Debianプロジェクトは、コードネーム「trixie」ことDebian 13.7をリリースしました。今回のリリースでは、これまで個別に公開されていた92件のセキュリティ勧告を統合し、106個のソースパッケージに修正を加えたほか、両者を反映する形でインストーラーも作り直しています。
92件の勧告のうち6件はLinuxカーネルに関するもので、それぞれlinuxソースパッケージに加え、署名済みのamd64およびarm64ビルドが対象に含まれています。該当するのはDSA-6381、DSA-6393、DSA-6405、DSA-6415、DSA-6466、DSA-6477です。旧版のtrixieメディアからインストールした場合、これら一連の修正よりも前のパッケージバージョンが導入されることになりますが、初回のアップデート実行時に最新状態へ追いつきます。すでにsecurity.debian.orgを参照している環境では、これらのセキュリティ更新の大半がすでに適用済みであるため、今回のポイントリリースで取得するパッケージはわずかです。
バグ修正リストの内容
106パッケージのうち17パッケージは、それ自体に固有の修正があるわけではありません。Debianは、システム上のほとんどのプログラムが実行時にリンクするCライブラリであるglibcを更新した上で、これらのパッケージを再ビルドしました。対象はbash、busyboxからdocker.io、gnupg2、zshに至るまで多岐にわたります。glibc自体には、バッファオーバーフロー(CVE-2026-5928)とバッファアンダーフロー(CVE-2026-5450)の修正に加え、Linux 7.0のヘッダーとの互換性を保つための変更が加えられています。
CVE番号の大半は4つのパッケージに集中しています。qemuが25件、imagemagickが24件、wolfsslが15件、perlが13件です。cyrus-imapdには9件のCVEがあり、そのうち8件はアクセス制御の不備、1件は境界外読み取りです。メールサーバーにおけるアクセス制御は、どのアカウントがどのメールボックスを開けるかを決定するものです。mbedtlsには7件のCVEがあり、クライアントなりすましの問題であるCVE-2026-34873や、署名アルゴリズムインジェクションの問題であるCVE-2026-25834が含まれています。
ブートチェーンに2件の修正
多くの組み込み機器やARMボードで使われているブートローダーであるu-bootは、カーネルに処理を引き渡す前にFITイメージを検証します。FITはカーネルとデバイスツリーを1つの署名済みファイルにまとめたものです。CVE-2026-46728では、本来拒否すべきイメージに対してこの検証が通過してしまう不具合がありました。同じu-bootの項目では、CVE-2024-42040として報告されていたBOOTP/DHCPのバッファオーバーリードも修正されています。この番号は2年前のものです。
qemuの修正リストには、セキュアブートを回避できるCVE-2026-16288と、UEFIデバイスに追加されたpost_loadチェックに関するCVE-2026-61404が含まれています。セキュアブート用にEFIバイナリへ署名するツールであるsbsigntoolでは、中間証明書の検証処理が修正されました。
誤った接続先へ渡ってしまう認証情報
perlとlibhttp-tiny-perlの両方に、リダイレクト時の認証情報転送に関するCVE-2026-7017が存在します。HTTPクライアントがリダイレクトに従う際、authorizationヘッダーをそのまま新しい接続先に引き継いでしまうと、その接続先を管理する何者かに認証情報を渡してしまうことになります。両パッケージとも、CRLF検証の不備であるCVE-2026-7010も修正されています。perlの項目は合計13件のCVEに及び、シンボリックリンクおよびハードリンクの展開に関する問題であるCVE-2026-42496とCVE-2026-42497も含まれます。これらは、自分で作成していないアーカイブを展開するあらゆる処理に影響します。
flaskは、セッションにアクセスした際に「Vary: Cookie」ヘッダーを設定するよう修正されました(CVE-2026-27205)。このヘッダーがないと、アプリケーションの手前に配置されたキャッシュが、あるユーザーのセッション向けに生成されたページを保存し、別のユーザーに配信してしまう可能性があります。dhcpcdは、長さゼロのNeighbor Discoveryオプションを含むIPv6ルーター広告を破棄するよう修正され(CVE-2026-14258)、dnsmasqではバッファオーバーフロー(CVE-2026-12725)と境界外読み取り(CVE-2026-12969)が修正されています。
修正の修正
python3.13では、埋め込み値を持つdict.clear()におけるuse-after-freeが修正されました。これは前バージョンのパッケージで生じていたリグレッションです。この項目にはほかに5件のCVEが含まれており、ファイル上書きの問題であるCVE-2026-11940や、tarファイルにおけるユーザーIDおよびグループIDの不適切な処理であるCVE-2026-4360などが挙げられます。bettercapは、systemdサービスをデフォルトでインストールしないよう変更されたほか、mysql.serverモジュールにおいて細工されたクライアントハンドシェイクによって引き起こされるリモートサービス拒否(CVE-2026-8276)が修正されました。onionshareは、Receiveモードでアップロードが無効化されている場合にファイルを書き込まないよう修正されています(CVE-2026-54707)。
アップデートの入手方法
Debianはポイントリリースの修正を反映するようインストーラーを更新し、そこでのカーネルABIを6.12.107+deb13に引き上げました。既存システムでは、パッケージマネージャーの参照先をDebianミラーに向けることでアップデートを適用できます。
翻訳元: https://www.helpnetsecurity.com/2026/09/14/debian-13-7-point-release/
