (buster). Consequentemente, arquivos de senha shadow (/etc/shadow) não podem ser copiados de um sistema bullseye de volta para um sistema buster. Se esses arquivos forem copiados, senhas que foram alteradas no sistema bullseye não funcionarão no sistema buster. Similarmente, hashes de senha não podem ser copiados&colados de um sistema bullseye para buster.

Se for necessário compatibilidade para hashes de senha entre bullseye and buster, modifique /etc/pam.d/common-password. Encontre a linha que se parece com:

password [success=1 default=ignore] pam_unix.so obscure yescrypt
	

e substitua yescrypt por sha512.

O suporte a NSS NIS e NIS+ foi movido para pacotes separados, chamados libnss-nis e libnss-nisplus. Infelizmente, glibc não pode depender desses pacotes e, por esse motivo, eles são somente recomendados agora.

Em sistemas usando NIS ou NIS+, portanto, é recomendado conferir se esses pacotes estão instalados corretamente depois da atualização.

O resolvedor DNS unbound mudou a forma de gerenciar fragmentos de arquivos de configuração. Se você está usando uma diretiva include: para unir vários fragmentos em uma única configuração válida, você deveria ler o arquivo NEWS.

The rsync parameter --noatime has been renamed --open-noatime. The old form is no longer supported; if you are using it you should see the NEWS file. Transfer processes between systems running different Debian releases may require the buster side to be upgraded to a version of rsync from the backports repository. The version of rsync in the initial release of bullseye also deprecated --copy-devices in favor of --write-devices, but version 3.2.3-4+deb11u1 (included in bullseye point release 11.1) reverts this deprecation and supports both options.

Os “addons” para o vim, historicamente fornecidos por vim-scripts, agora são gerenciados pela funcionalidade “package” nativa do Vim, em vez de pelo vim-addon-manager. Usuários do Vim devem agir antes da atualização, seguindo as instruções do arquivo NEWS.

O OpenStack Victoria (lançado na bullseye) exige cgroup v1 para QoS de dispositivos de bloco. Uma vez que a bullseye também mudou para o uso de cgroupv2 por padrão (veja Seção 2.2.4, “Control groups v2”), a árvore sysfs em /sys/fs/cgroup não incluirá funcionalidades cgroup v1 tais como /sys/fs/cgroup/blkio e, como resultado, cgcreate -g blkio:foo falhará. Para nós OpenStack executando nova-compute ou cinder-volume, é fortemente aconselhado adicionar os parâmetros systemd.unified_cgroup_hierarchy=false e systemd.legacy_systemd_cgroup_controller=false à linha de comando do kernel, para sobrepor o padrão e restaurar a antiga hierarquia cgroup.

Seguindo as recomendações do autor original, o OpenStack Victoria, na versão distribuída na bullseye, passa a usar o novo formato YAML para a API do OpenStack. Como resultado, a maioria dos serviços OpenStack, incluindo Nova, Glance e Keystone, aparecem quebrados, com todas as políticas da API escritas explicitamente em arquivos policy.json. Portanto, pacotes agora vêm com um diretório /etc/PROJECT/policy.d contendo um arquivo 00_default_policy.yaml, com todas as políticas comentadas por padrão.

Para evitar que o antigo arquivo policy.json continue ativo, os pacotes Debian do OpenStack agora renomeiam tal arquivo como disabled.policy.json.old. Em alguns casos, quando nenhuma alternativa melhor pôde ser implementada em tempo hábil para o lançamento, o arquivo policy.json é, até mesmo, simplesmente deletado. Portanto, antes da atualização, é fortemente aconselhado fazer cópias de segurança dos arquivos policy.json das suas instalações.

Mais detalhes estão disponíveis na documentação do autor original.

Em contraste com as atualizações normais do sendmail, durante a atualização da buster para a bullseye o serviço sendmail será parado, causando mais indisponibilidade que o usual. Para aconselhamento genérico sobre redução de indisponibilidade, veja Seção 4.1.3, “Preparar para indisponibilidade de serviços”.

Alguns pacotes, incluindo gvfs-fuse, kio-fuse e sshfs, mudaram para FUSE 3. Durante as atualizações, isso fará com que fuse3 seja instalado e fuse seja removido.

Em algumas circunstâncias excepcionais, por exemplo, ao fazer a atualização somente executando apt-get dist-upgrade em vez de seguir os passos de atualização recomendados em Capítulo 4, Atualizações a partir do Debian 10 (buster), os pacotes que dependem de fuse3 podem ser mantidos nas suas versões antigas durante a atualização. Executar os passos discutidos em Seção 4.4.5, “Atualizando o sistema” novamente com o apt da bullseye, ou atualizá-los manualmente, resolverá a situação.

A partir da versão 2.2.27-1, a configuração por usuário da suíte GnuPG foi completamente movida para ~/.gnupg/gpg.conf, e ~/.gnupg/options não é mais utilizado. Por favor, renomeie o arquivo se necessário, ou mova o seu conteúdo para o novo local.

