遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-5967 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5967-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：php8.2 CVE ID：CVE-2025-1220 CVE-2025-1735 CVE-2025-6491

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題可導致拒絕服務或伺服器端要求偽造。

    針對穩定的發行版本 (bookwarm)這些問題已在 8.2.29-1~deb12u1 版本中修正。

    我們建議您升級 php8.2 套件。

    如需有關 php8.2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php8.2

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4255 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4255-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 audiofile 版本 0.3.6-5+deb11u1 CVE ID CVE-2019-13147 CVE-2022-24599


    audiofile 程式庫允許處理來回許多常見格式之音訊檔的音訊資料 (目前為 AIFF、AIFF-C、WAVE、NeXT/Sun、BICS 和原始資料)。

    CVE-2019-13147

        Audiofile 因整數溢位而容易遭受攻擊。
        如果 NeXT 音訊檔案包含太多通道，請提早結束。

    CVE-2022-24599

        發現一個記憶體洩漏這是因為讀取非以 null 終止的版權欄位。預先配置歸零的記憶體，且一律 NULL 終止 C 字串。


    針對 Debian 11 Bullseye這些問題已在 0.3.6-5+deb11u1 版本中修正。

    建議您升級 audiofile 套件。

    如需 audiofile 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/audiofile

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4254 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4254-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 php7.4 版本 7.4.33-1+deb11u9 CVE ID CVE-2025-1220 CVE-2025-1735 CVE-2025-6491

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題可導致伺服器端要求偽造或拒絕服務。

    CVE-2025-1220

        Jihwan Kim 發現 fsockopen() 未驗證所提供的主機名稱不含 null 字元這可導致其他函式 (如 parse_url()) 以錯誤的方式處理主機名稱進而可能造成伺服器端要求偽造。

    CVE-2025-1735

        據發現pgsql 和 pdo_pgsql 逸出函式不會檢查基礎引用函式是否傳回錯誤其可能因 null 指標解除參照而導致當機。

        此問題與 CVE-2025-1094 相關其已向 PostgreSQL 報告。

    CVE-2025-6491

        Ahmed Lekssays 發現完整限定名稱 (大於 2G) 建立的 SoapVar 執行個體會因 null 指標解除參照而導致拒絕服務。

    針對 Debian 11 Bullseye這些問題已在 7.4.33-1+deb11u9 版本中修正。

    建議您升級 php7.4 套件。

    如需有關 php7.4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php7.4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4256 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4256-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 libetpan 版本 1.9.4-3+deb11u1 CVE ID CVE-2022-4121


    在用於處理電子郵件的低階程式庫 libetpan 中發現一個潛在的 null 指標解除參照弱點。


    針對 Debian 11 Bullseye此問題已在 1.9.4-3+deb11u1 版本中修正。

    建議您升級 libetpan 套件。

    如需有關 libetpan 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libetpan

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4257 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4257-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 libcaca 版本 0.99.beta19-2.2+deb11u1 CVE ID CVE-2021-30498 CVE-2021-30499


    在色彩 ASCII art 程式庫 libcaca 中發現兩個問題。
    兩者皆與可能導致記憶體損毀的堆積緩衝區溢位有關。



    針對 Debian 11 Bullseye這些問題已在 0.99.beta19-2.2+deb11u1 版本中修正。

    建議您升級 libcaca 套件。

    如需有關 libcaca 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libcaca

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4251 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4251-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 libxml2 版本 2.9.10+dfsg-6.7+deb11u8 CVE ID CVE-2024-34459 CVE-2025-6021 CVE-2025-6170 CVE-2025-49794 CVE-2025-49796 Debian 錯誤 1071162 1107720 1107755 1107938

    在 GNOME XML 程式庫 libxml2 中發現多個安全性問題導致拒絕服務或可能執行任意程式碼。

    CVE-2024-34459

        Zhineng Zhong 發現使用 `xmllint
        --htmlout` 可導致緩衝區過度讀取。

    CVE-2025-6021

        Ahmed Lekssays 在 `xmlBuildQName()` 中發現一個整數溢位問題處理特製輸入時可導致記憶體損毀或拒絕服務。

    CVE-2025-6170

        Ahmed Lekssays 在 xmllint 的互動殼層命令剖析邏輯中發現一個堆疊型緩衝區溢位問題。

    CVE-2025-49794

        Nikita Sveshnikov 在 schematron 中發現一個堆積釋放後使用問題。處理 Schematron 配置元素中的 XPath 運算式時 `<sch:name path=/> `則係統會傳回並存取已釋放記憶體的指標進而導致未定義的行為或可能的當機。

    CVE-2025-49796

        Nikita Sveshnikov 在 schematron 中發現一個類型混淆問題。處理 `sch:name` 元素和存取命名空間資訊可導致記憶體損毀或未定義的行為。

    針對 Debian 11 Bullseye這些問題已在 2.9.10+dfsg-6.7+deb11u8 版本中修正。

    建議您升級 libxml2 套件。

    如需有關 libxml2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libxml2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4252 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4252-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 7 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: snapcast 版本: 0.23.0+dfsg1-1+deb11u1 CVE ID : CVE-2023-36177

