Debian 12.15: bản cập nhật cuối cùng cho bookworm, đánh dấu bước chuyển sang Debian 13
Ngày 11 tháng 7 năm 2026, dự án Debian công bố bản cập nhật thứ mười lăm và cũng là bản cập nhật cuối cùng cho nhánh oldstable Debian 12 (bookworm). Bản phát hành điểm này chủ yếu bổ sung các bản vá bảo mật cùng một số điều chỉnh cho các vấn đề nghiêm trọng. Các cảnh báo bảo mật đã được công bố riêng rẽ và được tham chiếu trong các bảng bên dưới.
Đây không phải phiên bản Debian 12 mới mà chỉ cập nhật một số gói nhất định. Người dùng không cần phải bỏ đi các phương tiện cài đặt bookworm cũ. Sau khi cài đặt, có thể nâng cấp các gói lên phiên bản hiện tại thông qua một gương Debian được cập nhật. Những ai thường xuyên cập nhật từ security.debian.org sẽ không phải cập nhật nhiều gói, vì hầu hết các bản cập nhật đó đã có trong bản phát hành điểm này.
Hình ảnh cài đặt mới sẽ sớm có tại các vị trí thông thường. Để nâng cấp hệ thống hiện có, hãy trỏ trình quản lý gói vào một trong các máy chủ HTTP của Debian. Danh sách đầy đủ các gương có tại:
https://www.debian.org/mirror/list
Các cập nhật đáng chú ý
fwupd và hết hạn CA của Secure Boot
fwupd đã được cập nhật lên phiên bản thượng nguồn 2.0.20, có khả năng cập nhật cơ sở dữ liệu về cơ quan cấp chứng chỉ (CA) Secure Boot, Key Exchange Key (KEK) và thu hồi (DBX).
Chứng chỉ CA 2013 UEFI Secure Boot được cài đặt mặc định trên hầu hết PC và dùng để ký các bộ nạp khởi động đã hết hạn. Các bản cập nhật shim-signed trong tương lai có thể khiến hệ thống không thể khởi động khi bật Secure Boot. Người dùng được khuyến cáo mạnh mẽ nên áp dụng các bản cập nhật CA, KEK và DBX từ nhà sản xuất hệ thống theo hướng dẫn sau:
https://wiki.debian.org/SecureBoot/CAChanges#What_should_I_do.3F
geoip-database bị hồi phiên bản
Vì lý do cấp phép, geoip-database đã được hồi về phiên bản có niên đại khoảng tháng 12 năm 2019. Do đó, các ứng dụng sử dụng cơ sở dữ liệu này có thể dùng thông tin phân bổ đã lỗi thời. Các phiên bản geoip-database (GeoLite) mới hơn không tương thích với Nguyên tắc Phần mềm Tự do Debian (DFSG) và không thể được phân phối. Người dùng dữ liệu này được khuyến khích mạnh mẽ nên lấy giấy phép GeoLite trực tiếp và ngừng phụ thuộc vào gói geoip-database.
Kết thúc hỗ trợ Debian cho bookworm
Bản cập nhật này đánh dấu sự kết thúc hỗ trợ từ Nhóm Phát hành Debian, Nhóm Bảo mật Debian và Debian Backports cho phiên bản 12. Hỗ trợ liên tục cho một số kiến trúc sẽ do nhóm Hỗ trợ Dài hạn Debian (LTS) đảm nhận, với sự hỗ trợ từ Freexian. Người dùng được khuyến cáo nâng cấp hệ thống lên Debian 13 (trixie).