A partir do Linux 5.10, todos os usuários têm permissão para criar espaços de nomes (“namespaces”) de usuário por padrão. Isso permitirá que programas, tais como navegadores web e gerenciadores de contêineres, criem caixas de areia (“sandboxes”) mais restritas para código não confiável ou menos confiável, sem a necessidade de executar como root ou usar um comando auxiliar setuid-root.

O padrão anterior adotado pelo Debian era restringir essa funcionalidade a processos executando como root, porque isso expunha mais problemas de segurança no kernel. No entanto, como a implementação dessa funcionalidade amadureceu, nós agora estamos seguros de que os benefícios de segurança fornecidos por ela são muito maiores do que o risco de habilitá-la.

Se você prefere manter essa funcionalidade restrita, defina o sysctl:

user.max_user_namespaces = 0
      

Note que várias funcionalidades de ambientes de área de trabalho e de contêineres não funcionarão com essa restrição ativa, incluindo navegadores web, WebKitGTK, Flatpak e geração de miniaturas de imagens (“thumbnailing”) no GNOME.

O sysctl específico do Debian kernel.unprivileged_userns_clone=0 tem um efeito similar, mas está obsoleto.

A partir do Linux 5.10, o Debian desabilita chamadas não privilegiadas a bpf() por padrão. No entanto, um administrador ainda pode mudar essa configuração posteriormente, se necessário, escrevendo 0 ou 1 no sysctl kernel.unprivileged_bpf_disabled.

Se você prefere manter chamadas não privilegiadas a bpf() habilitadas, defina o sysctl:

kernel.unprivileged_bpf_disabled = 0
      

Para mais informação sobre a mudança como padrão no Debian, veja o bug 990411 para a solicitação da mudança.

O pacote redmine não é fornecido na bullseye, pois se tornou muito tarde para migrar da antiga versão do rails, o qual está no final do suporte do autor original (recebendo somente correções para bugs de segurança severos) para a versão que está na bullseye. Os mantenedores de Ruby Extras estão acompanhando de perto os autores originais e liberarão uma versão via backports tão logo quanto ela seja disponibilizada e eles tenham pacotes em funcionamento. Se você não pode aguardar para que isso aconteça antes de atualizar, você pode usar uma máquina virtual ou contêiner executando buster para isolar essa aplicação específica.

Por favor, considere que a versão do Exim na bullseye é uma grande atualização do Exim. Ela introduz o conceito de dados contaminados (“tainted”), lidos a partir de fontes não confiáveis, como, por exemplo, o remetente ou o destinatário da mensagem. Esses dados contaminados (p.ex. $local_part ou $domain) não podem ser usados, entre outras coisas, como nomes de arquivos ou diretórios, ou nomes de comandos.

Isso quebrará configurações que não sejam atualizadas de acordo. Antigos arquivos do Debian de configuração do Exim também não funcionarão sem modificação. A nova configuração precisa ser instalada preservando as modificações locais, unindo-as.

Exemplos típicos que não funcionam incluem:

A estratégia básica para lidar com essa mudança é usar o resultado de uma consulta (“lookup”) em processamentos adicionais em vez de usar o resultado original (obtido remotamente).

Para facilitar a atualização, existe uma nova opção de configuração principal para temporariamente rebaixar erros de contaminação (“taint”) para avisos, deixando a antiga configuração funcionar com a nova versão do Exim. Para usar essa funcionalidade, adicione

.ifdef _OPT_MAIN_ALLOW_INSECURE_TAINTED_DATA
 allow_insecure_tainted_data = yes
.endif

à configuração do Exim (p.ex. em /etc/exim4/exim4.conf.localmacros) antes de atualizar, e verifique o arquivo de log pela presença de avisos de contaminação (“taint”). Essa é uma medida paliativa temporária, que já está marcada para remoção desde a sua introdução.

Devido a mudanças no kernel Linux, a sondagem de dispositivos SCSI deixou de ser determinística. Isso pode ser um problema para instalações que dependem da ordem de sondagem dos discos. Duas possíveis alternativas usando links em /dev/disk/by-path ou uma regra udev são sugeridas nesta postagem em lista de e-mails.

Os protocolos de rede das versões 1 e 2 do rdiff-backup são incompatíveis. Isso significa que você deve executar a mesma versão (ou 1 ou 2) do rdiff-backup localmente e remotamente. Uma vez que a buster distribui a versão 1.2.8 e a bullseye distribui a versão 2.0.5, atualizar somente o sistema local ou somente o sistema remoto da buster para a bullseye quebrará as execuções do rdiff-backup entre os dois.

A versão 2.0.5 do rdiff-backup está disponível no repositório buster-backports, veja backports. Isso permite aos usuários atualizarem primeiro somente o pacote rdiff-backup nos seus sistemas buster, e depois atualizar independentemente os sistemas para a bullseye quando for conveniente.