    在多房間用戶端-伺服器音訊播放器 snapcast 中發現一個 RCE 弱點。

    CVE-2023-36177

       遠端攻擊者可透過 JSON-RPC-API 中的特製要求，執行任意程式碼並取得敏感資訊。此修復程式不支援進程資料流類型。

    針對 Debian 11 Bullseye，已在版本 0.23.0+dfsg1-1+deb11u1 中修正此問題。

    建議您升級 snapcast 套件。

    如需有關 snapcast 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/snapcast

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4253 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4253-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: thunderbird 版本: 1:128.13.0esr-1~deb11u1 CVE ID : CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對 Debian 11 Bullseye，已在 1:128.13.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5966 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5966-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對穩定的發行版本 (bookworm)，已在 1:128.13.0esr-1~deb12u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4250 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4250-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：128.13.0esr-1~deb11u1 CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對 Debian 11 Bullseye，已在 128.13.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5965 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5965-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 24 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-8010 CVE-2025-8011

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 138.0.7204.168-1~deb12u1 版本中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5964 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5964-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對穩定的發行版本 (bookworm)，已在 128.13.0esr-1~deb12u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4249 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：mediawiki 版本：1:1.35.13-1+deb11u4 CVE ID：CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    在 mediawiki (一款用於進行共同作業的網站引擎) 中發現多個導致資訊洩漏或特權提升的安全性弱點。

    CVE-2025-3469

        網頁產生期間未正確清理使用者輸入，可能導致透過跨網站指令碼造成資訊洩漏或特權提升。

    CVE-2025-6590

        未清理密碼重設表單中的使用者輸入，可能導致透過嵌入洩漏私人頁面的資訊。

    CVE-2025-6591

        i18n 訊息中 API `action=feedcontributions` 輸出的 HTML 插入。

    CVE-2025-6593

        {{SITENAME}} 註冊的電子郵件地址已變更，電子郵件傳送至未經驗證的電子郵件地址，可能導致資訊洩漏。

    CVE-2025-6594

        Special:ApiSandbox 中的 XSS。儘管 1.39 中的已知問題未遭刺探利用，反向移植變更會提供一些安全強化，以防萬一。

    CVE-2025-6595

        MultimediaViewer 中透過系統訊息的已儲存 XSS。

    CVE-2025-6597

        出於安全性重新驗證的目的，自動建立被視為登入。不過，這不一定涉及即時使用者識別，因其可以某些供應商為基礎，根據工作階段 Cookie 或類似的低保真度資訊來識別使用者。取得 CentralAuth 工作階段 Cookie (在任何 wiki 上有效) 的攻擊者可造訪使用者尚無本機帳戶的 wiki，取得自動建立的帳戶，然後變更憑證或執行其他敏感作業。

    CVE-2025-6926

        允許延伸模組在登入時隱藏 reauth 旗標。這是透過登入頁面實作某種自動登入的延伸模組的因應措施，以指示登入流程並未涉及使用者實際登入，只是複製某些中央登入狀態，因此不適用於重新驗證旗標。

    CVE-2025-32072

        i18n 訊息中摘要輸出的 HTML 插入。

    CVE-2025-32696

         還原檔案可繞過重新上傳擁有限制。

    CVE-2025-32698

        在 LogPager.php 中不當強制執行隱藏限制。

    CVE-2025-32699

        Action API 中的 Unicode 正規化可能會導致 javascript 插入攻擊。

    針對 Debian 11 bullseye，已在 1:1.35.13-1+deb11u4 版本中修正這些問題。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4248 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4248-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 openjdk-11 版本 11.0.28+6-1~deb11u1 CVE ID CVE-2025-30749 CVE-2025-30754 CVE-2025-30761 CVE-2025-50059 CVE-2025-50106

    在 OpenJDK Java Runtime 中發現數個弱點其可能導致拒絕服務、資訊洩漏或繞過沙箱限制。

    針對 Debian 11 Bullseye這些問題已在 11.0.28+6-1~deb11u1 版中修正。

    建議您升級 openjdk-11 套件。

    如需有關 openjdk-11 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/openjdk-11

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個套件其受到 dla-4246 公告中所提及的多個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 錯誤 1010339 1109378

    在 libowasp-esapi-java (一種 Java 企業安全性 API) 中發現數個安全性弱點。

    CVE-2022-23457：

        ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在此更新之前「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串這可能會讓控制流程繞過檢查失敗。

    CVE-2022-24891：

        ESAPI 中可能會出現一個跨網站指令碼弱點這是因為在
        **antisamy-esapi.xml** 設定檔可造成 javascript: URL 無法正確清理。

    CVE-2025-5878：

        此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。我們未發現 Debian 中有任何受影響的反向相依性但如果您在獨立專案中使用 ESAPI則應該知道 Encoder.encodeForSQL 方法已過時且最終將被移除。此外DB2Codec、MySQLCodec 和 OracleCodec 類別也已過時。建議您仔細評估您的專案是否會受到這些類別和方法影響以及是否必須實作其他步驟來保護您的應用程式。此更新不會自動保護您免受任何潛在風險的影響。