Sửa lỗi linh tinh
Bản cập nhật oldstable này bổ sung một số sửa lỗi quan trọng cho các gói sau:
| Gói | Lý do |
|---|---|
| 7zip | Bản phát hành ổn định thượng nguồn mới; sửa lỗi tràn bộ đệm [CVE-2026-48092 CVE-2026-48095]; sửa lỗi tiết lộ bộ nhớ [CVE-2026-48101]; sửa lỗi đọc ngoài phạm vi [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]; sửa lỗi đọc bộ nhớ chưa khởi tạo [CVE-2026-48104] |
| apache2 | Sửa lỗi DoS HTTP/2 và cạn kiệt file handle [CVE-2026-49975 CVE-2026-48913]; sửa lỗi proxy, DAV, LDAP, SSL, XML và header gây crash/rò rỉ bộ nhớ [CVE-2026-29167 CVE-2026-34355 CVE-2026-34356 CVE-2026-42535 CVE-2026-42536 CVE-2026-43951 CVE-2026-44185]; sửa lỗi XSS danh sách thư mục FTP proxy và vòng lặp backend [CVE-2026-29170 CVE-2026-44186]; hạn chế truy cập file qua htaccess expression [CVE-2026-44119]; sửa lỗi underflow phân tích cú pháp regex [CVE-2026-44631]; sửa lỗi xử lý SSI, file-cache, WebDAV DELETE và proxy health-check; cập nhật tài liệu và kiểm thử |
| appstream | Biên dịch lại với libxmlb đã cập nhật |
| base-files | Cập nhật cho bản phát hành điểm |
| beets | Sửa lỗi XSS [CVE-2026-42052]; sửa lỗi kiểm thử lúc build |
| calibre | Sửa nhiều lỗi bảo mật tiềm ẩn; chỉ đọc tài nguyên từ nội dung sách [CVE-2026-33206]; giữ file giải nén trong thư mục container [CVE-2026-30853]; ngăn đọc hình nền từ ngoài thư mục cấu hình [CVE-2026-33205] |
| cdebootstrap | Biên dịch lại với xz-utils đã cập nhật |
| chrony | Đảm bảo script hook if-up/down thoát thành công |
| cloud-init | Sửa lỗi khởi tạo bond OpenStack |
| composer | Sửa hỗ trợ định dạng token GitHub mới [CVE-2026-45793] |
| curl | Sửa lỗi đầu độc bộ nhớ đệm [CVE-2025-10148]; sửa lỗi rò rỉ dữ liệu [CVE-2025-14524 CVE-2026-3783]; sửa lỗi tái sử dụng kết nối không đúng [CVE-2025-14819 CVE-2026-3784 CVE-2026-5773 CVE-2026-7168] |
| dar | Biên dịch lại với libgcrypt20 đã cập nhật |
| dcmtk | Sửa lỗi trỏ NULL [CVE-2022-4981 CVE-2025-14841]; sửa lỗi hỏng bộ nhớ [CVE-2025-2357 CVE-2025-9732 CVE-2025-14607]; sửa lỗi chèn lệnh [CVE-2026-5663]; sửa lỗi tràn bộ đệm [CVE-2026-10194 CVE-2026-12805] |
| debian-installer | Tăng ABI linux lên 6.1.0-50; biên dịch lại cho bản phát hành điểm |
| debian-installer-netboot-images | Biên dịch lại từ các đề xuất cập nhật |
| debian-security-support | Chuẩn bị giới hạn hỗ trợ trước khi chuyển sang LTS |
| delve | Sửa lỗi không build được trên bộ xử lý EYPC thế hệ thứ 4 |
| dhcpcd5 | Sửa lỗi trỏ NULL [CVE-2025-70102]; sửa lỗi ghi ngoài phạm vi [CVE-2026-56114] |
| firewalld | Sửa lỗi kiểm tra chính sách DBUS [CVE-2026-4948] |
| fwupd | Biên dịch lại với libjcat, libxmlb đã cập nhật; thêm hỗ trợ cập nhật DBX và KEK; biên dịch lại trong môi trường sạch |
| geoip-database | Hồi về phiên bản tương thích DFSG |
| ghdl | Biên dịch lại với gcc-12 đã cập nhật |
