遠端 Debian 11 主機上安裝的多個套件受到 dla-4375 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4375-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：webkit2gtk 版本：2.50.1-1~deb11u1 CVE ID：CVE-2025-43272 CVE-2025-43342 CVE-2025-43343 CVE-2025-43356 CVE-2025-43368

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2025-43272

        Big Bear 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    CVE-2025-43342

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43343

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43356

        Jaydev Ahire 發現，網站可能在未經使用者同意的情況下存取感應器資訊。

    CVE-2025-43368

        Pawel Wylecial 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    此 WebKitGTK 更新在處理電子郵件附件時，會產生與舊版 Evolution 的相容性問題。因此，Evolution 的修正版本也已隨此 WebKitGTK 更新發布。

    針對 Debian 11 Bullseye，已在 2.50.1-1+deb11u1 版本中修正這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6060 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6060-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-13223 CVE-2025-13224

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。Google 發現現實中有利用 CVE-2025-13223 的情形。

    針對舊的穩定發行版本 (bookworm)，已在第 142.0.7444.175-1~deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 142.0.7444.175-1~deb13u1 版中修復這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4374 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4374-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 11 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 pdfminer 版本 20200726-1+deb11u1 CVE ID CVE-2025-64512 Debian 錯誤1120642

    據發現pdfminer (一種用於從 PDF 文件擷取資訊的工具) 中可能發生任意程式碼執行。惡意的 zipped pickle 檔案可能含有可在處理 PDF 時執行的程式碼。

    針對 Debian 11 Bullseye此問題已在版本 20200726-1+deb11u1 中修正。

    建議您升級 pdfminer 套件。

    如需 pdfminer 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/pdfminer

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4373 公告中所提及。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4373-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 17 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 libwebsockets 版本 4.0.20-2+deb11u1 CVE ID CVE-2025-11677 CVE-2025-11678 Debian 錯誤 1118746 1118747

    Libwebsockets (LWS) 是一種彈性、輕量型的純 C 程式庫可利用非封鎖事件迴圈輕鬆地以極小的佔用空間實作現代網路通訊協定。

    CVE-2025-11677

        在warmcat libwebsockets 的 lws_handshake_server 中WebSocket 伺服器實作的釋放後使用可能會允許攻擊者在特定組態中使用者提供處理 LWS_CALLBACK_HTTP_CONFIRM_UPGRADE 的回呼函式以造成拒絕服務。

    CVE-2025-11678

        在編譯期間啟用 LWS_WITH_SYS_ASYNC_DNS 旗標時libwebsockets 中的 lws_adns_parse_label 存在堆疊型緩衝區溢位當攻擊者能夠探查 DNS 要求以特製具有符合 ID 且標籤較長的回應時其允許 label_stack 溢位超過上限。

    針對 Debian 11 Bullseye這些問題已在 4.0.20-2+deb11u1 版本中修正。

    建議您升級 libwebsockets 套件。

    如需 libwebsockets 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libwebsockets

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4372 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4372-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 16 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:140.5.0esr-1~deb11u1 CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    據發現，Thunderbird 中的多個安全性問題可導致任意程式碼執行攻擊，或繞過同源原則。

    針對 Debian 11 Bullseye，已在 1:140.5.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6059 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6059-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對舊的穩定發行版本 (bookworm)，已在 1:140.5.0esr-1~deb12u1 版中修正這些問題。

    針對穩定的發行版本 (trixie)，已在 1:140.5.0esr-1~deb13u1 版中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6058 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6058-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：lasso CVE ID：CVE-2025-46404 CVE-2025-46705 CVE-2025-47151

    Keane O'Kelley 在 lasso (實作 Liberty Alliance 和 SAML 通訊協定的程式庫) 中發現數個弱點，這些弱點可能導致拒絕服務或任意程式碼執行。

    針對舊的穩定發行版本 (bookworm)，已在第 2.8.1-1+deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 2.8.2-9+deb13u1 版中修復這些問題。

    建議您升級 lasso 套件。

    如需有關 lasso 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/lasso

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4371 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4371-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jeremy Bcha 2025 年 11 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 gst-plugins-base1.0 版本 1.18.4-2+deb11u4 CVE ID CVE-2025-47806 CVE-2025-47807 CVE-2025-47808

    gst-plugins-base1.0 的 subparse 外掛程式中的多個弱點已修正。 GStreamer 是一種受歡迎的多媒體架構。

    CVE-2025-47806透過 subparse 外掛程式中的堆疊溢位修正 DoS

    CVE-2025-47807修正透過 subparse 外掛程式中的 null-deref 發生的 DoS

    CVE-2025-47808修正透過 subparse 外掛程式中的 null-deref 發生的 DoS

    針對 Debian 11 Bullseye這些問題已在 1.18.4-2+deb11u4 版本中修正。

    建議您升級 gst-plugins-base1.0 套件。

    如需有關 gst-plugins-base1.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/gst-plugins-base1.0

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個受到 dsa-6057 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6057-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件lxd CVE ID CVE-2025-64507

    據發現如果無權限的使用者可以透過 lxd-user 存取 LXD則係統容器和虛擬機器管理員 LXD 容易受到一個本機權限提升弱點影響。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 5.0.2-5+deb12u2 版本中修正。

    建議您升級 lxd 套件。

    如需 lxd 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/lxd

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6056 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6056-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 keystone CVE ID 尚未提供

