遠端 Debian 11 主機已安裝一個受到 dla-4382 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4382-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 11 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 libsdl2 版本 2.0.14+dfsg2-3+deb11u2 CVE ID CVE-2022-4743


    在 Simple DirectMedia Layer 程式庫 SDL2 中發現一個安全性弱點。此問題與記憶體洩漏有關可能會導致拒絕服務。



    針對 Debian 11 Bullseye此問題已在版本 2.0.14+dfsg2-3+deb11u2 中修正。

    我們建議您升級 libsdl2 套件。

    如需有關 libsdl2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libsdl2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機安裝了一個套件其受到 dsa-6061 公告中所提及的一個弱點影響。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6061-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 tryton-sao CVE ID 尚未提供

    Abdulfatah Abdillahi 在 Tryton 應用程式平台的 Web 用戶端中發現一個跨網站指令碼弱點。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 6.0.28+ds1-2+deb12u2 版中修正。

    針對穩定的發行版本 (trixie)此問題已在 7.0.28+ds1-1+deb13u2 版中修正。

    建議您升級 tryton-sao 套件。

    如需 tryton-sao 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/tryton-sao

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4380 公告中所提及。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4380-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 11 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 cups-filters 版本 1.28.7-1+deb11u4 CVE ID CVE-2025-57812 CVE-2025-64503 CVE-2025-64524


    在 cups-filters 中發現數個問題其可提供額外 CUPS 篩選器且不屬於 CUPS 專案的一部分。
    所有問題都與超出邊界讀取或寫入或堆積緩衝區溢位有關。



    針對 Debian 11 Bullseye這些問題已在 1.28.7-1+deb11u4 版本中修正。

    建議您升級 cups-filters 套件。

    如需有關 cups-filters 安全性狀態的詳細資訊，請參閱相關安全追蹤工具頁面：
    https://security-tracker.debian.org/tracker/cups-filters

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4381 公告中所提及。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4381-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 11 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 net-snmp 版本 5.9+dfsg-4+deb11u2 CVE ID CVE-2022-44792 CVE-2022-44793


    menglong2234 在 net-snmp (一種簡易網路管理通訊協定應用程式套件) 中發現 NULL 指標例外狀況這可導致拒絕服務。

    CVE-2022-44792

        遠端攻擊者 (具有寫入存取權) 可在透過特製的 UDP 封包處理 ipDefaultTTL 時，觸發 NULL 解除參照。

    CVE-2022-44793

        遠端攻擊者 (具有寫入存取權) 可透過特製的 UDP 封包在處理 ipv6IpForwarding 時觸發 NULL 解除參照。


    針對 Debian 11 Bullseye這些問題已在 5.9+dfsg-4+deb11u2 版本中修正。

    建議您升級 net-snmp 套件。

    如需有關 net-snmp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/net-snmp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6062 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6062-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件pdfminer CVE ID CVE-2025-64512 Debian 錯誤1120642

    在用於擷取 PDF 文件資訊的工具 pdfminer 中發現一個弱點如果處理特製的 PDF 檔案可能會導致執行任意程式碼。

    針對舊的穩定發行版本 (bookwarm)此問題已在版本 20221105+dfsg-1.1~deb12u1 中修正。

    針對穩定的發行版本 (trixie)此問題已在 20221105+dfsg-1.1~deb13u1 版本中修正。

    建議您升級 pdfminer 套件。

    如需 pdfminer 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/pdfminer

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4383 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4383-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 11 月 25 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 rails 版本 2:6.0.3.7+dfsg-2+deb11u3 CVE ID CVE-2022-44566 CVE-2023-28362 CVE-2023-38037 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133 Debian 錯誤 1030050 1051057 1051058 1085376 1089755

    受歡迎的伺服器端應用程式架構 rails 受到多個弱點影響。

    CVE-2022-44566

        假設有一個 64 位元帶正負號整數類型範圍之外的值PostgreSQL 會將欄類型視為數值。比較整數值和數值會導致緩慢的循序掃描。
        此行為可透過預設為 true 的 ActiveRecord::Base.raise_int_wider_than_64bit 進行設定。

    CVE-2023-28362

        Rails 中的 redirect_to 方法允許所提供的值包含在 HTTP 標頭值中非法的字元。這會導致對 HTTP 回應標頭強制執行 RFC 合規性的下游服務移除指派的 Location 標頭。

    CVE-2023-38037

        ActiveSupport::EncryptedFile 會將要加密的內容寫入暫存檔。暫存檔的權限預設為使用者目前的「umask」設定這表示相同系統上的其他使用者可讀取暫存檔的內容。具有檔案系統存取權的攻擊者可能在使用者進行編輯時讀取此暫存檔的內容

    CVE-2024-41128

        Action Pack 是用於處理及回應 Web 要求的架構。Action Dispatch 的查詢參數篩選常式中有一個潛在的 ReDoS 弱點。
        特製的查詢參數可造成查詢參數篩選花費未預期的時間進而可能導致 DoS 弱點。

    CVE-2024-47887

        Action Pack 是用於處理及回應 Web 要求的架構。Action Controller 的 HTTP Token 驗證中可能有 ReDoS 弱點。
        針對使用透過 `authenticate_or_request_with_http_token` 或類似項目使用 HTTP Token 驗證的應用程式特製的標頭可能會造成標頭剖析佔用未預期的時間進而可能導致 DoS 弱點

