Debian 12 已更新至 12.15：bookworm 的最终更新

2026 年 7 月 11 日

Debian 项目宣布其 oldstable 发行版 Debian 12（代号 bookworm）的第十五个也是最终更新。此小版本主要增加了安全问题的修正，同时针对严重问题做了一些调整。安全公告已单独发布，并在可用处提供了引用。

请注意，此小版本并不构成 Debian 12 的新版本，仅更新了其中包含的部分软件包。无需丢弃旧的 bookworm 介质。安装后，可以使用最新的 Debian 镜像将软件包升级到当前版本。

那些经常从 security.debian.org 安装更新的用户无需更新太多软件包，并且此类更新大多已包含在此小版本中。

新的安装镜像将很快在常规位置提供。

将现有安装升级到此修订版，可以通过将包管理系统指向 Debian 的众多 HTTP 镜像之一来实现。镜像的完整列表可在以下地址获取：

https://www.debian.org/mirror/list

重要更新

fwupd 与 Secure Boot CA 过期

fwupd 已更新至上游版本 2.0.20，该版本能够更新 Secure Boot 证书颁发机构 (CA)、密钥交换密钥 (KEK) 和吊销 (DBX) 数据库。

2013 UEFI Secure Boot CA 现已过期。因此，未来对 shim-signed 的更新可能导致系统在启用 Secure Boot 的情况下无法启动。

强烈建议用户根据以下指南，从其系统 OEM 处应用 CA、KEK 和 DBX 更新：

https://wiki.debian.org/SecureBoot/CAChanges#What_should_I_do.3F

geoip-database 回退

由于许可原因，geoip-database 已回退到大约 2019 年 12 月的版本。因此，使用此数据库的应用程序可能会使用过时的分配信息。

较新版本的 geoip-database (GeoLite) 与 Debian 自由软件指导方针 (DFSG) 不兼容，因此无法分发。

强烈建议此数据的消费者直接获取 GeoLite 许可，并停止依赖 geoip-database 软件包。

Debian 对 bookworm 的支持结束

此更新标志着 Debian 发布团队、Debian 安全团队和 Debian Backports 对版本 12 的支持结束。某些架构的持续支持将由 Debian 长期支持 (LTS) 团队在 Freexian 的支持下提供。建议用户将系统升级到 Debian 13 trixie。