    在 Keystone (OpenStack 身分識別服務) 的 ec2tokens 和 s3tokens API 中發現一個弱點如果未經驗證的用戶端可存取 /v3/ec2tokens 或 /v3/s3tokens 可導致授權繞過或權限提升。

    Swift 物件儲存服務也需要更新才能搭配更新版 Keystone 使用版本。因此建議在部署 Keystone 更新前先升級 Swift。

    針對舊的穩定發行版本 (bookwarm)此問題已在版本 2:22.0.2-0+deb12u1 中修正。

    針對穩定的發行版本 (trixie)此問題已在 2:27.0.0-3+deb13u1 版本中修正。

    建議您升級 keystone 套件。

    如需 keystone 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/keystone

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機上安裝的多個套件受到 dsa-6055 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6055-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 : chromium CVE ID : CVE-2025-13042

    據發現，Chromium 中存在安全性問題，此問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊穩定發行版本 (bookworm)，已在 142.0.7444.162-1~deb12u1 版本中修正此問題。

    針對穩定發行版本 (trixie)，已在 142.0.7444.162-1~deb13u1 版本中修正此問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4370 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4370-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 13 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: firefox-esr 版本: 140.5.0esr-1~deb11u1 CVE ID : CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼或繞過同源原則。

    針對 Debian 11 Bullseye，已在 140.5.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6054 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6054-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼或繞過同源原則。

    針對舊的穩定發行版本 (bookworm)，已在 140.5.0esr-1~deb12u1 版本中修正這些問題。

    針對穩定的發行版本 (trixie)，已在 140.5.0esr-1~deb13u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝一個受到 dsa-6052 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6052-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 rust-sudo-rs CVE ID 尚未提供

    在 sudo-rs (以 Rust 為基礎的 sudo (及 su) 實作) 中發現兩個安全性問題可在某些 targetpw/rootpw 組態中導致本機洩漏部分輸入的密碼或驗證繞過。

    針對穩定的發行版本 (trixie)此問題已在 0.2.5-5+deb13u1 版本中修正。

    建議您升級 rust-sudo-rs 套件。

    如需 rust-sudo-rs 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/rust-sudo-rs

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4368 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4368-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 11 月 11 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libarchive 版本：3.4.3-2+deb11u3 CVE ID：CVE-2025-5914 CVE-2025-5916 CVE-2025-5917 CVE-2025-5918 Debian 錯誤：1107621 1107623 1107624 1107626

    已在多重格式封存與壓縮程式庫 libarchive 中修正多個弱點。

    CVE-2025-5914

        在 libarchive 程式庫中 (archive_read_format_rar_seek_data() 函式的特有問題) 發現一個弱點。
        此缺陷涉及整數溢位，其最終可導致重複釋放情形。惡意利用重複釋放弱點可導致記憶體損毀，使得攻擊者能夠執行任意程式碼或造成拒絕服務情形。

    CVE-2025-5916

        此缺陷涉及整數溢位，在處理聲稱具有超過 INT64_MAX - 4 內容位元組的 Web 封存 (WARC) 檔案時，可能會觸發此缺陷。攻擊者可特製惡意的 WARC 封存來引發此溢位，進而可能在使用 libarchive 處理此類封存的應用程式中導致無法預測的程式行為、記憶體損毀或拒絕服務情形。

    CVE-2025-5917

        此缺陷與處理檔案名稱的前置詞和後置詞時發生「差一」計算錯誤有關。這可導致 1 位元組寫入溢位。雖然看似很小，但這類溢位可損毀相鄰的記憶體，導致無法預測的程式行為、當機，或在特定情況下，可作為構建區塊進行更複雜的刺探利用。

    CVE-2025-5918

        將檔案資料流透過管道傳送至 bsdtar 時可觸發此缺陷，進而可能允許在超出檔案結尾處進行讀取。
        此超出邊界讀取可導致非預期的後果，包括無法預測的程式行為、記憶體損毀或拒絕服務情況。

