Debian 10：为什么某些 SSL 软件包会降级？

Question 1

https://www.debian.org/security/2021/dsa-4855

此信息以及 Debian Buster 中有关 openssl 的其他软件包信息表明 1.1.1d 是当前的稳定版本。看起来您已经从其他地方获取了 1.1.1j (gbp2578a0)，并且它没有这个重要的安全补丁

Answer

https://www.debian.org/security/2021/dsa-4855

此信息以及 Debian Buster 中有关 openssl 的其他软件包信息表明 1.1.1d 是当前的稳定版本。看起来您已经从其他地方获取了 1.1.1j (gbp2578a0)，并且它没有这个重要的安全补丁

Question 2

路易斯·汤普森的回答解释了 1.1.1d-0+deb10u5 版本对应的内容以及为什么应该接受降级。但它没有解决您的问题：“为什么这个软件包会被降级？我没有发起任何事情来降低它们的评级。”

apt对...一无所知内容它不知道 1.1.1d-0+deb10u5 修复了安全漏洞，也不知道当前安装的版本是否存在该漏洞。apt正在提议降级软件包，因为它已被配置为这样做。默认情况下，apt将绝不提供降级软件包，事实上，Debian 不支持降级。就你而言，

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

显示您对 OpenSSL 包有非默认 pin 优先级，特别是 1000 ( 1.1.1d-0+deb10u5 1000)。这得到了证实apt policy：

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

正如中所解释的man apt_preferences，这意味着apt将考虑降级此类软件包；由于您当前安装的版本具有较低的 pin 优先级，apt因此会将其降级到目标版本。

目标包 (1.1.1d-0+deb10u5) 是 Debian 10 存储库中的最新版本这一事实与此无关。只有 pin 优先级对于降级很重要。

Answer

路易斯·汤普森的回答解释了 1.1.1d-0+deb10u5 版本对应的内容以及为什么应该接受降级。但它没有解决您的问题：“为什么这个软件包会被降级？我没有发起任何事情来降低它们的评级。”

apt对...一无所知内容它不知道 1.1.1d-0+deb10u5 修复了安全漏洞，也不知道当前安装的版本是否存在该漏洞。apt正在提议降级软件包，因为它已被配置为这样做。默认情况下，apt将绝不提供降级软件包，事实上，Debian 不支持降级。就你而言，

libssl-dev:
  Installed: 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0
  Candidate: 1.1.1d-0+deb10u5
  Version table:
 *** 1.1.1j-1+0~20210301.25+debian10~1.gbp2578a0 100
        100 /var/lib/dpkg/status
     1.1.1d-0+deb10u5 1000
        500 http://security.debian.org/debian-security buster/updates/main amd64 Packages
     1.1.1d-0+deb10u4 1000
        500 http://ftp.hosteurope.de/mirror/ftp.debian.org/debian buster/main amd64 Packages

显示您对 OpenSSL 包有非默认 pin 优先级，特别是 1000 ( 1.1.1d-0+deb10u5 1000)。这得到了证实apt policy：

Pinned packages:
     openssl -> 1.1.1d-0+deb10u5 with priority 1000
     openssl -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-dev -> 1.1.1d-0+deb10u4 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u5 with priority 1000
     libssl-doc -> 1.1.1d-0+deb10u4 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u5 with priority 1000
     libssl1.1 -> 1.1.1d-0+deb10u4 with priority 1000

正如中所解释的man apt_preferences，这意味着apt将考虑降级此类软件包；由于您当前安装的版本具有较低的 pin 优先级，apt因此会将其降级到目标版本。

目标包 (1.1.1d-0+deb10u5) 是 Debian 10 存储库中的最新版本这一事实与此无关。只有 pin 优先级对于降级很重要。

Question 3

这里（除了其他答案之外，不幸的是无法将其放入评论中）是 Ondřej Surý 的解释，他运行https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

（如果您已安装，您将在屏幕上或通过电子邮件收到此信息apt 列表更改）

Answer

这里（除了其他答案之外，不幸的是无法将其放入评论中）是 Ondřej Surý 的解释，他运行https://deb.sury.org:

php-defaults (82) unstable; urgency=medium

  * The custom src:openssl packages were introduced to upgrade the
    cryptographic functions for PHP, Apache2 and NGINX, but the situation
    have improved greatly since.  Ubuntu 16.04 LTS will reach end-of-life
    in April 2021 and it was the last distribution using OpenSSL 1.0.2.
    Debian 9 Stretch LTS will reach end-of-life in June 2022 and it is
    using OpenSSL 1.1.0 (which just means TLS 1.3).

  * The php-common package now introduces custom apt_preferences
    configuration in /etc/apt/preferences.d/php-common.pref that should
    enforce downgrade of the src:openssl packages to the OpenSSL version
    provided by the distribution.  After this version of php-common is
    installed, the next manual apt-get dist-upgrade run will downgrade the
    OpenSSL version, but you are advised to check this manually if the
    downgrade has happened.

 -- Ondřej Surý <[email protected]>  Thu, 04 Mar 2021 11:08:54 +0100

（如果您已安装，您将在屏幕上或通过电子邮件收到此信息apt 列表更改）

Debian 10：为什么某些 SSL 软件包会降级？

附加信息

解决方案

更新

答案1

答案2

答案3

相关内容