| giflib | Sửa lỗi hỏng bộ nhớ [CVE-2026-23868 CVE-2026-26740] |
| gnome-firmware | Biên dịch lại với libxmlb đã cập nhật; backport bản vá tương thích libfwupd3 |
| gnome-software | Biên dịch lại với libxmlb đã cập nhật; backport bản vá tương thích libfwupd3 |
| graphite2 | Sửa lỗi ghi ngoài phạm vi [CVE-2026-50593] |
| gss | Sửa lỗi build do vé Kerberos hết hạn; tránh tự kiểm tra krb5context có timebomb |
| horizon | Sửa lỗi thoát ký tự đặc biệt trong project |
| ironic | Sửa lỗi tiết lộ file qua nguồn ảnh [CVE-2025-44021]; sửa lỗi chèn lệnh console [CVE-2026-42510]; sửa lỗi tiết lộ token Swift [CVE-2026-42997]; sửa lỗi thực thi template không an toàn [CVE-2026-44916] |
| keystone | Sửa hành vi của user_enabled_invert [CVE-2026-40683]; ngăn tạo và xóa thông tin EC2 trái phép [CVE-2026-33551] |
| libapache-session-browseable-perl | Cải thiện entropy của ID phiên được tạo |
| libbytes-random-secure-perl | Sửa lỗi sử dụng seed không đúng trong PRNG [CVE-2026-11625] |
| libcaca | Ngăn hành vi không xác định trong kiểm tra tràn [CVE-2026-42046] |
| libcrypt-pbkdf2-perl | Thay đổi thuật toán băm mặc định thành HMAC-SHA256 và số lần lặp mặc định thành 600,000 [CVE-2026-9641]; tạo muối bằng Crypt::URandom [CVE-2026-9638]; sử dụng so sánh thời gian hằng trong validate để tránh tấn công thời gian [CVE-2017-20240] |
| libhtml-gumbo-perl | Sửa lỗi truy cập bộ nhớ chưa khởi tạo [CVE-2025-15646] |
| libhtml-parser-perl | Sửa lỗi heap-use-after-free trong _decode_entities [CVE-2026-8829] |
| libjcat | Thêm hỗ trợ loại ed25519 và băm SHA512 |
| libnet-cidr-lite-perl | Sửa xác thực phân tích IP/CIDR: từ chối chữ số không phải ASCII và dòng mới ở cuối [CVE-2026-55190]; từ chối mặt nạ CIDR có số 0 ở đầu [CVE-2026-45191] |
| libreoffice | Xử lý nhẹ nhàng lỗi trong graphite2 |
| libvncserver | Sửa lỗi tràn bộ đệm và ghi ngoài phạm vi [CVE-2026-44988 CVE-2026-50538] |
| libxml-libxml-perl | Sửa lỗi đọc ngoài phạm vi [CVE-2026-8177] |
| libxml2 | Sửa lỗi đệ quy danh mục và xử lý danh mục trùng lặp [CVE-2025-8732 CVE-2026-0990 CVE-2026-0992]; giới hạn đệ quy RelaxNG include [CVE-2026-0989]; sửa lỗi rò rỉ bộ nhớ shell xmllint [CVE-2026-1757]; sửa đầu ra kiểm thử hồi quy schematron [CVE-2025-49794 CVE-2025-49796]; sửa lỗi rò rỉ bộ nhớ XML writer và schematron; giảm thiểu use-after-free xác thực RelaxNG; cập nhật kiểm thử hồi quy danh mục và RelaxNG |
| libxmlb | Thêm hỗ trợ giải nén zstd; sửa xác thực lưu trữ/cắt ngắn XMLb; sửa xử lý truy vấn binding/index; sửa xuất XML và xử lý text() rỗng |
| linuxcnc | Làm sạch tên module |