    針對 Debian 11 Bullseye，這些問題已在 3.4.3-2+deb11u3 版本中修正。

    建議您升級 libarchive 套件。

    如需有關 libarchive 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libarchive

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-6053 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6053-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 linux CVE ID CVE-2025-21861 CVE-2025-39929 CVE-2025-39931 CVE-2025-39934 CVE-2025-39937 CVE-2025-39938 CVE-2025-39942 CVE-2025-39943 CVE-2025-39944 CVE-2025-39945 CVE-2025-39946 CVE-2025-39949 CVE-2025-39951 CVE-2025-39953 CVE-2025-39955 CVE-2025-39957 CVE-2025-39964 CVE-2025-39967 CVE-2025-39968 CVE-2025-39969 CVE-2025-39970 CVE-2025-39971 CVE-2025-39972 CVE-2025-39973 CVE-2025-39977 CVE-2025-39978 CVE-2025-39980 CVE-2025-39982 CVE-2025-39985 CVE-2025-39986 CVE-2025-39987 CVE-2025-39988 CVE-2025-39993 CVE-2025-39994 CVE-2025-39995 CVE-2025-39996 CVE-2025-39998 CVE-2025-40001 CVE-2025-40006 CVE-2025-40008 CVE-2025-40010 CVE-2025-40011 CVE-2025-40013 CVE-2025-40018 CVE-2025-40019 CVE-2025-40020 CVE-2025-40021 CVE-2025-40022 CVE-2025-40026 CVE-2025-40027 CVE-2025-40029 CVE-2025-40030 CVE-2025-40032 CVE-2025-40035 CVE-2025-40036 CVE-2025-40040 CVE-2025-40042 CVE-2025-40043 CVE-2025-40044 CVE-2025-40048 CVE-2025-40049 CVE-2025-40051 CVE-2025-40053 CVE-2025-40055 CVE-2025-40056 CVE-2025-40060 CVE-2025-40062 CVE-2025-40068 CVE-2025-40070 CVE-2025-40078 CVE-2025-40080 CVE-2025-40081 CVE-2025-40084 CVE-2025-40085 CVE-2025-40087 CVE-2025-40088 CVE-2025-40092 CVE-2025-40093 CVE-2025-40094 CVE-2025-40095 CVE-2025-40096 CVE-2025-40099 CVE-2025-40100 CVE-2025-40103 CVE-2025-40104 CVE-2025-40105 CVE-2025-40106 CVE-2025-40107 CVE-2025-40109

    在 Linux 核心中發現數個弱點，這些弱點可能會導致特權提升、拒絕服務或資訊洩漏。

    針對舊的穩定發行版本 (bookworm)，已在第 6.1.158-1 版中修正這些問題。

    建議您升級 linux 套件。

    如需有關 linux 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/linux

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4369 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4369-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 squid 版本 4.13-10+deb11u6 CVE ID CVE-2025-59362 CVE-2025-62168 Debian 錯誤 1117048 1118341

    受歡迎的代理伺服器 Squid 受到多個弱點影響

    CVE-2025-59362

        Squid 未正確處理長 SNMP OID 的 ASN.1 編碼。這發生在 lib/snmplib/asn1.c 的 asn_build_objid 中。

    CVE-2025-62168

        在錯誤處理過程中未編輯 HTTP 驗證認證允許資訊洩漏。此弱點允許指令碼繞過瀏覽器安全性保護並得知受信任用戶端用於驗證的認證。
        這可能允許遠端用戶端使用 Squid 進行後端負載平衡識別 Web 應用程式內部使用的安全性 token 或認證。這些攻擊不要求 Squid 必須以 HTTP 驗證設定

    針對 Debian 11 Bullseye這些問題已在 4.13-10+deb11u6 版本中修正。

    建議您升級 squid 套件。

    如需有關 squid 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/squid

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝一個受到 dsa-6051 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6051-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 incus CVE ID CVE-2025-64507

    據發現Incus (一種系統容器和虛擬機器管理員) 容易受到一個本機權限提升弱點影響無權限的使用者可透過 incus-user 存取 Incus。

    針對穩定的發行版本 (trixie)此問題已在 6.0.4-2+deb13u2 版本中修正。

    建議您升級 incus 套件。

    如需 incus 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/incus

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到一個弱點影響的套件如 dla-4367 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4367-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 11 月 7 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 keystone 版本 2:18.1.0-1+deb11u2 CVE ID 尚未發布 Debian 錯誤 1120053

    在 OpenStack 使用的身分識別服務 keystone 中發現一個弱點。
    透過向 ec2tokens 和 s3tokens 端點傳送有效的 AWS 簽章未經驗證的攻擊者可能會取得 Keystone 授權進而導致未經授權的存取和權限提升。Swift 也需要修補才能與修正版 keystone 搭配使用。建議先更新 swift再更新 keystone。

    針對 Debian 11 Bullseye，此問題已在 2:18.1.0-1+deb11u2 版本中修正。

    建議您升級 keystone 套件。

    如需 keystone 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/keystone

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6050 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6050-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: chromium CVE ID : CVE-2025-12725 CVE-2025-12726 CVE-2025-12727 CVE-2025-12728 CVE-2025-12729

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 142.0.7444.134-1~deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 142.0.7444.134-1~deb13u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4366 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4366-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 11 月 7 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 swift 版本 2.26.0-10+deb11u2 CVE ID
    Debian 錯誤 1120057

    物件儲存服務 Swift 需要更新才能與 keystone 2:18.1.0-1+deb11u2 搭配使用其可修正 ec2tokens 和 s3tokens API 中的一個弱點。
    此版本與舊版 keystone 回溯相容但舊版 swift 套件將無法與更新版 keystone 搭配使用。
    因此建議先更新 swift然後再進行 keystone 更新。

    針對 Debian 11 Bullseye此問題已在 2.26.0-10+deb11u2 版本中修正。

    建議您升級 swift 套件。

    如需 swift 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/swift

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝一個受到 dsa-6049 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6049-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 4 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 gimp CVE ID CVE-2025-10934

    在 GIMP (GNU 影像操作程式) 中發現一個緩衝區溢位問題若開啟格式錯誤的 XWD 影像會導致拒絕服務或可能執行任意程式碼。

    針對舊的穩定發行版本 (bookwarm)此問題已在 2.10.34-1+deb12u5 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 3.0.4-3+deb13u2 版本中修正。

    建議您升級 gimp 套件。

    如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/gimp

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4364 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4364-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 11 月 4 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 bind9 版本 1:9.16.50-1~deb11u4 CVE ID CVE-2025-8677 CVE-2025-40778 CVE-2025-40780 Debian 錯誤