    針對 Debian 11 Bullseye這些問題已在 2.4.0.0-0+deb11u1 版本中修正。

    建議您升級 libowasp-esapi-java 套件。

    如需 libowasp-esapi-java 安全性狀態的詳細資訊請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4245 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4245-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 libcommons-fileupload-java 版本 1.4-1+deb11u1 CVE ID CVE-2023-24998 CVE-2025-48976 Debian 錯誤 1031733 1108120

    在 libcommons-fileupload-java 中發現兩個安全性弱點libcommons-fileupload-java 是一種 Java 程式庫可新增健全、高效能的檔案上傳功能至 Servlet 和 Web 應用程式。

    CVE-2023-24998：

        Apache Commons FileUpload 未限制要處理的要求部分數導致攻擊者可能觸發惡意上傳或一系列上傳的 DoS。請注意如同所有檔案上傳限制一樣預設不會啟用新的組態選項 (FileUploadBase#setFileCountMax)而必須明確設定。

    CVE-2025-48976：

        以限制不足配置多部分標頭的資源時會啟用 Apache Commons FileUpload 中的 DoS 弱點。

    針對 Debian 11 Bullseye這些問題已在 1.4-1+deb11u1 版本中修正。

    建議您升級 libcommons-fileupload-java 套件。

    如需 libcommons-fileupload-java 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libcommons-fileupload-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4244 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4244-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 : tomcat9 版本 : 9.0.107-0+deb11u1 CVE ID : CVE-2024-34750 CVE-2024-54677 CVE-2025-31650 CVE-2025-31651 CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-49125 CVE-2025-52434 CVE-2025-52520 CVE-2025-53506

    在 Java Web 伺服器和 servlet 引擎 Tomcat 9 中發現多個安全性弱點。最值得注意的是，此次更新改善了 HTTP/2 連線的處理方式，並更正了多個可能導致不受控制資源消耗和拒絕服務的瑕疵。

    針對 Debian 11 bullseye，已在 9.0.107-0+deb11u1 版本中修正這些問題。

    建議您升級 tomcat9 套件。

    如需有關 tomcat9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tomcat9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4247 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4247-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 djvulibre 版本 3.5.28-2.2~deb11u1 CVE ID CVE-2021-46310 CVE-2021-46312 CVE-2025-53367 Debian 錯誤 1052668 1052669 1108729

    已在 DjVuLibre (用於處理 DjVu 格式文件的程式庫和工具) 中修正多個弱點。

    CVE-2021-46310

        在 IW44Image::Map::image() 中進行除以零

    CVE-2021-46312

        在 IWBitmap::Encode::init() 中進行除以零

    CVE-2025-53367

        MMRDecoder 中的緩衝區溢位

    針對 Debian 11 Bullseye這些問題已在 3.5.28-2.2~deb11u1 版本中修正。

    建議您升級 djvulibre 套件。

    如需有關 djvulibre 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/djvulibre

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4243 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4243-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 batik 版本 1.12-4+deb11u3 CVE ID CVE-2020-11987 CVE-2022-38398 CVE-2022-38648 CVE-2022-40146 Debian 錯誤 984829 1020589

    已在適用於 Java 的 Batik SVG 工具組中修正多個伺服器端要求偽造案例。

    針對 Debian 11 Bullseye這些問題已在 1.12-4+deb11u3 版本中修正。

    建議您升級 batik 套件。

    如需 batik 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/batik

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4242 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4242-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 版本 1.8.3-1+deb12u1~deb11u1 CVE ID CVE-2022-25844 CVE-2023-26116 CVE-2023-26117 CVE-2023-26118 CVE-2024-8372 CVE-2024-8373 CVE-2024-21490 CVE-2025-0716 CVE-2025-2336 Debian 錯誤 #1014779 #1036694 #1088804 #1088805 #1104485

    受歡迎的 JavaScript 架構 angle.js 受到多個弱點影響。

    CVE-2022-25844

        在提供自訂地區設定規則時發現一個規則運算式拒絕服務弱點 (ReDoS)此弱點可讓 NUMBER_FORMATS.PATTERNS[1].posPre 的 posPre: ' '.repeat() 指派具有非常高的值

    CVE-2023-26116

        透過 angle.copy() 公用程式函式發現一個規則運算式拒絕服務 (ReDoS) 情形這是因為使用不安全的規則運算式所致。

    CVE-2023-26117

        由於使用不安全的規則運算式因此透過 $resource 服務發現規則運算式拒絕服務 (ReDoS)。

    CVE-2023-26118

        在 <input type=url> 元素中發現一個規則運算式拒絕服務 (ReDoS) 情形這是因為在 input[url] 功能中使用不安全的規則運算式所致。
        透過特製的大型輸入可利用此弱點造成災難性回溯。