杂项错误修复

此 oldstable 更新为以下软件包添加了一些重要的修正：

软件包 原因
7zip 新的上游稳定版本；修复缓冲区溢出问题 [CVE-2026-48092 CVE-2026-48095]；修复内存泄露问题 [CVE-2026-48101]；修复越界读取问题 [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]；修复未初始化内存读取问题 [CVE-2026-48104]
apache2 修复 HTTP/2 请求 DoS 和文件句柄耗尽问题 [CVE-2026-49975 CVE-2026-48913]；修复代理、DAV、LDAP、SSL、XML 和标头的内存/崩溃问题 [CVE-2026-29167 CVE-2026-34355 CVE-2026-34356 CVE-2026-42535 CVE-2026-42536 CVE-2026-43951 CVE-2026-44185]；修复代理 FTP 目录列表 XSS 和后端循环问题 [CVE-2026-29170 CVE-2026-44186]；限制 htaccess 表达式文件访问 [CVE-2026-44119]；修复正则表达式解析下溢问题 [CVE-2026-44631]；修正 SSI、file-cache、WebDAV DELETE 和代理健康检查处理；更新文档和测试
appstream 使用更新的 libxmlb 重建
base-files 为此小版本更新
beets 修复 XSS 漏洞 [CVE-2026-42052]；修复构建时测试失败
calibre 修复各种潜在安全问题；仅从书籍内容读取资源 [CVE-2026-33206]；将提取的文件保留在容器目录内 [CVE-2026-30853]；防止从配置目录外部读取背景图像 [CVE-2026-33205]
cdebootstrap 使用更新的 xz-utils 重建
chrony 确保 if-up/down 钩子脚本成功退出
cloud-init 修复 OpenStack bond 初始化
composer 修复对新 GitHub 令牌格式的支持 [CVE-2026-45793]
curl 修复缓存投毒问题 [CVE-2025-10148]；修复数据泄露问题 [CVE-2025-14524 CVE-2026-3783]；修复不正确的连接重用问题 [CVE-2025-14819 CVE-2026-3784 CVE-2026-5773 CVE-2026-7168]
dar 使用更新的 libgcrypt20 重建
dcmtk 修复空指针解引用问题 [CVE-2022-4981 CVE-2025-14841]；修复内存损坏问题 [CVE-2025-2357 CVE-2025-9732 CVE-2025-14607]；修复命令注入问题 [CVE-2026-5663]；修复缓冲区溢出问题 [CVE-2026-10194 CVE-2026-12805]
debian-installer 提升 linux ABI 6.1.0-50；为此小版本重建
debian-installer-netboot-images 从提议的更新重建
debian-security-support 为过渡到 LTS 准备支持限制
delve 修复在第四代 EPYC 处理器上构建失败的问题
dhcpcd5 修复空指针解引用问题 [CVE-2025-70102]；修复越界写入问题 [CVE-2026-56114]
firewalld 修复 DBUS 策略检查 [CVE-2026-4948]
fwupd 使用更新的 libjcat、libxmlb 重建；添加对更新 DBX 和 KEK 存储的支持；在干净环境中重建
geoip-database 回退到与 DFSG 兼容的版本
ghdl 使用更新的 gcc-12 重建
giflib 修复内存损坏问题 [CVE-2026-23868 CVE-2026-26740]
gnome-firmware 使用更新的 libxmlb 重建；向后移植 libfwupd3 兼容性补丁
gnome-software 使用更新的 libxmlb 重建；向后移植 libfwupd3 兼容性补丁
graphite2 修复越界写入 [CVE-2026-50593]
gss 修复由过期的 Kerberos 票据导致的构建失败；避免带有 timebomb 的 krb5context 自测试
horizon 修复项目中特殊字符的转义
ironic 修复通过镜像源的文件泄露 [CVE-2025-44021]；修复控制台命令注入 [CVE-2026-42510]；修复 Swift 令牌泄露 [CVE-2026-42997]；修复不安全的模板执行 [CVE-2026-44916]
keystone 修复 user_enabled_invert 的行为 [CVE-2026-40683]；防止未经授权的 EC2 凭证创建和删除 [CVE-2026-33551]
libapache-session-browseable-perl 提高生成的会话 ID 的熵
libbytes-random-secure-perl 修复 PRNG 中种子的错误使用 [CVE-2026-11625]
libcaca 防止溢出检查中的未定义行为 [CVE-2026-42046]
libcrypt-pbkdf2-perl 将默认哈希算法更改为 HMAC-SHA256，默认迭代次数更改为 600,000 [CVE-2026-9641]；使用 Crypt::URandom 生成盐 [CVE-2026-9638]；在 validate 中使用恒定时间比较以避免时序攻击 [CVE-2017-20240]
libhtml-gumbo-perl 修复未初始化内存访问 [CVE-2025-15646]
libhtml-parser-perl 修复 _decode_entities 中的堆释放后使用 [CVE-2026-8829]
libjcat 添加对 ed25519 类型和 SHA512 哈希的支持
libnet-cidr-lite-perl 修复 IP/CIDR 解析器验证：拒绝非 ASCII 数字和尾随换行符 [CVE-2026-55190]；拒绝零填充的 CIDR 掩码 [CVE-2026-45191]
libreoffice 优雅地处理 graphite2 中的失败
libvncserver 修复缓冲区溢出和越界写入 [CVE-2026-44988 CVE-2026-50538]
libxml-libxml-perl 修复越界读取 [CVE-2026-8177]