    簡介

    CVE-2025-8677

        透過格式錯誤的 DNSKEY 處理造成資源耗盡

    CVE-2025-40778

        具有來路不明 RR 的快取毒害攻擊

    CVE-2025-40780

        因弱式 PRNG 而導致的快取毒害

    針對 Debian 11 Bullseye這些問題已在版本 1:9.16.50-1~deb11u4 中修正。

    建議您升級 bind9 套件。

    如需有關 bind9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/bind9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4363 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4363-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 dcmtk 版本 3.6.5-1+deb11u5 CVE ID CVE-2020-36855 CVE-2022-4981 CVE-2025-9732 Debian 錯誤 1113993

    已在 DCMTK (針對醫療影像實作大部分 DICOM 標準的程式庫和應用程式) 中修正數個弱點。

    CVE-2025-9732

        以 YBR_FULL 的 Photometric Interpretation 和 Planar Configuration 1 處理無效的 DICOM 影像其中儲存的像素數與預期的像素數不符。
        這可能會導致記憶體損毀。

    CVE-2022-4981

        dcmqrscp 設定檔剖析器中的各種問題可在讀取格式錯誤的設定檔時因未充分檢查輸入資料而造成應用程式損毀。

    CVE-2020-36855

        dcmqrscp 組態剖析器中的堆疊型溢位。


    針對 Debian 11 Bullseye這些問題已在 3.6.5-1+deb11u5 版本中修正。

    建議您升級 dcmtk 套件。

    如需有關 dcmtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dcmtk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4361 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4361-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 geographylib 版本 1.51-1+deb11u1 CVE ID CVE-2025-60751

    Geographiclib 是用於解決測地線問題的 C++ 程式庫。GeoConvert 工具接收特製的輸入時會發生堆疊緩衝區溢位。發生溢位的原因是程式未正確驗證內部索引進而允許在堆疊上超出邊界寫入。攻擊者可惡意利用此弱點覆寫傳回位址使其指向 libc 函式藉此劫持程式的控制流程並執行任意程式碼。

    針對 Debian 11 Bullseye此問題已在 1.51-1+deb11u1 版本中修正。

    建議您升級 geolib 套件。

    如需 geolib 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/geographiclib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4362 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4362-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.10.22-4+deb11u4 CVE ID CVE-2025-10934 Debian 錯誤 1119661

    GIMP (GNU 影像操作程式) 在剖析 XWD 檔案時容易受到一個堆積型緩衝區溢位影響。此弱點允許遠端攻擊者在受影響的 GIMP 安裝上執行任意程式碼並要求目標造訪惡意頁面或開啟惡意檔案。

    針對 Debian 11 Bullseye此問題已在 2.10.22-4+deb11u4 版本中修正。

    建議您升級 gimp 套件。

    如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/gimp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4360 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4360-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 pure-ftpd 版本 1.0.49-4.1+deb11u1 CVE ID CVE-2021-40524 Debian 錯誤 993810

    據發現pure-ftpd (一種安全且有效的 FTP 伺服器) 未正確驗證配額機制中的最大檔案大小進而允許攻擊者上傳無限大小的檔案。這可能會導致拒絕服務或伺服器懸置。

    針對 Debian 11 Bullseye此問題已在 1.0.49-4.1+deb11u1 版本中修正。

    建議您升級 pure-ftpd 套件。

    如需 pure-ftpd 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/pure-ftpd

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機安裝了一個受到 dsa-6048 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6048-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ruby-rack CVE ID CVE-2025-61770 CVE-2025-61771 CVE-2025-61772 CVE-2025-61780 CVE-2025-61919

    在用於在 Ruby 中開發 Web 應用程式的介面 Rack 中發現多個安全性問題可導致拒絕服務或 proxy 繞過。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 2.2.20-0+deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 3.1.18-1~deb13u1 版本中修正。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4359 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4359-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 strongswan 版本 5.9.1-1+deb11u5 CVE ID CVE-2025-62291

    Xu Biang 在 strongSwan (IKE/IPsec 套件) 的 eap-mschapv2 外掛程式中發現一個緩衝區溢位錯誤。

    eap-mschapv2 外掛程式未正確檢查用戶端上 EAP-MSCHAPv2 失敗要求封包的長度這可造成整數反向溢位導致當機以及可能可遭惡意利用用於遠端程式碼執行的堆積型緩衝區溢位。

    針對 Debian 11 Bullseye此問題已在 5.9.1-1+deb11u5 版本中修正。

    建議您升級 strongswan 套件。

    如需 strongswan 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/strongswan

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4358 公告中所提及。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4358-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 2 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 wordpress 版本 5.7.14+dfsg1-0+deb11u1 CVE ID CVE-2024-6307 CVE-2024-31111 CVE-2025-58246 CVE-2025-58674 Debian 錯誤1074486 1117047

    在受歡迎的內容管理架構 Wordpress 中發現數個安全性弱點。

    CVE-2024-6307

        WordPress Core 容易遭受透過 HTML API 進行的已存跨網站指令碼攻擊這是因為 URL 上的輸入清理和輸出逸出不足所致。這可讓經驗證的攻擊者俱備貢獻者層級以上的存取權在頁面中插入任意 web 指令碼這些指令碼會在使用者存取插入的頁面時執行。