    CVE-2024-8372

        不當清理 角JS 中的「srcset」屬性值讓攻擊者得以繞過常見的影像來源限制其也可導致內容偽造

    CVE-2024-8373

        若未適當清理 角JS 中 <source> HTML 元素的 [srcset] 屬性值攻擊者即可繞過常見的影像來源限制其也可導致內容偽造

    CVE-2024-21490

        用於分割 ng-srcset 指示詞值的規則運算式容易因為回溯而受到超線性運行時間影響。透過大量的特製輸入這可導致災難性的回溯並造成拒絕服務。

    CVE-2025-0716

        在 角JS 中不當清理「<image>」SVG 元素之 'href' 和 'xlink:href' 屬性的值讓攻擊者得以繞過常見的影像來源限制。這可導致某種形式的內容偽造 。

    CVE-2025-2336

        在 ngSanitize 模組中發現一個不當清理弱點其允許攻擊者繞過通常套用至影像元素的常見影像來源限制。此繞過可進一步導致某種形式的內容偽造。同樣地使用太大或載入緩慢的影像也會對應用程式的效能和行為造成負面影響。

    針對 Debian 11 Bullseye這些問題已在 1.8.3-1+deb12u1~deb11u1 版本中修正。

    建議您升級 angular.js 套件。

    如需 angle.js 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/angular.js

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5963 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5963-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-6558 CVE-2025-7656 CVE-2025-7657

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。Google 發現現實中有利用 CVE-2025-6558 的情形。

    針對穩定的發行版本 (bookworm)，已在第 138.0.7204.157-1~deb12u1 版中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5962 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5962-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 16 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: gnutls28 CVE ID: CVE-2025-6395 CVE-2025-32988 CVE-2025-32989 CVE-2025-32990

    在 GNU TLS 中發現多個安全性問題，可導致拒絕服務。

    針對穩定的發行版本 (bookworm)，已在 3.7.9-2+deb12u5 版中修正這些問題。

    建議您升級 gnutls28 套件。

    如需有關 gnutls28 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/gnutls28

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4241 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4241-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ffmpeg 版本 7:4.3.9-0+deb11u1 CVE ID CVE-2023-6601 CVE-2023-6602 CVE-2023-6604 CVE-2023-6605

    已修正多媒體架構 FFmpeg 中的多個弱點。

    CVE-2023-6601

        透過 base64 資料 URI 觸發任意 demuxer

    CVE-2023-6602

        未正確剖析 HLS 播放清單中的輸入檔案

    CVE-2023-6604

        將任意資料解混合為 XBIN 格式的資料

    CVE-2023-6605

        透過特製 DASH 播放清單的任意 HTTP GET 要求

    針對 Debian 11bullseye這些問題已在版本 7:4.3.9-0+deb11u1 中修正。

    建議您升級 ffmpeg 套件。

    如需有關 ffmpeg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4240 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4240-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 7 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 redis 版本 5:6.0.16-1+deb11u7 CVE ID CVE-2025-32023 CVE-2025-48367 Debian 錯誤1108975 1108981

    在鍵值資料庫 Redis 中發現兩個問題

    * CVE-2025-32023經驗證的使用者可能在 hyperloglog 作業期間使用特製的字串觸發了堆疊/堆積超出邊界寫入這可能導致發生遠端程式碼執行弱點。使用 Redis 的 ACL 系統限制 hyperloglog HLL 命令的安裝項目不會受到此問題影響。

    * CVE-2025-48367未經驗證的連線可能會造成重複的 IP 通訊協定錯誤進而導致用戶端耗盡並最終變成拒絕服務 (DoS) 攻擊。

    針對 Debian 11 Bullseye這些問題已在版本 5:6.0.16-1+deb11u7 中修正。

    建議您升級 redis 套件。

    如需有關 redis 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/redis

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4239 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4239-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:128.12.0esr-1~deb11u1 CVE ID：CVE-2025-5986 CVE-2025-6424 CVE-2025-6425 CVE-2025-6429 CVE-2025-6430

    已修正電子郵件、行事曆和通訊錄用戶端 Thunderbird 中的多個弱點。

    CVE-2025-5986

        透過 mailbox:/// 連結造成未經要求的檔案下載、磁碟空間耗盡和憑證洩漏

    CVE-2025-6424

        FontFaceSet 中的釋放後使用

    CVE-2025-6425

        隨附的 WebCompat WebExtension 曝露一個持續性 UUID

    CVE-2025-6429

        URL 的錯誤剖析可能會允許 youtube.com 嵌入

    CVE-2025-6430

        當檔案包含在嵌入或物件標籤中時，Content-Disposition 標頭會遭忽略

    針對 Debian 11 Bullseye，已在 1:128.12.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4238 公告中所提及一個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4238-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 7 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 sslh 版本 1.20-1+deb11u1 CVE ID CVE-2025-52936 Debian 錯誤 1108284

