Debian 10: 一部の SSL パッケージがダウングレードされるのはなぜですか？

Question 1

https://www.debian.org/security/2021/dsa-4855

Debian Busterのopensslに関する他のパッケージ情報とともに、この情報は1.1.1dが現在安定版であることを示しています。 1.1.1j（gbp2578a0）を他の場所から入手しましたが、この重要なセキュリティパッチがないようです。

Answer

https://www.debian.org/security/2021/dsa-4855

Debian Busterのopensslに関する他のパッケージ情報とともに、この情報は1.1.1dが現在安定版であることを示しています。 1.1.1j（gbp2578a0）を他の場所から入手しましたが、この重要なセキュリティパッチがないようです。

Question 2

ルイス・トンプソンの答え1.1.1d-0+deb10u5 バージョンが何に該当し、その理由を説明しました。しなければならないダウングレードを受け入れます。しかし、「このパッケージはなぜダウングレードされますか？私は評価を下げるために何もしませんでした」という質問は解決されません。

apt何も知らないコンテンツ1.1.1d-0+deb10u5がセキュリティの脆弱性を修正した可能性があり、現在インストールされているバージョンに脆弱性があるかどうかがわかります。aptパッケージがダウングレードされるように構成されているため、ダウングレードすることが提案されました。apt基本的にいいえダウングレードパッケージは提供されていますが、実際にDebianはダウングレードをサポートしていません。あなたに関する限り、

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

OpenSSLパッケージのデフォルト以外の固定優先順位（具体的には1000（））があることを示します1.1.1d-0+deb10u5 1000。これが確認されましたapt policy。

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

説明したようにman apt_preferencesこれは、apt現在インストールされているバージョンのピン優先順位が低いため、そのパッケージがダウングレードターゲットと見なされることを意味しますapt。

ターゲットパッケージ（1.1.1d-0+deb10u5）がDebian 10リポジトリの最新バージョンであるという事実はこれには関係ありません。ダウングレードには固定優先順位のみが重要です。

Answer

ルイス・トンプソンの答え1.1.1d-0+deb10u5 バージョンが何に該当し、その理由を説明しました。しなければならないダウングレードを受け入れます。しかし、「このパッケージはなぜダウングレードされますか？私は評価を下げるために何もしませんでした」という質問は解決されません。

apt何も知らないコンテンツ1.1.1d-0+deb10u5がセキュリティの脆弱性を修正した可能性があり、現在インストールされているバージョンに脆弱性があるかどうかがわかります。aptパッケージがダウングレードされるように構成されているため、ダウングレードすることが提案されました。apt基本的にいいえダウングレードパッケージは提供されていますが、実際にDebianはダウングレードをサポートしていません。あなたに関する限り、

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

OpenSSLパッケージのデフォルト以外の固定優先順位（具体的には1000（））があることを示します1.1.1d-0+deb10u5 1000。これが確認されましたapt policy。

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

説明したようにman apt_preferencesこれは、apt現在インストールされているバージョンのピン優先順位が低いため、そのパッケージがダウングレードターゲットと見なされることを意味しますapt。

ターゲットパッケージ（1.1.1d-0+deb10u5）がDebian 10リポジトリの最新バージョンであるという事実はこれには関係ありません。ダウングレードには固定優先順位のみが重要です。

Question 3

ここに（残念ながらコメントに入れることができない他の答えに加えて）以下を実行したOndřejSurýの説明があります。https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

（インストールした場合は、画面または電子メールでこのメッセージが届きます。適切なリストの変更)

Answer

ここに（残念ながらコメントに入れることができない他の答えに加えて）以下を実行したOndřejSurýの説明があります。https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

（インストールした場合は、画面または電子メールでこのメッセージが届きます。適切なリストの変更)

Debian 10: 一部の SSL パッケージがダウングレードされるのはなぜですか？

追加情報

解決策

修正する

答え1

答え2

答え3

関連情報