    CVE-2024-31111

        在產生 web 量具期間不當中和輸入 (XSS 或跨網站指令碼) 弱點 Automattic WordPress 允許儲存的 XSS。

    CVE-2025-58246

        WordPress 中的插入敏感資訊至已傳送資料弱點允許擷取內嵌的敏感資料。

    CVE-2025-58674

        WordPress 中的網頁產生期間不當中和輸入 (跨網站指令碼) 弱點允許儲存的 XSS。

    針對 Debian 11 Bullseye這些問題已在 5.7.14+dfsg1-0+deb11u1 版本中修正。

    建議您升級 wordpress 套件。

    如需有關 wordpress 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/wordpress

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4357 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4357-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 1 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ruby-rack 版本 2.1.4-3+deb11u4 CVE ID CVE-2025-32441 CVE-2025-46727 CVE-2025-59830 CVE-2025-61770 CVE-2025-61771 CVE-2025-61772 CVE-2025-61780 CVE-2025-61919 Debian 錯誤 1104927 1116431 1117855 1117856 1117627 1117628

    在模組化 Ruby webserver 介面 ruby-rack 中發現多個弱點如下

      - CVE-2025-32441Rack 工作階段可在刪除後還原。
      - CVE-2025-46727Rack::QueryParser 中的未系結參數剖析可導致記憶體耗盡。
      - CVE-2025-59830Rack::QueryParser 中的未系結參數剖析可透過分號分隔的參數導致記憶體耗盡。
      - CVE-2025-61770未系結多部分前置碼緩衝會啟用 DoS (記憶體耗盡)。
      - CVE-2025-61771Multipart 剖析器完全在記憶體中緩衝大型的 nonfile 欄位進而啟用 DoS (記憶體耗盡)。
      - CVE-2025-61772Multipart 剖析器會緩衝無限制的各部分標頭進而啟用 DoS (記憶體耗盡)。
      - CVE-2025-61919Rack::Request 表單剖析中的無限制讀取可能導致記憶體耗盡。
      - CVE-2025-61780不當處理 Rack::Sendfile 中的標頭可能會允許代理伺服器繞過。

    針對 Debian 11 Bullseye這些問題已在 2.1.4-3+deb11u4 版本中修正。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4356 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4356-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ublock-origin 版本 1.67.0+dfsg-1~deb11u1 Debian 錯誤 1108878

    Ublock-origin 是一種輕量且有效率的廣告、惡意程式碼和追踪器封鎖程式。
    新的上游版本可改善此熱門瀏覽器附加元件的使用者體驗和廣告/惡意程式碼篩選功能。此更新也可修正 [篩選清單] 頁面中導致無法正常轉譯的錯誤。

    針對 Debian 11 Bullseye此問題已在版本 1.67.0+dfsg-1~deb11u1 中修正。

    建議您升級 ublock-origin 套件。

    如需 ublock-origin 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/ublock-origin

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4354 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4354-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 10 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 pypy3 版本 7.3.5+dfsg-2+deb11u5 CVE ID CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-11168 CVE-2025-0938 CVE-2025-1795 CVE-2025-6069 CVE-2025-8291

    此上傳可修正 PyPy (Python 3 語言的替代實作) 隨附之 Python 標準程式庫中的一些安全性問題。

    CVE-2024-6232

        tarfile 模組用於剖析使用允許回溯的規則運算式剖析 tar 的標頭值其可用來透過特製的 tar 封存 (ReDoS) 造成拒絕服務。由於 tar 標頭採用的是眾所周知的格式不需要回溯即可可靠地剖析新的剖析方法僅需要位元組資料流的單次通過。

    CVE-2024-6923

        序列化電子郵件訊息時電子郵件模組未正確引用新行這可用來插入會影響電子郵件標頭解譯的新行。攻擊者可造成部分電子郵件標頭被完全略過或可能將惡意標頭隱藏在其他標頭中。

    CVE-2024-7592

        http.cookies 在剖析 cookie 值中含有引號字元的反斜線 cookie 時會使用具有二次方復雜度的演算法導致在剖析該值時會過度使用 CPU 資源。例如剖析一個 20000+ 位元組的 cookie 大約需要一秒 (ReDoS)。

    CVE-2024-11168 和 CVE-2025-0938

        urllib.parse.urlsplit 和 urlparse 函式未正確驗證包含方括弧的網域名稱進而允許非 IPv6 或 IPvFuture 的主機。

    CVE-2025-1795

        在電子郵件模組中地址清單折疊期間當分隔逗號結束於折疊行且該行將以 Unicode 編碼時分隔符號本身也會以 Unicode 編碼。預期的行為是分隔逗號保持為計劃逗號。這可導致某些郵件伺服器錯誤解譯位址標頭。

    CVE-2025-6069

        處理某些格式錯誤的特製輸入時html.parser.HTMLParser 類別具有最壞的二次方復雜度可能導致放大拒絕服務。

    CVE-2025-8291

        zipfile 模組不會檢查 ZIP64 中央目錄結尾 (EOCD) 的有效性。
        不會使用定位器記錄位移值來尋找 ZIP64 EOCD 記錄的位置而是假設 ZIP64 EOCD 記錄為 ZIP 封存中的先前記錄。這可能遭到濫用進而建立 zipfile 模組處理方式與其他 ZIP 實作不同的 ZIP 封存。修復會維持此行為，但會檢查 ZIP64 EOCD Locator 記錄中指定的位移是否符合預期值。