    在 sslh (一種常用於在相同連接埠上共用 SSH 和 HTTPS 的通訊協定多工器) 中發現一個所謂的連結跟隨弱點。

    針對 Debian 11 Bullseye此問題已在 1.20-1+deb11u1 版本中修正。

    建議您升級 sslh 套件。

    如需 sslh 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/sslh

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個受到 dsa-5961 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5961-1 security@debian.org https://www.debian.org/security/Shengqi Chen 2025 年 7 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件slurm-wlm CVE ID CVE-2025-43904 Debian 錯誤1104929

    HPE 的 Secou Diakite 發現 Slurm Workload Manager 計量系統 (一種叢集資源管理和工作排程系統) 對於 Coordinator 的權限處理有一個錯誤可能允許 Coordinator 將使用者提升為管理員。

    - - 針對穩定的發行版本 (bookwarm)此問題已在 22.05.8-4+deb12u3 版中修正。

    建議您升級 slurm-wlm 套件。

    如需 slurm-wlm 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/slurm-wlm

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5960 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5960-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: djvulibre CVE ID: CVE-2025-53367 Debian 錯誤: 1108729

    Antonio Morales 在 djvulibre (用於處理 DjVu 格式文件的程式庫和工具組) 中的 MMRDecoder::scanruns 方法中發現一個超出邊界寫入問題，如果處理特製的文件，可能會導致任意程式碼執行。

    針對穩定的發行版本 (bookworm)，已在 3.5.28-2.1~deb12u1 版本中修復此問題。

    建議您升級 djvulibre 套件。

    如需有關 djvulibre 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/djvulibre

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到一個弱點影響的套件如 dla-4237 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4237-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 6 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 xmedcon 版本 0.16.3+dfsg-1+deb11u2 CVE ID CVE-2025-2581 Debian 錯誤 1100986

    32 位元系統上的整數溢位問題已在用於醫療影像轉換的 XMedCon 工具組中修正。

    針對 Debian 11 Bullseye，此問題已在 0.16.3+dfsg-1+deb11u2 版本中修復。

    建議您升級 xmedcon 套件。

    如需 xmedcon 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/xmedcon

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5959 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5959-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 6 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-5986 CVE-2025-6424 CVE-2025-6425 CVE-2025-6429 CVE-2025-6430

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對穩定的發行版本 (bookworm)，已在 1:128.12.0esr-1~deb12u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4235 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4235-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 6 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：sudo 版本：1.9.5p2-3+deb11u2 CVE ID：CVE-2025-32462


    Rich Mirch 發現，sudo (專門為特定使用者提供有限超級使用者權限的程式) 未正確處理主機 (-h 或 --host) 選項。由於存在錯誤，主機選項未受限於只列出權限，而且可在透過 sudo 執行命令或利用 sudoedit 編輯檔案時使用。視 sudoers 檔案中存在的規則而定，此缺陷可能會允許本機特權提升攻擊。


    針對 Debian 11 Bullseye，此問題已在 1.9.5p2-3+deb11u2 版本中修正。

    建議您升級 sudo 套件。

    如需有關 sudo 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/sudo

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5958 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5958-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 7 月 4 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：jpeg-xl CVE ID：CVE-2023-0645 CVE-2023-35790 CVE-2024-11403 CVE-2024-11498 Debian 錯誤：1034722 1055306 1088818

    在 JPEG XL (JXL) 影像編碼程式庫 jpeg-xl 中發現包括超出邊界讀取/寫入和堆疊型緩衝區溢位等多個弱點，可能會造成過度使用記憶體和拒絕服務攻擊。

    CVE-2023-0645

        特製檔案可造成 libjxl 的 exif 處理常式發生超出邊界讀取。

    CVE-2023-35790

        解碼 libjxl 程式碼的修補程式中的整數反向溢位。

    CVE-2024-11403

        用於重新壓縮 JPEG 檔案的 JPEG 解碼器中有超出邊界寫入問題。

    CVE-2024-11498

        特製檔案可造成 JPEG XL 解碼器使用大量堆疊空間，進而可能耗盡堆疊。

    針對穩定的發行版本 (bookworm)，已在第 0.7.0-10+deb12u1 版中修正這些問題。

    建議您升級 jpeg-xl 套件。

    如需有關 jpeg-xl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/jpeg-xl

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5957 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5957-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 3 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：mediawiki CVE ID：CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072

    在 MediaWiki (一款用於共同作業的網站引擎) 中發現多個安全性問題，可導致跨網站指令碼、資訊洩漏、HTML 插入或不正確的驗證事件追蹤。

    針對穩定的發行版本 (bookworm)，已在版本 1:1.39.13-1~deb12u1 中修正這些問題。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個受到 dsa-5956 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5956-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 7 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ring CVE ID CVE-2023-27585

    pjproject 的內嵌副本受到一個緩衝區溢位弱點影響其會影響使用 PJSIP DNS 解析器的應用程式。

    針對穩定的發行版本 (bookwarm)此問題已在版本 20230206.0~ds2-1.1+deb12u1 中修正。

    建議您升級 ring 套件。

    如需有關 ring 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ring

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個受到 dsa-5955 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5955-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 2 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 : chromium CVE ID : CVE-2025-6554

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。Google 發現現實中有利用 CVE-2025-6554 的情形。

