遠端 Debian 11 / 12 主機已安裝的套件會受到 dla-4709 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4709-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 7 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：poppler 版本：20.09.0-3.1+deb11u3 22.12.0-2+deb12u3 CVE ID： CVE-2025-43718 CVE-2025-43903 CVE-2025-50420 CVE-2025-52885 CVE-2025-52886 CVE-2026-10118 Debian 錯誤：1103545 1108784 1110463 1117046 1117853 1138708

    在 PDF 渲染庫 poppler 中發現多個漏洞，可能導致簽名偽造、資訊洩露、拒絕服務或可能執行任意程式碼。

    以下安全問題已在 poppler 中發現（並修復）在 Debian bullseye 和 Debian bookworm 中發布。

    CVE-2025-43903

        據發現，具有非空封裝內容的簽章 （通常是 adbe.pkcs7.sha1） 未正確驗證，因此允許偽造簡單的簽章。

    CVE-2025-50420

        在 pdfseparate（1） 公用程式中發現無限遞迴問題，這可能會透過特製的 PDF 輸入檔案造成拒絕服務。

    CVE-2025-52886

        Kevin Backhouse 發現了一個整數溢位問題，這可能會透過特製的 PDF 輸入檔案導致釋放後使用。

    對於 Debian 12 書蟲，這些問題已在 22.12.0-2+deb12u3 版本中修復。

    此外，以下問題已在 Debian bullseye 中附帶的 poppler 版本中修正（對於 bookworm，這些問題已在 22.12.0-2+deb12u2 中 DSA-6334-1修復）：

    CVE-2025-43718

        據發現，在元資料中包含深度嵌套結構的精心製作的 PDF 檔案可能會導致拒絕服務。

    CVE-2025-52885

        安東尼奧·莫拉萊斯 （Antonio Morales） 發現了一個釋放後使用問題，該問題可能導致透過特製的 PDF 輸入檔案執行任意程式碼。

    CVE-2026-10118

        在 tileingPatternFill 中發現整數溢位問題，這可能會導致透過特製的 PDF 輸入檔案執行任意程式碼。

    對於 Debian 11 bullseye，這些問題已在 20.09.0-3.1+deb11u3 版本中修復。

    建議您升級 poppler 套件。

    如需有關 poppler 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/poppler

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4709 ： gir1.2-poppler-0.18 - 安全性更新

high Nessus Plugin ID 331517

版本 1.1