    針對 Debian 11 Bullseye這些問題已在 7.3.5+dfsg-2+deb11u5 版本中修正。

    我們建議您升級 pypy3 套件。

    如需有關 pypy3 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pypy3

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4355 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4355-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 mediawiki 版本 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    在 mediawiki (適用於共同作業的網站引擎) 中發現多個安全性弱點其可導致資訊洩漏、拒絕服務或權限提升。

    CVE-2025-11173

        OATHAuth 延伸模組啟用 2FA 的重新驗證可在 Special:OATHManage 中提交表單來繞過。

    CVE-2025-11261

        mw.language.listToText 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61635

        ConfirmEdit 延伸模組ApiFancyCaptchaReload 中缺少速率限制。

    CVE-2025-61638

        Parsoid「data-」屬性的驗證繞過。

    CVE-2025-61639

        對建立項目隱藏的記錄項目可能會洩漏給公開的最近變更項目。

    CVE-2025-61640

        Special:RecentChangesLinked 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61641

        miser 模式下QueryAllPages API 的 DDoS 弱點。現在在該模式下會忽略 `maxsize` 值。

    CVE-2025-61643

        隱藏的最近變更可能會洩漏給公開 RCFeed。

    CVE-2025-61646

        當個別編輯者在單一頁面上進行連續修訂時公開關注清單/RecentChanges 頁面可能洩漏隱藏的使用者名稱而只有部分被標記為隱藏使用者名稱。

    CVE-2025-61653

        TextExtracts 延伸模組因為缺少讀取權限檢查導致擷取 API 動作端點中的資訊洩漏弱點。

    CVE-2025-61655

        VisualEditor 延伸模組「lastModifiedAt」系統訊息中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61656

        VisualEditor 延伸模組從 `data-ve-attributes` 解開包裝的屬性缺少屬性驗證。

    針對 Debian 11 Bullseye這些問題已在版本 1:1.35.13-1+deb11u5 中修正。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6046 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6046-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 10 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-12036 CVE-2025-12428 CVE-2025-12429 CVE-2025-12430 CVE-2025-12431 CVE-2025-12432 CVE-2025-12433 CVE-2025-12434 CVE-2025-12435 CVE-2025-12436 CVE-2025-12437 CVE-2025-12438 CVE-2025-12439 CVE-2025-12440 CVE-2025-12441 CVE-2025-12443 CVE-2025-12444 CVE-2025-12445 CVE-2025-12446 CVE-2025-12447

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 142.0.7444.59-1~deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 142.0.7444.59-1~deb13u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6047 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6047-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：squid CVE ID：CVE-2025-62168

    Leonardo Giovanni 發現在 Squid 代理伺服器快取伺服器中缺少驗證資料編輯可導致資訊洩漏。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 5.7-2+deb12u4 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 6.13-2+deb13u1 版本中修正。

    建議您升級 squid 套件。

    如需有關 squid 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/squid

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件其受到 dsa-6045 公告中所提及的多個弱點影響。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6045-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件:pdns-recursor CVE ID : CVE-2025-59023 CVE-2025-59024

    在 PDNS Recursor (一種解析名稱伺服器) 中發現兩個弱點 委派資訊未經充分驗證可導致快取污染。

    這些變更侵入性過強而無法反向移植至舊的穩定發行版本 (bookwarm) 中的 PDNS 遞回子版本。針對受影響的設定建議更新至 Debian stable/trixie。不會再發出 Bookwarm 中 pdns-recursor 的進一步安全性更新。

    針對穩定的發行版本 (trixie)這些問題已在 5.2.6-0+deb13u1 版本中修正。

    建議您升級 pdns-recursor 套件。

    如需有關 pdns-recursor 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pdns-recursor

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4353 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4353-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 10 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 xorg-server 版本 2:1.20.4-1+deb10u18 CVE ID CVE-2025-62229 CVE-2025-62230 CVE-2025-62231


    Jan-Niklas Sohn 發現，X.org X 伺服器包含若干弱點，如果以特權模式執行 X 伺服器，則這些弱點可能導致特權提升攻擊。


    針對 Debian 11 Bullseye這些問題已在版本 2:1.20.4-1+deb10u18 中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6044 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6044-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 10 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 xorg-server CVE ID CVE-2025-62229 CVE-2025-62230 CVE-2025-62231

    Jan-Niklas Sohn 發現，X.org X 伺服器包含若干弱點，如果以特權模式執行 X 伺服器，則這些弱點可能導致特權提升攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在版本 2:21.1.7-3+deb12u11 中修正。

    針對穩定的發行版本 (trixie)這些問題已在 2:21.1.16-1.3+deb13u1 版本中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4352 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4352-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706


    在適用於 OAuth 和 OpenID Connect 伺服器的 Python 程式庫 python-authlib 中發現多個弱點。

    CVE-2024-37568

        除非在 jwt.decode 呼叫中指定演算法否則允許使用任何非對稱公開金鑰進行 HMAC 驗證。

    CVE-2025-59420

        Authlibs JWS 驗證接受宣告未知重大標頭參數 (crit) 的 token從而違反 RFC 7515 mustunderstand 語意。
        攻擊者可特製具有嚴格驗證器拒絕但 Authlib 接受之重要標頭的已簽署 token。在混合語言隊組中這會啟用 splitbrain 驗證且可導致原則繞過、重播或權限提升。