| mariadb | Bản phát hành ổn định thượng nguồn mới; sửa lỗi thực thi mã [CVE-2025-13699 CVE-2026-44168 CVE-2026-48163 CVE-2026-48165 CVE-2026-49261]; sửa lỗi từ chối dịch vụ [CVE-2026-21968 CVE-2026-34303]; sửa lỗi vượt qua ghi log [CVE-2026-3494]; sửa lỗi path traversal [CVE-2026-44171]; sửa lỗi SQL injection [CVE-2026-44172]; sửa lỗi kiểm tra quyền không đầy đủ [CVE-2026-44173]; sửa lỗi Illegal mix of collations; sửa lỗi treo Mroonga trên cờ index không hợp lệ; sửa lỗi crash trong information_schema.table_constraints |
| mesa | Sửa lỗi xử lý cấp phát WebGPU/SPIR-V [CVE-2026-40393] |
| modsecurity | Ngăn từ chối dịch vụ trong xử lý hexDecode [CVE-2026-30923]; ngăn từ chối dịch vụ trong xác minh SSN/CPF/SVNR [CVE-2026-42268] |
| mxml | Sửa lỗi đọc ngoài phạm vi [CVE-2026-5037] |
| node-flatted | Sửa lỗi prototype pollution [CVE-2026-33228] |
| node-jschardet | Sửa tham chiếu liên kết build |
| node-regexpp | Thêm liên kết bị thiếu tới undici-types |
| ojalgo | Giảm tần suất lỗi kiểm thử lúc build |
| openslide | Sửa lỗi thực thi mã có thể xảy ra [CVE-2026-48977] |
| p7zip | Bản phát hành ổn định thượng nguồn mới; sửa lỗi tràn bộ đệm [CVE-2026-48092 CVE-2026-48095]; sửa lỗi tiết lộ bộ nhớ [CVE-2026-48101]; sửa lỗi đọc ngoài phạm vi [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]; sửa lỗi đọc bộ nhớ chưa khởi tạo [CVE-2026-48104] |
| php-guzzlehttp-psr7 | Sửa xác thực Host authority [CVE-2026-48998]; từ chối ký tự điều khiển trong URI host [CVE-2026-49214]; làm cứng xử lý globals ServerRequest; chuẩn hóa giá trị header toàn cục; mã hóa dấu cộng trong query helpers |
| phpunit | Sửa lỗi giải tuần tự hóa không an toàn trong xử lý code coverage PHPT [CVE-2026-24765] |
| plasma-discover | Backport bản vá tương thích libfwupd3 |
| prometheus | Sửa kiểm thử lúc build nhạy cảm với ngày tháng |
| protobuf | Sửa giới hạn đệ quy phân tích [CVE-2024-7254 CVE-2025-4565 CVE-2026-0994 CVE-2026-6409] |
| pydantic | Sửa lỗi từ chối dịch vụ trong xác minh email [CVE-2024-3772] |
| pymatgen | Sửa lỗi từ chối dịch vụ trong GaussianInput.from_string [CVE-2022-42964] |
| python-ase | Vô hiệu hóa kiểm thử lúc build không đáng tin cậy |
| python-django | Cập nhật bộ kiểm thử theo thay đổi trong python3.13 |
| python-filelock | Sửa lỗ hổng symlink [CVE-2025-68146 CVE-2026-22701] |
| python-markdown | Sửa phân tích cú pháp HTML giả mạo [CVE-2025-69534] |
| python-pyramid | Sửa lỗi tiết lộ thông tin [CVE-2023-40587] |
| python-xmltodict | Sửa lỗi chèn XML [CVE-2025-9375] |
| python3.11 | Ngăn xử lý kho lưu trữ tar không đúng [CVE-2025-13462]; đảm bảo import chỉ bytecode sử dụng kiểm tra bảo mật thông thường [CVE-2026-2297]; từ chối giá trị cookie không an toàn [CVE-2026-3644]; ngăn crash trình phân tích XML [CVE-2026-4224]; ngăn chèn lệnh trình duyệt [CVE-2026-4519]; ngăn hỏng bộ nhớ bộ giải nén bz2/lzma [CVE-2026-6100]; khôi phục autopkgtests XML |
| qemu | Biên dịch lại với gnutls28 đã cập nhật |
| rhino | Sửa lỗi từ chối dịch vụ [CVE-2025-66453] |