    針對穩定的發行版本 (book蠕蟲)此問題已在 138.0.7204.92-1~deb12u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4236 公告中所提及。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4236-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 6 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 mbedtls 版本 2.16.9-0.1+deb11u1 CVE ID CVE-2021-24119 CVE-2021-36647 CVE-2021-43666 CVE-2021-44732 CVE-2022-46392

    已修正輕量型密碼編譯和 SSL/TLS 程式庫 mbedtls 中的多個弱點。

    CVE-2021-24119

        base64 PEM 檔案解碼中的旁路弱點允許系統層級 (系統管理員) 攻擊者透過對在隔離環境 (尤其是 Intel SGX) 中執行的軟體發動受控制通道和旁路攻擊取得秘密 RSA 金鑰的相關資訊。

    CVE-2021-36647

        在 Mbed TLS Mbed TLS 3.0.0、 2.27.0 或 2.16.11 之前的所有版本中lignum.c 的 mbedtls_mpi_exp_mod() 函式允許具有存取權的攻擊者存取足夠精確的定時和記憶體存取資訊 (通常是攻擊安全 enclave 例如 SGX 或TrustZone secureworld) 來復原 RSA 中使用的私密金鑰。

    CVE-2021-43666

        在 mbedtls_pkcs12_derivation 函式中為 0 的輸入密碼長度造成了拒絕服務。

    CVE-2021-44732

        mbedtls_ssl_set_session() 函式在某些記憶體不足的情況下執行了重複釋放。

    CVE-2022-46392

        若攻擊者使用 的視窗大小 (MBEDTLS_MPI_WINDOW_SIZE) 可存取足夠精確的記憶體存取相關資訊 (通常是攻擊安全 enclave 的未受信任作業系統) 可在觀察受害者執行單一私密金鑰作業後復原 RSA 私密金鑰。乘冪等於或小於 3。

    針對 Debian 11 Bullseye這些問題已在 2.16.9-0.1+deb11u1 版本中修正。

    建議您升級 mbedtls 套件。

    如需 mbedtls 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/mbedtls

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5954 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5954-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 6 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：sudo CVE ID：CVE-2025-32462

    Rich Mirch 發現，sudo (專門為特定使用者提供有限超級使用者權限的程式) 未正確處理主機 (-h 或 --host) 選項。由於存在錯誤，主機選項未受限於只列出權限，而且可在透過 sudo 執行命令或利用 sudoedit 編輯檔案時使用。視 sudoers 檔案中存在的規則而定，此缺陷可能會允許本機特權提升攻擊。

    針對穩定的發行版本 (bookworm)，已在 1.9.13p3-1+deb12u2 版本中修正此問題。

    建議您升級 sudo 套件。

    如需有關 sudo 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/sudo

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4234 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4234-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 6 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 catdoc 版本 1:0.95-4.1+deb11u1 CVE ID CVE-2024-48877 CVE-2024-52035 CVE-2024-54028 Debian 錯誤 1107168

    在 MS-Office 檔案的文字擷取程式 catdoc 中已修正多個弱點。

    CVE-2024-48877

        記憶體損毀

    CVE-2024-52035

        整數溢位

    CVE-2024-54028

        整數反向溢位

    針對 Debian 11bullseye這些問題已在版本 1:0.95-4.1+deb11u1 中修正。

    建議您升級 catdoc 套件。

    如需 catdoc 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/catdoc

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝了一個套件其受到 dsa-5953 公告中所提及的多個弱點影響。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5953-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 6 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 catdoc CVE ID CVE-2024-48877 CVE-2024-52035 CVE-2024-54028 Debian 錯誤 1107168

    在 MS-Office 檔案的文字擷取程式 catdoc 中發現數個弱點如果處理特製的檔案可能會導致拒絕服務或任意程式碼執行。

    針對穩定的發行版本 (bookwarm)這些問題已在 1:0.95-6~deb12u1 版本中修正。

    建議您升級 catdoc 套件。

    如需 catdoc 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/catdoc

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4233 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4233-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 6 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 nagvis 版本 1:1.9.25-2+deb11u2 CVE ID CVE-2024-38866 CVE-2024-47090 Debian 錯誤 1106686

    在適用於 Nagios 或 Icinga 的視覺化附加元件 nagvis 中發現多個弱點。

    CVE-2024-38866

        可以透過 dynmap 進行 livestatus 插入。

    CVE-2024-47090

        透過 WYSIWYG 編輯器存在潛在的 XSS。

    針對 Debian 11 Bullseye這些問題已在版本 1:1.9.25-2+deb11u2 中修正。

    建議您升級 nagvis 套件。

    如需 nagvis 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/nagvis

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-5952 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5952-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 6 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-6555 CVE-2025-6556 CVE-2025-6557

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookwarm)這些問題已在 138.0.7204.49-1~deb12u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5951 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5951-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 6 月 26 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：icu CVE ID：CVE-2025-5222

    在 International Components for Unicode (ICU) 程式庫中發現一個緩衝區溢位問題。

    針對穩定的發行版本 (bookworm)，已在 72.1-3+deb12u1 版本中修正此問題。

    建議您升級 icu 套件。

    如需有關 icu 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/icu

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4232 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4232-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 6 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 freeradius 版本 3.0.21+dfsg-2.2+deb11u2 CVE ID CVE-2022-41859 CVE-2022-41860 CVE-2022-41861

    在可高度設定的 RADIUS 伺服器 freeradius 中發現數個安全性弱點。


    CVE-2022-41859

         EAP-PWD 函式 compute_password_element() 會洩漏密碼相關資訊進而允許攻擊者大幅減小離線字典攻擊的大小。

    CVE-2022-41860

        當 EAP-SIM 要求者傳送未知的 SIM 選項時伺服器會嘗試在內部字典中查詢該選項。此查閱作業將失敗，但 SIM 程式碼將不會檢查該失敗情況。反而會解除參照 NULL 指標並造成伺服器當機。

    CVE-2022-41861

        惡意的 RADIUS 用戶端或主伺服器可傳送格式錯誤的 abinary 屬性進而造成伺服器當機。終端使用者不會惡意利用此當機問題。只有在 RADIUS 信任圈內的系統可以將這些格式錯誤的屬性傳送至伺服器。

    針對 Debian 11 Bullseye這些問題已在 3.0.21+dfsg-2.2+deb11u2 版本中修正。

    建議您升級 freeradius 套件。

    如需 freeradius 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/freeradius

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4231 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4231-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 6 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 firefox-esr 版本 128.12.0esr-1~deb11u1 CVE ID CVE-2025-6424 CVE-2025-6425 CVE-2025-6429 CVE-2025-6430

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對 Debian 11 Bullseye這些問題已在 128.12.0esr-1~deb11u1 版本中修正。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-5950 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5950-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 6 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2025-6424 CVE-2025-6425 CVE-2025-6429 CVE-2025-6430

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

    針對穩定的發行版本 (bookwarm)這些問題已在 128.12.0esr-1~deb12u1 版本中修正。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5949 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5949-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 6 月 26 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libxml2 CVE ID：CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-34459 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 CVE-2025-32414 CVE-2025-32415 Debian 錯誤：1051230 1053629 1063234 1071162 1094238 1098320 1098321 1098322 1102521 1103511

    簡介


    在 GNOME XML Parser 和 Toolkit Library 及其 Python 繫結中發現多個記憶體相關弱點，包括釋放後使用、超出邊界記憶體存取和 NULL 指標解除參照，可能會造成拒絕服務或其他非預期行為。

    針對穩定的發行版本 (bookworm)，已在 2.9.14+dfsg-1.3~deb12u2 版中修正這些問題。

    建議您升級 libxml2 套件。

    如需有關 libxml2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libxml2

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4229 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4229-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 6 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 commons-beanutils 版本 1.9.4-1+deb11u1 CVE ID CVE-2025-48734


    commons-beanutils (操控 Java bean 的公用程式) 有一個不當存取控制弱點。 1.9.2版中已新增一個特殊的 BeanIntrospector 類別。這可用來阻止攻擊者使用 Java 列舉物件宣告的類別內容來取得類別載入器的存取權。不過此防護預設並未啟用。PropertyUtilsBean (以及後續的 BeanUtilsBean) 現在預設為禁止宣告的類別層級內容存取。


    針對 Debian 11 Bullseye此問題已在 1.9.4-1+deb11u1 版本中修正。

    建議您升級 commons-beanutils 套件。

    如需 commons-beanutils 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/commons-beanutils

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4230 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4230-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 6 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 xorg-server 版本 2:1.20.11-1+deb11u16 CVE ID CVE-2025-49175 CVE-2025-49176 CVE-2025-49178 CVE-2025-49179 CVE-2025-49180

    Nils Emmerich 在 Xorg X 伺服器中發現數個弱點如果 X 伺服器以權限執行可能會導致權限提升。

    針對 Debian 11 Bullseye這些問題已在版本 2:1.20.11-1+deb11u16 中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-5948 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-5948-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 6 月 24 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件trafficserver CVE ID CVE-2024-53868 CVE-2025-31698 CVE-2025-49763

    在 Apache Traffic Server (一種反向和轉送 proxy 伺服器) 中發現數個弱點可導致拒絕服務、HTTP 要求走私或不正確處理 ACL。

    針對穩定的發行版本 (bookwarm)這些問題已在 9.2.5+ds-0+deb12u3 版本中修正。

    建議您升級 trafficserver 套件。

    如需有關 trafficserver 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/trafficserver

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4227 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4227-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 6 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 dcmtk 版本 3.6.5-1+deb11u4 CVE ID CVE-2022-2119 CVE-2022-2120 CVE-2024-47796 CVE-2025-2357 CVE-2025-25472 CVE-2025-25474 CVE-2025-25475 Debian 錯誤 1017743 1098373 1098374 1100724