O pacote intel-microcode atualmente na bullseye e buster-security (veja DSA-4934-1) contém sabidamente dois bugs significantes. Para algumas CPUs CoffeeLake, esta atualização pode quebrar interfaces de rede que usam firmware-iwlwifi, e para algumas CPUs Skylake R0/D0 em sistemas usando um firmware/BIOS muito desatualizado, o sistema pode travar na inicialização.

Se você não fez a atualização do DSA-4934-1 devido a algum desses problemas, ou não tem o repositório de segurança habilitado, esteja ciente de que atualizar para o pacote intel-microcode na bullseye pode causar o travamento do seu sistema ao inicializar, ou quebrar o iwlwifi. Nesse caso, você pode recuperar desabilitando o carregamento do microcódigo na inicialização; veja as instruções no DSA, as quais também estão no README.Debian do intel-microcode.

Pacotes que dependem de libgc1c2 na buster (p.ex. guile-2.2-libs) podem ser retidos durante a primeira execução da atualização completa para a bullseye. Fazer uma segunda atualização, normalmente, resolve o problema. As informações sobre o problema podem ser encontradas no bug #988963.

O pacote fail2ban pode ser configurado para enviar notificações por e-mail. Ele faz isso usando mail, o qual é fornecido por múltiplos pacotes no Debian. Uma atualização de segurança (necessária em sistemas que usam mail do mailutils) pouco antes do lançamento da bullseye quebrou essa funcionalidade para sistemas que têm mail fornecido por bsd-mailx. Usuários do fail2ban em combinação com bsd-mailx que desejarem que o fail2ban envie e-mail devem ou trocar para um fornecedor diferente para mail ou manualmente desaplicar o commit do fornecedor original (que inseriu a sequência "-E 'set escape'" em múltiplos locais sob /etc/fail2ban/action.d/).

Apesar de que conexões Secure Shell (SSH) existentes devam continuar funcionando durante a atualização como usual, devido a circunstâncias infelizes, o período enquanto novas conexões SSH não podem ser estabelecidas é maior que o usual. Se a atualização está sendo feita sobre uma conexão SSH que pode ser interrompida, é recomendado atualizar o openssh-server antes de atualizar o sistema completo.

The openvswitch upgrade may fail to recover bridges after boot. The workaround is:

        sed -i s/^allow-ovs/auto/ /etc/network/interfaces
     

For more info, see bug #989720.

Quando o apt full-upgrade terminar, a atualização “formal” estará completa. Para a atualização da bullseye, não é necessária nenhuma ação especial antes de executar uma reinicialização.

Há alguns pacotes onde o Debian não pode prometer fornecer portes retroativos mínimos para problemas de segurança. Esses são abordados nas subseções a seguir.

	Nota
	O pacote debian-security-support ajuda a acompanhar a situação do suporte de segurança dos pacotes instalados.

Sem um dispositivo apontador, não há um modo direto de alterar as configurações no aplicativo Configurações do GNOME fornecido por gnome-control-center. Para contornar isso, você pode navegar para o conteúdo principal a partir da barra lateral, pressionando Seta Direita duas vezes. Para voltar para a barra lateral, você pode iniciar uma pesquisa com Ctrl+F, digitar algo, e então teclar Esc para cancelar a pesquisa. Então, você pode usar Seta para Cima e Seta para Baixo para navegar pela barra lateral. Não é possível selecionar os resultados da pesquisa pelo teclado.

Com a implementação de sulogin usada desde a buster, inicializar com a opção rescue sempre requer a senha de root. Se uma senha de root não foi previamente definida, isso torna o modo de recuperação efetivamente não utilizável. No entanto, ainda é possível inicializar usando o parâmetro init=/sbin/sulogin --force do kernel.

Para configurar o systemd para fazer o equivalente a isso sempre que ele inicializar no modo de recuperação (também conhecido como modo “single”: veja systemd(1)), execute sudo systemctl edit rescue.service e crie um arquivo contendo somente isto:

[Service]
Environment=SYSTEMD_SULOGIN_FORCE=1
      

Também (ou alternativamente) pode ser útil fazer isso para a “unit” emergency.service, a qual é iniciada automaticamente no caso de certos erros (veja systemd.special(7)), ou se emergency for adicionado à linha de comando do kernel (p.ex. se o sistema não pode ser recuperado usando o modo de recuperação).

Para mais informação e uma discussão sobre as implicações de segurança, veja #802211.

The Linux kernel (from version 5.9) no longer supports 32-bit xen virtual machines using PV mode. Such virtual machines need to be converted to the 64-bit PC architecture.

You can check which mode a Xen guest is running (inside the virtual machine):

$ cat /sys/hypervisor/guest_type
PV
        

Virtual machines that return, for example, PVH or HVM are not affected.

A seguinte lista é de pacotes conhecidos e obsoletos dignos de nota (veja Seção 4.8, “Pacotes obsoletos” para uma descrição).

A lista de pacotes obsoletos inclui:

Com a próxima versão do Debian 12 (codinome bookworm), alguns recursos ficarão obsoletos. Os usuários precisarão migrar para outras alternativas para evitar problemas quando atualizarem para o Debian 12.

Isso inclui os seguintes recursos: