مكتبة GNU C (المعروفة بـ glibc، وتُثبَّت باسم libc6) تقع تحت كل برنامج تقريبًا على خادم دبيان، لذا فإصلاحاتها الأمنية مهمة. ومع ذلك لم تُصدر دبيان أي تحذير أمني (DSA) لحزمة glibc في دبيان 12 (bookworm) أو دبيان 13 (trixie) منذ DSA-5678-1 في مايو 2024. فقد وصلت إصلاحات 2025 و2026 إلى هذين الإصدارين عبر تحديثات الإصدارات النقطية الاعتيادية. يوضح هذا الدليل أي النسخ تتضمن أي الإصلاحات، وكيف تتأكد من أن خوادمك تتلقاها فعلًا.
لماذا لم يصدر تحذير DSA؟
بحسب توثيق متتبع الأمان، تُعلَّم المسألة التي لا تستدعي تحذيرًا فوريًا، كأن تكون خطورتها ثانوية، بالوسم no-dsa (أو postponed أي مؤجلة، حين يُراد ضمّها إلى تحذير لاحق). ومثل هذه المسائل تُصلَح في العادة رغم ذلك، إما عبر تحديث نقطي أو مع تحديث أمني لاحق. وهذا ما حدث مع ثغرات glibc أدناه. ويُظهر جدول المتتبع لكل ثغرة النسخة المصحَّحة دون أي تحذير في عمود Origin، وبهذا تعرف أن الإصلاح جاء عبر إصدار نقطي.
ولذلك نتيجة عملية مهمة: هذه الحزم تُنشر في أرشيف دبيان الرئيسي لا في أرشيف الأمان. ففي 31 أكتوبر 2026 يُدرج المتتبع النسخة 2.36-9+deb12u14 في bookworm، بينما لا يوجد في bookworm-security إلا 2.36-9+deb12u7. والخادم الذي تشير مصادر APT فيه إلى أرشيف الأمان وحده لن يتلقى هذه الإصلاحات.
أي ثغرات glibc أُصلحت، وأين؟
| الثغرة | المشكلة (بحسب الجهة المُصدِرة glibc) | دبيان 12 (bookworm): أُصلحت في | دبيان 13 (trixie) |
|---|---|---|---|
| CVE-2025-0395 | تجاوز سعة المخزن عند فشل assert() (من 2.13 إلى 2.40) | 2.36-9+deb12u10 | غير متأثر (يأتي بالنسخة 2.41) |
| CVE-2025-4802 | احترام LD_LIBRARY_PATH في البرامج الثابتة من نوع setuid التي تستدعي dlopen (من 2.27 إلى 2.38) | 2.36-9+deb12u11 | غير متأثر |
| CVE-2025-8058 | تحرير مزدوج للذاكرة في regcomp بعد فشل حجز الذاكرة | 2.36-9+deb12u13 | أُصلحت قبل صدوره (2.41-11) |
| CVE-2025-15281 | قد ينهار البرنامج عند استخدام wordexp مع WRDE_REUSE وWRDE_APPEND | 2.36-9+deb12u14 | 2.41-12+deb13u2 |
| CVE-2026-0861 | فيض عددي في عائلة memalign مع قيم محاذاة ضخمة | 2.36-9+deb12u14 | 2.41-12+deb13u2 |
| CVE-2026-0915 | قد يسرّب getnetbyaddr محتوى المكدّس إلى خادم DNS | 2.36-9+deb12u14 | 2.41-12+deb13u2 |
| CVE-2026-4046 | انهيار iconv() مع مدخلات IBM1390/IBM1399 | 2.36-9+deb12u14 | 2.41-12+deb13u3 |
| CVE-2026-4437 وCVE-2026-4438 | قد يعيد gethostbyaddr مع واجهة DNS أسماء مضيفين غير صالحة بسبب ردود DNS مُعدّة خصيصًا | 2.36-9+deb12u14 | 2.41-12+deb13u3 |
يتطلب معظم هذه الثغرات ظروفًا خاصة: برنامجًا ثابتًا من نوع setuid، أو تطبيقًا يمرّر قيم محاذاة يتحكم فيها المهاجم، أو ردًا مُعدًّا من خادم DNS الذي يستخدمه الجهاز. وقد منحت الجهة المُصدِرة الثغرة CVE-2025-8058 درجة 5.9 (متوسطة) وفق CVSS 4.0 ولم تقيّم معظم البقية، ولا توجد أي منها في كتالوج CISA للثغرات المستغلة فعليًا، وهذا يتسق مع معاملة دبيان لها كمادة للإصدارات النقطية. والخلاصة: النسخة 2.36-9+deb12u14 في bookworm والنسخة 2.41-12+deb13u4 في trixie (وهما النسختان الحاليتان) تتضمنان كل إصلاحات الجدول.
أما دبيان 11 (bullseye) فتلقى إصلاحات مماثلة عبر تحذيرات الدعم طويل الأمد DLA-4143-1 وDLA-4181-1 وDLA-4621-1، لكن فترة دعمه انتهت في 31 أغسطس 2026.
تحقق مما تشغّله
dpkg-query -W -f='${Package} ${Version}\n' libc6 libc-bin
apt policy libc6قارن النسخة المثبتة بالجدول. ولا تعتمد على ldd --version لهذا الغرض، فهو يطبع النسخة الأصلية فقط (2.36 أو 2.41) لا مراجعة دبيان التي تحمل الإصلاح. وفي ناتج apt policy ينبغي أن تأتي النسخة المرشحة من الأرشيف الرئيسي (مثل deb.debian.org/debian bookworm/main)، فإن لم ترَ إلا سطرًا ينتهي بـ -security فأضف المستودع الرئيسي إلى مصادرك.
التحديث
sudo apt update
sudo apt upgrade
apt policy libc6تُبنى من الحزمة المصدرية عدة حزم ثنائية، منها libc6 وlibc-bin وlibc6-dev وlocales وnscd، ويحدّث الأمر المعتاد apt upgrade كل ما هو مثبت منها.
إعادة التشغيل بعد تحديث glibc
تحتفظ كل عملية قيد التشغيل بالمكتبة القديمة في الذاكرة حتى تُعاد. وتُدرج الحزمة needrestart الخدمات المتأثرة، وهي في حالة glibc كلها تقريبًا، لذا فإعادة تشغيل الخادم في وقت مناسب هي الخيار الأبسط:
sudo needrestart -r l
sudo rebootما الذي لم يُصلَح بعد؟
يُدرج المتتبع أيضًا مسائل في glibc لم تُصلَح بعد في bookworm أو trixie. فمثلًا الثغرة CVE-2026-95818، وهي تجاوز سعة في المكدّس داخل المحمّل الديناميكي قد يستغله مستخدم محلي لإسقاط برامج setuid أو إفساد ذاكرتها (درجتها 3.6، منخفضة وفق الجهة المُصدِرة)، معلَّمة بوصفها مسألة ثانوية (no-dsa) في trixie وما زالت مفتوحة في bookworm. ويُتوقع إصلاح مثل هذه المسائل في تحديثات لاحقة لا في تحذيرات عاجلة. راجع صفحة المتتبع إن كانت ثغرة بعينها تهمك.
ما الذي ينبغي فعله
- تأكد أن مصادر APT تتضمن أرشيف دبيان الرئيسي إلى جانب أرشيف الأمان، لتصلك إصلاحات الإصدارات النقطية.
- ارفع
libc6إلى2.36-9+deb12u14على الأقل في bookworm، أو2.41-12+deb13u4في trixie. - أعد تشغيل الخادم بعد تحديثات glibc، أو على الأقل أعد تشغيل كل خدمة يذكرها
needrestart. - لا تكتفِ برسائل تحذيرات DSA، وتابع المتتبع للحزم الأساسية مثل glibc.
- انقل ما تبقى من أنظمة دبيان 11 إلى إصدار مدعوم.
المصادر
- security-tracker.debian.org/tracker/source-package/glibc
- security-team.debian.org/security_tracker.html
- security-tracker.debian.org/tracker/CVE-2025-0395
- security-tracker.debian.org/tracker/CVE-2025-4802
- security-tracker.debian.org/tracker/CVE-2025-8058
- security-tracker.debian.org/tracker/CVE-2025-15281
- security-tracker.debian.org/tracker/CVE-2026-0861
- security-tracker.debian.org/tracker/CVE-2026-0915
- security-tracker.debian.org/tracker/CVE-2026-4046
- security-tracker.debian.org/tracker/CVE-2026-4437
- security-tracker.debian.org/tracker/CVE-2026-4438
- security-tracker.debian.org/tracker/CVE-2026-95818
- cve.org/CVERecord?id=CVE-2025-8058
- cve.org/CVERecord?id=CVE-2026-95818
- security-tracker.debian.org/tracker/DSA-5678-1
- packages.debian.org/source/bookworm/glibc
- manpages.debian.org/trixie/needrestart/needrestart.1.en.html
- debian.org/releases
Comments
0 total · 0 threads