Debian 13.7 incluye correcciones de 92 avisos de seguridad

Debian publicó la versión de punto 13.7 de "trixie", que integra 92 avisos de seguridad ya emitidos y correcciones para 106 paquetes de origen. Hay seis avisos del kernel, una glibc corregida y vulnerabilidades en qemu, imagemagick, wolfssl, perl, u-boot y otras piezas del arranque seguro.

El proyecto Debian lanzó Debian 13.7, la nueva versión de punto de "trixie". No trae avisos nuevos: consolida 92 avisos de seguridad que ya se habían publicado por separado, suma correcciones a 106 paquetes de origen y reconstruye el instalador con todo eso incluido. Para quien ya sigue security.debian.org la descarga será pequeña; para quien instala desde medios antiguos de trixie, la primera actualización traerá bastante.

Kernel, glibc y una reconstrucción masiva

Seis de los 92 avisos son del kernel de Linux, con el paquete de origen linux y las compilaciones firmadas para amd64 y arm64: DSA-6381, DSA-6393, DSA-6405, DSA-6415, DSA-6466 y DSA-6477. El instalador ahora usa la ABI del kernel 6.12.107+deb13.

La glibc recibió correcciones para un desbordamiento y un subdesbordamiento de búfer, CVE-2026-5928 y CVE-2026-5450, más un ajuste para seguir funcionando con los encabezados de Linux 7.0. Como casi todos los programas se vinculan a glibc, Debian reconstruyó diecisiete paquetes que no tenían correcciones propias, desde bash y busybox hasta docker.io, gnupg2, snapd y zsh. Si ves esos paquetes en la lista de actualizaciones, ese es el motivo.

Dónde se concentran los CVE

Cuatro paquetes acumulan la mayoría: qemu con 25, imagemagick con 24, wolfssl con 15 y perl con 13. Algunos casos merecen atención por su impacto práctico:

En cyrus-imapd hay nueve CVE, ocho de ellos por comprobaciones de acceso insuficientes. En un servidor de correo esas comprobaciones deciden qué cuenta abre qué buzón, así que no son detalles menores. mbedtls corrige siete, entre ellos una suplantación de cliente (CVE-2026-34873) y una inyección de algoritmo de firma (CVE-2026-25834).

La cadena de arranque también recibió parches. En u-boot, CVE-2026-46728 permitía que la verificación de una imagen FIT firmada aceptara una imagen que debía rechazar, lo que en placas ARM y embebidas significa arrancar un kernel no confiable. La misma entrada corrige CVE-2024-42040, una lectura excesiva en BOOTP/DHCP con dos años de antigüedad. qemu incluye una elusión de arranque seguro (CVE-2026-16288) y una comprobación nueva en su dispositivo UEFI (CVE-2026-61404), y sbsigntool corrigió la verificación de su certificado intermedio.

En perl y libhttp-tiny-perl, CVE-2026-7017 hacía que un cliente HTTP reenviara el encabezado de autorización al seguir una redirección, entregando credenciales a quien controlara el destino. Ambos corrigen además la validación CRLF (CVE-2026-7010). perl también resuelve problemas con enlaces simbólicos y duros al extraer archivos (CVE-2026-42496 y CVE-2026-42497).

Otros cambios útiles de conocer: flask ahora envía "Vary: Cookie" al acceder a la sesión (CVE-2026-27205), para que un caché intermedio no sirva la página de un usuario a otro. dnsmasq corrige un desbordamiento de búfer y una lectura fuera de límites (CVE-2026-12725 y CVE-2026-12969), y dhcpcd descarta anuncios de enrutador IPv6 con opciones de Neighbor Discovery de longitud cero (CVE-2026-14258). python3.13 arregla un use-after-free en dict.clear() que era una regresión del paquete anterior y cinco CVE, entre ellos CVE-2026-11940 y CVE-2026-4360, relacionados con sobreescritura de archivos y con los ID de usuario y grupo en archivos tar. bettercap deja de instalar su servicio systemd por defecto, y onionshare deja de escribir archivos en modo Receive cuando las cargas están desactivadas.

Por qué importa y qué hacer

Una versión de punto no cambia nada para quien ya aplica las actualizaciones de seguridad a diario, pero sí para servidores que se instalan desde imágenes viejas, plantillas de VM o contenedores base que nadie regenera. Los paquetes más golpeados son justamente los que suelen estar expuestos: qemu en hosts de virtualización, imagemagick en aplicaciones que procesan imágenes subidas por usuarios, dnsmasq en redes internas y cyrus-imapd en correo.

• Ejecuta apt update y apt full-upgrade en todos los equipos con trixie, apuntando el gestor de paquetes a un espejo de Debian, y reinicia para cargar el kernel nuevo.
• Regenera tus plantillas de VM, imágenes base de contenedores y medios de instalación a partir de Debian 13.7.
• Revisa los hosts con qemu y u-boot, y valida que el arranque seguro siga funcionando después de actualizar.
• Agrega security.debian.org a las fuentes de apt en cualquier sistema que no lo tenga, para no depender solo de las versiones de punto.
• Comprueba que tus aplicaciones Flask detrás de un caché ya usen la versión corregida y que el caché respete el encabezado Vary.

Relacionado:
Nuevo fallo en el kernel de Linux permite a usuarios locales obtener root vía Open vSwitch
CVE-2026-31431: Vulnerabilidad Copy Fail permite escalada de privilegios a root en Linux
Nueva vulnerabilidad 'Copy Fail' en Linux permite acceso root

Fuente:
https://www.helpnetsecurity.com/2026/09/14/debian-13-7-point-release/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Help Net Security. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.