    在 OFFIS DICOM 工具組 dcmtk 中修正了多個弱點。

    CVE-2022-2119/CVE-2022-2120

        發現多個路徑遊走問題可讓攻擊者將 DICOM 檔案寫入受控制名稱下的任意目錄。這可造成遠端程式碼執行。

    CVE-2024-47796

        nowindow 功能中存在一個不當陣列索引驗證弱點。
        特製的 DICOM 檔案可導致超出邊界寫入。

    CVE-2025-2357

        在 dcmjpls JPEG-LS 解碼器中發現一個問題。
        攻擊者可利用此弱點造成記憶體損毀。

    CVE-2025-25472

        發現一個緩衝區溢位其會透過特製的 DCM 檔案造成拒絕服務 (DoS)。


    CVE-2025-25474

        透過 dcmimgle/diinpxt.h 元件發現一個緩衝區溢位問題

    CVE-2025-25475

        在元件 /libsrc/dcrleccd.cc 中發現一個 NULL 指標解除參照

    針對 Debian 11 Bullseye這些問題已在 3.6.5-1+deb11u4 版本中修正。

    建議您升級 dcmtk 套件。

    如需有關 dcmtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dcmtk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
242935	Debian dsa-5967libapache2-mod-php8.2 - 安全性更新	medium
242900	Debian dla-4255audiofile-tools - 安全性更新	medium
242899	Debian dla-4254libapache2-mod-php7.4 - 安全性更新	medium
242884	Debian dla-4256libetpan-dev - 安全性更新	medium
242883	Debian dla-4257caca-utils - 安全性更新	high
242881	Debian dla-4251libxml2 - 安全性更新	low
242880	Debian dla-4252 : snapclient - 安全性更新	critical
242879	Debian dla-4253 : thunderbird - 安全性更新	critical
242878	Debian dsa-5966 : thunderbird - 安全性更新	critical
242674	Debian dla-4250：firefox-esr - 安全性更新	critical
242666	Debian dsa-5965：chromium - 安全性更新	high
242648	Debian dsa-5964：firefox-esr - 安全性更新	critical
242647	Debian dla-4249：mediawiki - 安全性更新	medium
242616	Debian dla-4248openjdk-11-dbg - 安全性更新	high
242493	Debian dla-4246libowasp-esapi-java - 安全性更新	medium
242492	Debian dla-4245libcommons-fileupload-java - 安全性更新	high
242491	Debian dla-4244 : libtomcat9-embed-java - 安全性更新	high
242475	Debian dla-4247djview - 安全性更新	high
242417	Debian dla-4243libbatik-java - 安全性更新	high
242412	Debian dla-4242libjs-anglejs - 安全性更新	medium
242238	Debian dsa-5963：chromium - 安全性更新	high
242186	Debian dsa-5962: gnutls-bin - 安全性更新	medium
242064	Debian dla-4241ffmpeg - 安全性更新	medium
242032	Debian dla-4240redis - 安全性更新	high
242006	Debian dla-4239：thunderbird - 安全性更新	critical
241668	Debian dla-4238sslh - 安全性更新	critical
241522	Debian dsa-5961libpam-slurm - 安全性更新	high
241492	Debian dsa-5960: djview - 安全性更新	high
241388	Debian dla-4237libmdc-dev - 安全性更新	medium
241386	Debian dsa-5959：thunderbird - 安全性更新	critical
241367	Debian dla-4235：sudo - 安全性更新	low
241348	Debian dsa-5958：jpeg-xl-doc - 安全性更新	medium
241337	Debian dsa-5957：mediawiki - 安全性更新	medium
241238	Debian dsa-5956jami - 安全性更新	high
241161	Debian dsa-5955chromium - 安全性更新	high
240979	Debian dla-4236libmbedcrypto3 - 安全性更新	critical
240958	Debian dsa-5954：libnss-sudo - 安全性更新	high
240923	Debian dla-4234catdoc - 安全性更新	high
240918	Debian dsa-5953catdoc - 安全性更新	high
240912	Debian dla-4233nagvis - 安全性更新	medium
240851	Debian dsa-5952chromium - 安全性更新	medium
240694	Debian dsa-5951：icu-devtools - 安全性更新	high
240656	Debian dla-4232freeradius - 安全性更新	high
240637	Debian dla-4231firefox-esr - 安全性更新	critical
240561	Debian dsa-5950firefox-esr - 安全性更新	critical
240559	Debian dsa-5949：libxml2 - 安全性更新	high
240532	Debian dla-4229libcommons-beanutils-java - 安全性更新	high
240531	Debian dla-4230xdmx - 安全性更新	medium
240505	Debian dsa-5948trafficserver - 安全性更新	high
240485	Debian dla-4227dcmtk - 安全性更新	low

偵測

Nessus 的 Debian Local Security Checks 系列

medium

medium

medium

medium

high

low

critical

critical

critical

critical

high

critical

medium

high

medium

high

high

high

high

medium

high

medium

medium

high

critical

critical

high

high

medium

critical

low

medium

medium

high

high

critical

high

high

high

medium

medium

high

high

critical

critical

high

high

medium

high

low