Debian 10: 일부 SSL 패키지가 다운그레이드되는 이유는 무엇입니까?

Question 1

https://www.debian.org/security/2021/dsa-4855

Debian Buster의 openssl에 대한 다른 패키지 정보와 함께 이 정보는 1.1.1d가 현재 안정 버전임을 나타냅니다. 1.1.1j(gbp2578a0)를 다른 곳에서 구했는데 이 중요한 보안 패치가 없는 것 같습니다.

Answer

https://www.debian.org/security/2021/dsa-4855

Debian Buster의 openssl에 대한 다른 패키지 정보와 함께 이 정보는 1.1.1d가 현재 안정 버전임을 나타냅니다. 1.1.1j(gbp2578a0)를 다른 곳에서 구했는데 이 중요한 보안 패치가 없는 것 같습니다.

Question 2

루이스 톰슨의 답변1.1.1d-0+deb10u5 버전이 무엇에 해당하고 그 이유를 설명했습니다.~해야 한다다운그레이드를 수락합니다. 그러나 "이 패키지가 왜 다운그레이드됩니까? 나는 등급을 낮추기 위해 어떤 조치도 취하지 않았습니다."라는 질문은 해결되지 않습니다.

apt아무것도 모른다콘텐츠1.1.1d-0+deb10u5가 보안 취약점을 수정했는지도 모르고, 현재 설치된 버전에 취약점이 있는지도 모릅니다. apt패키지가 다운그레이드되도록 구성되었기 때문에 다운그레이드하도록 제안되었습니다. apt기본적 으로안 돼요다운그레이드 패키지가 제공되지만 실제로 데비안은 다운그레이드를 지원하지 않습니다. 당신에 관한 한,

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

OpenSSL 패키지에 대해 기본이 아닌 고정 우선순위(구체적으로 1000( ))가 있음을 보여줍니다 1.1.1d-0+deb10u5 1000. 이는 확인되었습니다 apt policy.

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

설명된 대로man apt_preferences, 이는 apt현재 설치된 버전의 핀 우선순위가 낮기 때문에 해당 패키지가 다운그레이드 대상으로 간주된다는 의미입니다 apt.

대상 패키지(1.1.1d-0+deb10u5)가 Debian 10 저장소의 최신 버전이라는 사실은 이와 관련이 없습니다. 다운그레이드에는 고정 우선순위만 중요합니다.

Answer

루이스 톰슨의 답변1.1.1d-0+deb10u5 버전이 무엇에 해당하고 그 이유를 설명했습니다.~해야 한다다운그레이드를 수락합니다. 그러나 "이 패키지가 왜 다운그레이드됩니까? 나는 등급을 낮추기 위해 어떤 조치도 취하지 않았습니다."라는 질문은 해결되지 않습니다.

apt아무것도 모른다콘텐츠1.1.1d-0+deb10u5가 보안 취약점을 수정했는지도 모르고, 현재 설치된 버전에 취약점이 있는지도 모릅니다. apt패키지가 다운그레이드되도록 구성되었기 때문에 다운그레이드하도록 제안되었습니다. apt기본적 으로안 돼요다운그레이드 패키지가 제공되지만 실제로 데비안은 다운그레이드를 지원하지 않습니다. 당신에 관한 한,

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

OpenSSL 패키지에 대해 기본이 아닌 고정 우선순위(구체적으로 1000( ))가 있음을 보여줍니다 1.1.1d-0+deb10u5 1000. 이는 확인되었습니다 apt policy.

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

설명된 대로man apt_preferences, 이는 apt현재 설치된 버전의 핀 우선순위가 낮기 때문에 해당 패키지가 다운그레이드 대상으로 간주된다는 의미입니다 apt.

대상 패키지(1.1.1d-0+deb10u5)가 Debian 10 저장소의 최신 버전이라는 사실은 이와 관련이 없습니다. 다운그레이드에는 고정 우선순위만 중요합니다.

Question 3

여기에 (안타깝게도 코멘트에 넣을 수 없는 다른 답변 외에도) 다음을 실행한 Ondřej Surý의 설명이 있습니다.https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

(설치한 경우 화면이나 이메일을 통해 이 메시지를 받게 됩니다.적절한 목록 변경)

Answer

여기에 (안타깝게도 코멘트에 넣을 수 없는 다른 답변 외에도) 다음을 실행한 Ondřej Surý의 설명이 있습니다.https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

(설치한 경우 화면이나 이메일을 통해 이 메시지를 받게 됩니다.적절한 목록 변경)

Debian 10: 일부 SSL 패키지가 다운그레이드되는 이유는 무엇입니까?

추가 정보

해결책

고쳐 쓰다

답변1

답변2

답변3

관련 정보