Проектът Debian пусна Debian 13.7 с кодово име „trixie“. В новата версия са обединени 92 бюлетина за сигурност, които вече са били публикувани отделно, добавени са корекции в 106 изходни пакета и инсталационната програма е прекомпилирана спрямо тях.
Шест от 92-та бюлетина засягат ядрото на Linux, като всеки от тях съдържа изходния пакет linux заедно с подписаните amd64 и arm64 компилации: DSA-6381, DSA-6393, DSA-6405, DSA-6415, DSA-6466 и DSA-6477. Всеки, който инсталира от по-стари носители за trixie, получава версии на пакетите, които предхождат този набор от корекции, като системата ги наваксва при първото си обновяване. Системите, които вече проследяват security.debian.org, ще изтеглят малко пакети от междинната версия, тъй като повечето от тези актуализации за сигурност са вече включени в нея.
Какво има в списъка с корекции на грешки
Седемнадесет от 106-те пакета не съдържат собствени корекции. Debian ги е прекомпилирал спрямо обновената библиотека glibc (C библиотеката, с която повечето програми в системата се свързват по време на изпълнение), а списъкът варира от bash и busybox през docker.io, gnupg2, snapd до zsh. В самата библиотека glibc са отстранени уязвимости, свързани с препълване на буфера и препълване на буфера надолу (CVE-2026-5928 и CVE-2026-5450), както и е добавена промяна, осигуряваща поддръжка за заглавните файлове на Linux 7.0.
Четири пакета включват най-голям брой CVE номера. qemu съдържа 25, imagemagick 24, wolfssl 15 и perl 13. cyrus-imapd съдържа девет CVE уязвимости, осем от които са недостатъчна проверка на достъпа и една за отчитане извън границите на масива. Проверките за достъп в пощенския сървър определят кой профил кой пощенски адрес може да отваря. mbedtls съдържа седем уязвимости, включително проблем с имитация на клиент (CVE-2026-34873) и проблем с инжектиране на алгоритъм за подписване (CVE-2026-25834).
Две корекции в зареждащата верига
u-boot, зареждащият модул на много вградени и ARM платки, проверява FIT изображение, преди да предаде управлението на ядрото; FIT обединява ядрото и дървото на устройствата в един подписан файл. Уязвимостта CVE-2026-46728 позволяваше тази проверка да преминава при изображение, което е трябвало да бъде отхвърлено. Същата запис в u-boot отстранява и препълване при четене на буфера в BOOTP/DHCP, заведено като CVE-2024-42040 (номер отпреди две години).
Списъкът на qemu включва заобикаляне на защитеното зареждане (Secure Boot) CVE-2026-16288 и добавена post_load проверка в неговото UEFI устройство (CVE-2026-61404). Инструментът sbsigntool, който подписва EFI двоични файлове за защитено зареждане, има коригирана проверка на междинни сертификати.
Идентификационни данни, предадени на грешен хост
perl и libhttp-tiny-perl съдържат CVE-2026-7017 – препредаване на идентификационни данни при пренасочване. HTTP клиент, който следва пренасочване и пренася своя заглавен заголовок за оторизация към новия адрес, предава данните за достъп на този, който контролира този адрес. И двата пакета отстраняват уязвимост при валидиране на CRLF (CVE-2026-7010). Записът на perl съдържа 13 CVE уязвимости и включва проблеми с извличане на символни и твърди връзки (CVE-2026-42496 и CVE-2026-42497), които са от значение за всяко приложение, разопаковащо архив, който не е създаден от него.
flask вече задава „Vary: Cookie“, когато има достъп до сесия (CVE-2026-27205). Без този заглавен заголовок кеширащият сървър пред приложението може да запази страница, генерирана за сесията на един потребител, и да я предостави на следващия. dhcpcd отхвърля IPv6 съобщения от рутери, съдържащи опции за Neighbor Discovery с нулева дължина (CVE-2026-14258), а dnsmasq отстранява препълване на буфера и четене извън границите (CVE-2026-12725 и CVE-2026-12969).
Корекция за корекция
python3.13 коригира уязвимост от тип use-after-free в dict.clear() с вградени стойности – регресия от предишната версия на пакета. Останалата част от този запис съдържа пет CVE номера, сред които проблем с пренаписване на файлове (CVE-2026-11940) и неправилна обработка на потребителски и групови идентификатори в tar файлове (CVE-2026-4360). bettercap спира да инсталира услугата си за systemd по подразбиране и отстранява дистанционна отказ от услуга (DoS) в своя модул mysql.server, предизвиквана от модифициран клиентски ръкостискане (CVE-2026-8276). onionshare спира да записва файлове в режим „Получаване“, когато качванията са деактивирани (CVE-2026-54707).
Получаване на обновлението
Debian обнови инсталационната си програма, за да съдържа корекциите от междинната версия, и поднови ABI на ядрото там до 6.12.107+deb13. Съществуваща система приема актуализацията, като насочи своя пакетен мениджър към огледален сървър на Debian.