libxml2 修复目录递归和重复目录处理 [CVE-2025-8732 CVE-2026-0990 CVE-2026-0992]；限制 RelaxNG 包含递归 [CVE-2026-0989]；修复 xmllint shell 内存泄漏 [CVE-2026-1757]；修正 schematron 回归测试输出 [CVE-2025-49794 CVE-2025-49796]；修复 XML writer 和 schematron 内存泄漏；缓解 RelaxNG 验证中的释放后使用；更新目录和 RelaxNG 回归测试
libxmlb 添加对 zstd 解压缩的支持；修复 XMLb 存储/截断验证；修正查询绑定/索引处理；修复 XML 导出和空 text() 处理
linuxcnc 清理模块名称
mariadb 新的上游稳定版本；修复代码执行问题 [CVE-2025-13699 CVE-2026-44168 CVE-2026-48163 CVE-2026-48165 CVE-2026-49261]；修复拒绝服务问题 [CVE-2026-21968 CVE-2026-34303]；修复日志绕过问题 [CVE-2026-3494]；修复路径遍历问题 [CVE-2026-44171]；修复 SQL 注入问题 [CVE-2026-44172]；修复不完整的权限检查问题 [CVE-2026-44173]；修复 Illegal mix of collations 错误；修复 Mroonga 在无效索引标志上挂起的问题；修复 information_schema.table_constraints 中的崩溃
mesa 修复 WebGPU/SPIR-V 分配处理 [CVE-2026-40393]
modsecurity 防止 hexDecode 处理中的拒绝服务 [CVE-2026-30923]；防止 SSN/CPF/SVNR 验证中的拒绝服务 [CVE-2026-42268]
mxml 修复越界读取 [CVE-2026-5037]
node-flatted 修复原型污染问题 [CVE-2026-33228]
node-jschardet 修复构建链接引用
node-regexpp 添加缺失的 undici-types 链接
ojalgo 减少构建时测试失败的频率
openslide 修复可能的代码执行问题 [CVE-2026-48977]
p7zip 新的上游稳定版本；修复缓冲区溢出问题 [CVE-2026-48092 CVE-2026-48095]；修复内存泄露问题 [CVE-2026-48101]；修复越界读取问题 [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]；修复未初始化内存读取问题 [CVE-2026-48104]
php-guzzlehttp-psr7 修复 Host 权威验证 [CVE-2026-48998]；拒绝 URI 主机中的控制字符 [CVE-2026-49214]；强化 ServerRequest 全局变量处理；规范化全局标头值；在查询帮助器中编码字面加号
phpunit 修复 PHPT 代码覆盖率处理中的不安全反序列化 [CVE-2026-24765]
plasma-discover 向后移植 libfwupd3 兼容性补丁
prometheus 修复日期敏感的构建时测试
protobuf 修复解析器递归限制 [CVE-2024-7254 CVE-2025-4565 CVE-2026-0994 CVE-2026-6409]
pydantic 修复电子邮件验证中的拒绝服务 [CVE-2024-3772]
pymatgen 修复 GaussianInput.from_string 中的拒绝服务 [CVE-2022-42964]
python-ase 禁用不可靠的构建时测试
python-django 更新测试套件以跟随 python3.13 的更改
python-filelock 修复符号链接漏洞 [CVE-2025-68146 CVE-2026-22701]
python-markdown 修复对虚假 HTML 标记的解析 [CVE-2025-69534]
python-pyramid 修复信息泄露问题 [CVE-2023-40587]
python-xmltodict 修复 XML 注入问题 [CVE-2025-9375]
python3.11 防止不正确的 tar 存档处理 [CVE-2025-13462]；确保字节码导入使用正常的安全检查 [CVE-2026-2297]；拒绝不安全的 cookie 值 [CVE-2026-3644]；防止 XML 解析器崩溃 [CVE-2026-4224]；防止浏览器命令注入 [CVE-2026-4519]；防止 bz2/lzma 解压缩器内存损坏 [CVE-2026-6100]；恢复 XML autopkgtests
qemu 使用更新的 gnutls28 重建
rhino 修复拒绝服务问题 [CVE-2025-66453]
rlottie 修复越界读取问题 [CVE-2026-10305]；修复拒绝服务问题 [CVE-2026-47319 CVE-2026-47320]
rsync 拒绝过长的 HTTP 代理响应行 [CVE-2026-45232]
ruby-css-parser 修复远程 CSS 的 HTTPS 证书验证 [CVE-2026-44312]
rust-time 修复拒绝服务 [CVE-2026-25727]
science.js 修复构建时竞态条件
sentry-python 修复子进程环境清理 [CVE-2024-40647]
shim 新的上游版本；使用默认 gcc 构建；将 SBAT 吊销级别设置为 2025021800
shim-helpers-amd64-signed 更新至 shim 16.1-2~deb12u1
shim-helpers-arm64-signed 更新至 shim 16.1-2~deb12u1
shim-helpers-i386-signed 更新至 shim 16.1-2~deb12u1
shim-signed 确保与 2023 Microsoft UEFI CA 的 Secure Boot 兼容性；在安装前检查可能的启动问题；组合并验证多个 shim 签名；更新已签名的 shim 二进制文件
sqlite-utils 添加对 python3-click-default-group 的依赖
sshfs-fuse 添加 contain_symlinks 选项以防止符号链接逃逸攻击 [CVE-2026-47187]；拒绝通过括号括起来的挂载源进行主机名选项注入 [CVE-2026-48711]
sylpheed 修复链接检查 [CVE-2021-37746]
user-mode-linux 使用更新的 linux 重建
vitrage 修复远程代码执行漏洞 [CVE-2026-28370]
wireless-regdb 新的上游稳定版本；更新多个国家的监管信息
xz-utils 修复缓冲区溢出问题 [CVE-2026-34743]