| rlottie | Sửa lỗi đọc ngoài phạm vi [CVE-2026-10305]; sửa lỗi từ chối dịch vụ [CVE-2026-47319 CVE-2026-47320] |
| rsync | Từ chối dòng phản hồi proxy HTTP quá dài [CVE-2026-45232] |
| ruby-css-parser | Sửa xác thực chứng chỉ HTTPS cho CSS từ xa [CVE-2026-44312] |
| rust-time | Sửa lỗi từ chối dịch vụ [CVE-2026-25727] |
| science.js | Sửa lỗi điều kiện đua lúc build |
| sentry-python | Sửa lỗi làm sạch môi trường subprocess [CVE-2024-40647] |
| shim | Bản phát hành thượng nguồn mới; build với gcc mặc định; đặt mức thu hồi SBAT thành 2025021800 |
| shim-helpers-amd64-signed | Cập nhật lên shim 16.1-2~deb12u1 |
| shim-helpers-arm64-signed | Cập nhật lên shim 16.1-2~deb12u1 |
| shim-helpers-i386-signed | Cập nhật lên shim 16.1-2~deb12u1 |
| shim-signed | Đảm bảo tương thích Secure Boot với 2023 Microsoft UEFI CA; kiểm tra các vấn đề khởi động có thể xảy ra trước khi cài đặt; kết hợp và xác minh nhiều chữ ký shim; cập nhật nhị phân shim đã ký |
| sqlite-utils | Thêm phụ thuộc vào python3-click-default-group |
| sshfs-fuse | Thêm tùy chọn contain_symlinks để ngăn tấn công thoát symlink [CVE-2026-47187]; từ chối chèn tùy chọn hostname qua nguồn mount có dấu ngoặc [CVE-2026-48711] |
| sylpheed | Sửa kiểm tra liên kết [CVE-2021-37746] |
| user-mode-linux | Biên dịch lại với linux đã cập nhật |
| vitrage | Sửa lỗ hổng thực thi mã từ xa [CVE-2026-28370] |
| wireless-regdb | Bản phát hành ổn định thượng nguồn mới; cập nhật thông tin quy định cho một số quốc gia |
| xz-utils | Sửa lỗi tràn bộ đệm [CVE-2026-34743] |
Cập nhật bảo mật
Bản sửa đổi này bổ sung các cập nhật bảo mật sau cho bản phát hành oldstable. Nhóm Bảo mật đã phát hành một cảnh báo riêng cho mỗi bản cập nhật này:
Gói bị loại bỏ
Gói sau đã bị loại bỏ vì những lý do ngoài tầm kiểm soát:
| Gói | Lý do |
|---|---|
| smb4k | Không thể tiếp tục hỗ trợ bảo mật |
Trình cài đặt Debian
Trình cài đặt đã được cập nhật để bao gồm các bản sửa lỗi được tích hợp vào oldstable thông qua bản phát hành điểm này.
Liên kết
Danh sách đầy đủ các gói đã thay đổi trong bản sửa đổi này:
https://deb.debian.org/debian/dists/bookworm/ChangeLog
Bản phân phối oldstable hiện tại:
https://deb.debian.org/debian/dists/oldstable/
Các đề xuất cập nhật cho bản phân phối oldstable:
https://deb.debian.org/debian/dists/oldstable-proposed-updates
Thông tin về bản phân phối oldstable (ghi chú phát hành, errata, v.v.):
https://www.debian.org/releases/oldstable/
Thông báo và thông tin bảo mật:
https://www.debian.org/security/
Về Debian
Dự án Debian là một hiệp hội các nhà phát triển Phần mềm Tự do tình nguyện dành thời gian và công sức để tạo ra hệ điều hành hoàn toàn tự do Debian.
Thông tin liên hệ
Để biết thêm thông tin, vui lòng truy cập trang web Debian tại https://www.debian.org/, gửi thư đến <[email protected]>, hoặc liên hệ với nhóm phát hành ổn định tại <[email protected]>.
