Das Debian-Projekt hat die sechste Aktualisierung der stabilen Distribution Debian 13 (Codename „trixie“) freigegeben: Version 13.6. Es handelt sich um ein klassisches Punkt‑Release, das primär Sicherheitskorrekturen und wichtige Fehlerbehebungen verteilt, ohne den Gesamtstand der Distribution neu zu definieren. Neue Installationsabbilder werden in Kürze an den gewohnten Stellen bereitgestellt.
Was ein Punkt‑Release bedeutet und wie Sie aktualisieren
Ein Punkt‑Release ersetzt keine Hauptversion von Debian, sondern aktualisiert ausgewählte Pakete in der stabilen Zweigstelle. Bestehende Installationsmedien müssen nicht weggeworfen werden: Nach der Installation genügt es, die Paketquellen auf einen aktuellen Debian‑Mirror zu richten und die Pakete zu aktualisieren.
Administratoren aktueller Systeme, die regelmäßig Updates von security.debian.org einspielen, werden in der Regel nur wenige zusätzliche Änderungen vornehmen müssen, da viele Sicherheitsaktualisierungen bereits über diesen Dienst ausgegeben wurden. Wer ein System auf 13.6 bringen möchte, weist die Paketverwaltung auf einen HTTP‑Mirror von Debian und führt ein übliches Upgrade (z. B. apt update && apt upgrade) durch. Eine vollständige Liste der Mirror‑Server stellt Debian auf seinen Webseiten zur Verfügung.
Wesentliche Änderungen in 13.6
fwupd 2.0.20: Secure‑Boot‑CA, KEK und DBX aktualisierbar
Ein zentraler Bestandteil dieses Punkt‑Updates ist die Aktualisierung von fwupd auf Version 2.0.20. Diese Version erweitert fwupd um die Fähigkeit, Secure‑Boot‑Metadaten zu aktualisieren: die Certificate Authority (CA), den Key Exchange Key (KEK) und die Sperr‑/Revocation‑Datenbank (DBX).
Der Hintergrund ist kritisch: Die auf vielen PCs standardmäßig vorhandene UEFI Secure‑Boot‑CA aus dem Jahr 2013 ist mittlerweile abgelaufen. Da diese CA früher zur Signatur von Bootloadern genutzt wurde, könnten künftige Aktualisierungen des Pakets shim‑signed dazu führen, dass Systeme mit aktivem Secure Boot nicht mehr starten. Mit der neuen fwupd‑Funktion lassen sich die betroffenen Metadaten aktualisieren, vorausgesetzt, das Gerät bzw. das OEM‑Firmware‑Ökosystem unterstützt den Mechanismus.
Debian empfiehlt ausdrücklich, Firmware‑ und Metadaten‑Updates für CA, KEK und DBX gemäß den Vorgaben des jeweiligen Geräteherstellers einzuspielen. Ohne solche Aktualisierungen besteht die Gefahr, dass nach bestimmten Bootloader‑Updates das System nicht mehr startet, wenn Secure Boot eingeschaltet ist.
geoip‑database wegen Lizenzfragen zurückgestuft
Aus lizenzrechtlichen Gründen wurde das Paket geoip‑database in Debian auf eine Version zurückgesetzt, deren Datum etwa dem Dezember 2019 entspricht. Konsequenz: Programme, die diese Paketversion zur IP‑Geolokalisierung nutzen, können veraltete Zuordnungsdaten verwenden.
Neuere Varianten der GeoLite‑Daten sind nach Angaben von Debian mit den Debian Free Software Guidelines (DFSG) nicht vereinbar und können deshalb nicht verteilt werden. Anwender und Entwickler, die aktuelle GeoLite‑Daten benötigen, werden deshalb aufgefordert, eine GeoLite‑Lizenz direkt beim Anbieter zu erwerben und nicht länger auf das Debian‑Paket zu vertrauen.
Installer‑Anpassungen und Sicherheitsankündigungen
Das Debian‑Installationsprogramm wurde so angepasst, dass die in diesem Punkt‑Release enthaltenen Korrekturen bereits während der Installation berücksichtigt werden. Zusätzlich hat das Sicherheitsteam für die in 13.6 enthaltenen Schwachstellen separate Sicherheitsmitteilungen veröffentlicht; diese Hinweise sollten beim Patch‑Management beachtet werden.
Konkrete Handlungsmaßnahmen für Admins
Für Systeme mit Secure Boot
- Prüfen Sie, ob Ihr Gerät von der abgelaufenen 2013er UEFI CA betroffen ist.
- Holen Sie Firmware‑ und Metadaten‑Updates (CA, KEK, DBX) von Ihrem OEM ein und spielen Sie diese gemäß der Herstelleranweisungen ein.
- Installieren Sie fwupd 2.0.20 oder neuer, um die Möglichkeit zu haben, Secure‑Boot‑Metadaten zu aktualisieren, falls Ihr Gerät das unterstützt.
Für Dienste, die GeoIP‑Daten nutzen
- Überprüfen Sie, ob Ihre Anwendung die Debian‑Paketversion der geoip‑Daten verwendet. Falls ja: kalkulieren Sie, ob die veralteten Daten ein Risiko für Ihre Anwendung darstellen.
- Ziehen Sie in Betracht, eine offizielle GeoLite‑Lizenz zu beziehen oder alternative, lizenzkonforme Datenquellen zu verwenden.
Allgemeine Update‑Schritte
- Paketquellen auf einen aktuellen Debian‑Mirror setzen (Debians Mirror‑Liste verwenden).
- System aktualisieren: apt update && apt upgrade (oder apt full‑upgrade, je nach Bedarf).
- Nach dem Upgrade Reboot durchführen, wenn Kernel‑ oder Bootloader‑Pakete betroffen waren.
Installationsabbilder und Verfügbarkeit
Debian weist darauf hin, dass neue Installationsabbilder mit den Änderungen von 13.6 bald an den üblichen Stellen verfügbar sein werden. Für Neuinstallationen ist es zwar sinnvoll, die aktuellen ISOs zu verwenden, zwingend notwendig sind diese aber nicht: Wie oben beschrieben reichen nachträgliche Paketaktualisierungen, um ein frisches System auf den Stand von 13.6 zu bringen.
Fazit
Debian 13.6 ist kein Feature‑Release, aber ein wichtiges Wartungsupdate: Es bündelt zahlreiche Sicherheitskorrekturen, behebt ernsthafte Probleme und adressiert insbesondere Fragestellungen rund um Secure Boot und die GeoIP‑Datenverteilung. Betreiber produktiver Systeme sollten die Secure‑Boot‑Situation ihrer Hardware prüfen und gegebenenfalls Firmware‑ bzw. Metadaten‑Updates einspielen. Anwendungen mit GeoIP‑Abhängigkeit müssen die Folgen der zurückgestuften Datenbank prüfen und gegebenenfalls alternative Bezugsquellen nutzen.
Die offiziellen Sicherheitsmitteilungen und die vollständigen Paketlisten zu 13.6 stehen auf den Debian‑Webseiten zur Verfügung; dort finden sich auch Hinweise zu Mirrors, Installationsabbildern und weiterführenden Informationen.