安全更新

此修订版为 oldstable 版本添加了以下安全更新。安全团队已为这些更新中的每一个发布了公告：

公告 ID 软件包
DLA-4627 kernel-wedge
DLA-4628 linux-base
DLA-4632 atril
DLA-4633 libreoffice
DLA-4635 firefox-esr
DLA-4636 thunderbird
DLA-4637 libconfig-inifiles-perl
DLA-4638 libgd-perl
DLA-4639 libhttp-daemon-perl
DLA-4642 u-boot
DLA-4643 imagemagick
DLA-4644 libmatio
DLA-4648 libtext-csv-xs-perl
DLA-4651 python-urllib3
DLA-4654 chromium
DLA-4656 tor
DLA-4657 sogo
DLA-4658 librabbitmq
DLA-4662 jq
DLA-4665 linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux
DLA-4666 openvpn
DLA-4667 nginx
DLA-4668 sympa
DLA-4669 php8.2
DLA-4672 chromium
DLA-4674 chromium
DSA-6250 chromium
DSA-6266 nghttp2
DSA-6267 thunderbird
DSA-6269 postgresql-15
DSA-6271 gsasl
DSA-6272 nodejs
DSA-6273 chromium
DSA-6275 linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux
DSA-6276 ffmpeg
DSA-6277 openjpeg2
DSA-6278 nginx
DSA-6279 redis
DSA-6281 gnutls28
DSA-6282 rsync
DSA-6283 firefox-esr
DSA-6285 bind9
DSA-6286 evince
DSA-6287 chromium
DSA-6288 thunderbird
DSA-6289 openvpn
DSA-6292 haveged
DSA-6293 krb5
DSA-6294 libgcrypt20
DSA-6297 samba
DSA-6299 kdenlive
DSA-6300 node-shell-quote
DSA-6301 roundcube
DSA-6302 starlette
DSA-6306 linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux
DSA-6308 nagios4
DSA-6309 exim4
DSA-6310 imagemagick
DSA-6313 dovecot
DSA-6316 chromium
DSA-6317 php-symfony-contracts, symfony
DSA-6319 yelp
DSA-6320 php-twig
DSA-6321 ceph
DSA-6322 frr
DSA-6323 apache2
DSA-6324 request-tracker5
DSA-6325 chromium
DSA-6326 nginx
DSA-6327 request-tracker4
DSA-6328 tomcat10
DSA-6330 strongswan
DSA-6331 keystone
DSA-6332 okular
DSA-6333 mistral
DSA-6334 poppler
DSA-6335 openssl
DSA-6336 jackson-core, jackson-databind, jackson-dataformat-smile
DSA-6337 chromium
DSA-6338 libdbi-perl
DSA-6339 libinput
DSA-6341 ironic, python-oslo.messaging
DSA-6344 chromium
DSA-6352 chromium

移除的软件包

由于我们无法控制的情况，以下软件包已被移除：

软件包 原因
smb4k 无法继续提供安全支持

Debian 安装程序

安装程序已更新，以包含此小版本中纳入 oldstable 的修复。

链接

此修订版中已更改的软件包的完整列表：

https://deb.debian.org/debian/dists/bookworm/ChangeLog

当前的 oldstable 发行版：

https://deb.debian.org/debian/dists/oldstable/

对 oldstable 发行版的提议更新：

https://deb.debian.org/debian/dists/oldstable-proposed-updates

oldstable 发行版信息（发行说明、勘误等）：

https://www.debian.org/releases/oldstable/

安全公告和信息：

https://www.debian.org/security/

关于 Debian

Debian 项目是一个自由软件开发者协会，他们自愿投入时间和精力，以生产完全自由的操作系统 Debian。

联系方式

如需更多信息，请访问 Debian 网页 https://www.debian.org/，发送邮件至 [email protected]，或联系稳定版发布团队 [email protected]。