    CVE-2025-61920

        Authlibs JOSE 實作接受無限制的 JWS/JWT 標頭和簽章區段這可能會在驗證期間導致 DoS。

    CVE-2025-62706

        Authlibs JWE zip=DEF 路徑執行無限制的 DEFLATE 解壓縮進而導致 DoS。


    針對 Debian 11 Bullseye這些問題已在 0.15.4-1+deb11u1 版本中修正。

    建議您升級 python-authlib 套件。

    如需 python-authlib 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/python-authlib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4348 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4348-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 20.3.4-4+deb11u2 CVE ID CVE-2023-5752 CVE-2025-8869 Debian 錯誤 1116336

    在 Python 套件安裝程式 python-pip 中發現多個弱點。

    CVE-2023-5752

       從 Mercurial VCS URL 安裝套件時任意組態選項可插入 hg clone 呼叫。

    CVE-2025-8869

       Pip 的 tar 解壓縮未檢查符號連結是否指向解壓縮目錄。

    針對 Debian 11 Bullseye這些問題已在 20.3.4-4+deb11u2 版本中修正。

    建議您升級 python-pip 套件。

    如需有關 python-pip 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-pip

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-6043 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6043-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 gimp CVE ID CVE-2025-2760 CVE-2025-6035 CVE-2025-10922

    在 GNU 影像操作程式 GIMP 中發現數個弱點如果開啟格式錯誤的 DICOM 或 DDS 影像會導致拒絕服務或可能執行任意程式碼。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 2.10.34-1+deb12u4 版本中修正。

    建議您升級 gimp 套件。

    如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/gimp

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6042 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6042-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2025 年 10 月 28 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：webkit2gtk CVE ID：CVE-2025-43272 CVE-2025-43342 CVE-2025-43343 CVE-2025-43356 CVE-2025-43368

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2025-43272

        Big Bear 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    CVE-2025-43342

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43343

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43356

        Jaydev Ahire 發現，網站可能在未經使用者同意的情況下存取感應器資訊。

    CVE-2025-43368

        Pawel Wylecial 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    此 WebKitGTK 更新在處理電子郵件附件時，會產生與舊版 Evolution 的相容性問題。因此，Evolution 的修正版本也已隨此 WebKitGTK 更新發布。

    針對舊的穩定發行版本 (bookworm)，已在第 2.50.1-1~deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 2.50.1-1~deb13u1 版中修復這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6041 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6041-1 security@debian.org https://www.debian.org/security/Yves-Alexis Perez 2025 年 10 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 strongswan CVE ID CVE-2025-62291

    Xu Biang 在 strongSwan (IKE/IPsec 套件) 的 eap-mschapv2 外掛程式中發現一個緩衝區溢位錯誤。

    eap-mschapv2 外掛程式未正確檢查用戶端上 EAP-MSCHAPv2 失敗要求封包的長度這可造成會導致當機的整數反向溢位以及可能可能遭到惡意利用的堆積型緩衝區溢位用於遠端程式碼執行。

    針對舊的穩定發行版本 (bookwarm)此問題已在 5.9.8-5+deb12u2 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 6.0.1-6+deb13u2 版本中修正。

    建議您升級 strongswan 套件。

    如需 strongswan 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/strongswan

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4351 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4351-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 10 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:140.4.0esr-1~deb11u1 CVE ID：CVE-2025-11708 CVE-2025-11709 CVE-2025-11710 CVE-2025-11711 CVE-2025-11712 CVE-2025-11714 CVE-2025-11715

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對 Debian 11 Bullseye，已在 1:140.4.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝受到多個弱點影響的套件如 dsa-6039 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6039-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 openjdk-25 CVE ID CVE-2025-53057 CVE-2025-53066 CVE-2025-61748

    在 OpenJDK Java Runtime 中發現數個弱點可能會導致不正確的字串相等檢查、XML XXE/XEE 攻擊或不正確的憑證驗證。

    針對穩定的發行版本 (trixie)這些問題已在 25.0.1+8-1~deb13u1 版中修正。

    建議您升級 openjdk-25 套件。

    如需 openjdk-25 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/openjdk-25

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4350 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4350-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Paride Legovini 2025 年 10 月 26 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：tika 版本：1.22-2+deb11u1 CVE ID：CVE-2025-54988

    已修正 tika 套件中的一個弱點，該弱點可散佈 Apache Tika 內容分析工具組。此弱點會影響 tika-parser-pdf-module 元件，並允許攻擊者透過 PDF 內的特製 XFA 檔案執行 XML 外部實體插入。攻擊者或許能夠讀取敏感資料，或觸發對內部資源或第三方伺服器的惡意要求。

    針對 Debian 11 Bullseye，此問題已在 1.22-2+deb11u1 版本中修正。

    我們建議您升級 tika 套件。

    如需有關 tika 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tika

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6040 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6040-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-11708 CVE-2025-11709 CVE-2025-11710 CVE-2025-11711 CVE-2025-11712 CVE-2025-11714 CVE-2025-11715

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對舊的穩定發行版本 (bookworm)，已在 1:140.4.0esr-1~deb12u1 版中修正這些問題。

    針對穩定的發行版本 (trixie)，已在 1:140.4.0esr-1~deb13u1 版中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4349 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4349-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 10 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 request-tracker4 版本 4.4.4+dfsg-2+deb11u5 CVE ID CVE-2025-61873


    據發現要求追踪器 (可延伸的故障票證追踪系統) 容易透過含有特殊字元的票證值 (從搜尋結果匯出至 TSV) 受到 CSV 插入的影響。


    針對 Debian 11 Bullseye此問題已在版本 4.4.4+dfsg-2+deb11u5 中修正。

    建議您升級 request-tracker4 套件。

    如需 request-tracker4 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/request-tracker4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4347 公告中提及的多個弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4347-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 10 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 intel-microcode 版本 3.20250812.1~deb11u1 CVE ID CVE-2025-20053 CVE-2025-20109 CVE-2025-21090 CVE-2025-22839 CVE-2025-22840 CVE-2025-22889 CVE-2025-24305 CVE-2025-26403 CVE-2025-32086 Debian 錯誤 1110983 1112168

    此更新隨附適用於某些 Intel CPU 類型的更新 CPU 微碼並針對可導致權限提升或拒絕服務的安全性弱點提供緩解方法。

    針對 Debian 11 bullseye，已在 3.20250812.1~deb11u1 版本中修正這些問題。

    建議您升級 intel-microcode 套件。

    如需有關 intel-microcode 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/intel-microcode

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
275886	Debian dla-4375：gir1.2-javascriptcoregtk-4.0 - 安全性更新	critical
275795	Debian dsa-6060：chromium - 安全性更新	high
275733	Debian dla-4374pdfminer-data - 安全性更新	high
275575	Debian dla-4373libwebsockets-dev - 安全性更新	high
275516	Debian dla-4372：thunderbird - 安全性更新	high
275515	Debian dsa-6059：thunderbird - 安全性更新	high
275497	Debian dsa-6058：liblasso-perl - 安全性更新	critical
275477	Debian dla-4371gir1.2-gst-plugins-base-1.0 安全性更新	medium
275377	Debian dsa-6057lxd - 安全性更新	high
275376	Debian dsa-6056keystone - 安全性更新	high
275305	Debian dsa-6055 : chromium - 安全性更新	high
275304	Debian dla-4370 : firefox-esr - 安全性更新	high
275246	Debian dsa-6054 : firefox-esr - 安全性更新	high
274818	Debian dsa-6052librust-sudo-rs-dev - 安全性更新	high
274817	Debian dla-4368：libarchive-dev - 安全性更新	critical
274816	Debian dsa-6053affs-modules-6.1.0-37-4kc-malta-di - 安全性更新	medium
274815	Debian dla-4369squid - 安全性更新	high
274638	Debian dsa-6051 golang-github-lxc-incus-dev - 安全性更新	high
274521	Debian dla-4367keystone - 安全性更新	high
274514	Debian dsa-6050chromium - 安全性更新	critical
274438	Debian dla-4366python3-swift - 安全性更新	high
272283	Debian dsa-6049gimp - 安全性更新	high
272278	Debian dla-4364bind9 - 安全性更新	high
272232	Debian dla-4363dcmtk - 安全性更新	medium
272231	Debian dla-4361geographiclib-doc - 安全性更新	high
272226	Debian dla-4362gimp - 安全性更新	high
272225	Debian dla-4360pure-ftpd - 安全性更新	high
272224	Debian dsa-6048ruby-rack - 安全性更新	medium
272195	Debian dla-4359charon-cmd - 安全性更新	high
272194	Debian dla-4358wordpress - 安全性更新	medium
272174	Debian dla-4357ruby-rack - 安全性更新	medium
272123	Debian dla-4356ublock-origin-doc - 安全性更新	high
272097	Debian dla-4354pypy3 - 安全性更新	medium
272096	Debian dla-4355mediawiki - 安全性更新	medium
272077	Debian dsa-6046chromium - 安全性更新	high
272076	Debian dsa-6047squid - 安全性更新	high
271978	Debian dsa-6045pdns-recursor - 安全性更新	critical
271977	Debian dla-4353xdmx - 安全性更新	high
271955	Debian dsa-6044xnest - 安全性更新	high
271941	Debian dla-4352python-authlib-doc - 安全性更新	high
271934	Debian dla-4348python-pip-whl - 安全性更新	medium
271933	Debian dsa-6043gimp - 安全性更新	high
271852	Debian dsa-6042：gir1.2-javascriptcoregtk-4.0 - 安全性更新	critical
271730	Debian dsa-6041charon-cmd - 安全性更新	critical
271706	Debian dla-4351：thunderbird - 安全性更新	critical
271506	Debian dsa-6039openjdk-25-dbg - 安全性更新	high
271505	Debian dla-4350：libtika-java - 安全性更新	critical
271504	Debian dsa-6040：thunderbird - 安全性更新	critical
271494	Debian dla-4349request-tracker4 - 安全性更新	critical
271445	Debian dla-4347intel-microcode - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

critical

high

high

high

high

high

critical

medium

high

high

high

high

high

high

critical

medium

high

high

high

critical

high

high

high

medium

high

high

high

medium

high

medium

medium

high

medium

medium

high

high

critical

high

high

high

medium

high

critical

critical

critical

high

critical

critical

critical

high