    CVE-2024-47888

        Action Text 將 RTF 內容和編輯功能引入 Rails。
        Action Text 的 `plain_text_for_blockquote_node 協助程式` 中有可能的 ReDoS 弱點。
        特製的文字可造成 `plain_text_for_blockquote_node` 協助程式佔用未預期的時間進而可能導致 DoS 弱點。

    CVE-2024-47889

        Action Mailer 是用於設計電子郵件服務層級的架構。
        Action Mailer 的 block_format 協助程式中可能有 ReDoS 弱點。特製的文字可造成 block_format 協助程式佔用未預期的時間，進而可能導致 DoS 弱點。

    CVE-2024-54133

        Action Pack 是用於處理及回應 Web 要求的架構。`content_security_policy` 協助程式可能存在跨網站指令碼 (XSS) 弱點。
        從不受信任的使用者輸入動態設定 Content-Security-Policy (CSP) 標頭的應用程式可能容易受到特製輸入的影響進而能夠將新的指示詞插入 CSP 中。
        這可導致繞過 CSP 及其對 XSS 和其他攻擊的防護功能

    針對 Debian 11 Bullseye這些問題已在版本 2:6.0.3.7+dfsg-2+deb11u3 中修正。

    建議您升級 rails 套件。

    如需有關 rails 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/rails

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4379 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4379-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2025 年 11 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：linux-6.1 版本：6.1.158-1~deb11u1 CVE ID：CVE-2025-21861 CVE-2025-39929 CVE-2025-39931 CVE-2025-39934 CVE-2025-39937 CVE-2025-39938 CVE-2025-39942 CVE-2025-39943 CVE-2025-39944 CVE-2025-39945 CVE-2025-39946 CVE-2025-39949 CVE-2025-39951 CVE-2025-39953 CVE-2025-39955 CVE-2025-39957 CVE-2025-39964 CVE-2025-39967 CVE-2025-39968 CVE-2025-39969 CVE-2025-39970 CVE-2025-39971 CVE-2025-39972 CVE-2025-39973 CVE-2025-39977 CVE-2025-39978 CVE-2025-39980 CVE-2025-39982 CVE-2025-39985 CVE-2025-39986 CVE-2025-39987 CVE-2025-39988 CVE-2025-39993 CVE-2025-39994 CVE-2025-39995 CVE-2025-39996 CVE-2025-39998 CVE-2025-40001 CVE-2025-40006 CVE-2025-40008 CVE-2025-40010 CVE-2025-40011 CVE-2025-40013 CVE-2025-40018 CVE-2025-40019 CVE-2025-40020 CVE-2025-40021 CVE-2025-40022 CVE-2025-40026 CVE-2025-40027 CVE-2025-40029 CVE-2025-40030 CVE-2025-40032 CVE-2025-40035 CVE-2025-40036 CVE-2025-40040 CVE-2025-40042 CVE-2025-40043 CVE-2025-40044 CVE-2025-40048 CVE-2025-40049 CVE-2025-40051 CVE-2025-40053 CVE-2025-40055 CVE-2025-40056 CVE-2025-40060 CVE-2025-40062 CVE-2025-40068 CVE-2025-40070 CVE-2025-40078 CVE-2025-40080 CVE-2025-40081 CVE-2025-40084 CVE-2025-40085 CVE-2025-40087 CVE-2025-40088 CVE-2025-40092 CVE-2025-40093 CVE-2025-40094 CVE-2025-40095 CVE-2025-40096 CVE-2025-40099 CVE-2025-40100 CVE-2025-40103 CVE-2025-40104 CVE-2025-40105 CVE-2025-40106 CVE-2025-40107 CVE-2025-40109 CVE-2025-40111 CVE-2025-40112 CVE-2025-40115 CVE-2025-40116 CVE-2025-40118 CVE-2025-40120 CVE-2025-40121 CVE-2025-40123 CVE-2025-40124 CVE-2025-40125 CVE-2025-40126 CVE-2025-40127 CVE-2025-40134 CVE-2025-40140 CVE-2025-40141 CVE-2025-40153 CVE-2025-40154 CVE-2025-40156 CVE-2025-40167 CVE-2025-40171 CVE-2025-40173 CVE-2025-40176 CVE-2025-40178 CVE-2025-40179 CVE-2025-40183 CVE-2025-40186 CVE-2025-40187 CVE-2025-40188 CVE-2025-40190 CVE-2025-40193 CVE-2025-40194 CVE-2025-40197 CVE-2025-40198 CVE-2025-40200 CVE-2025-40201 CVE-2025-40202 CVE-2025-40204 CVE-2025-40205 CVE-2025-40207

    在 Linux 核心中發現數個弱點，這些弱點可能會導致特權提升、拒絕服務或資訊洩漏。

    針對 Debian 11 Bullseye這些問題已在 6.1.158-1~deb11u1 版本中修正。此版本還包含來自穩定更新的許多錯誤修正 6.1.154-6.1.158。

    建議您升級 linux-6.1 套件。

    如需有關 linux-6.1 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/linux-6.1

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4378 公告中提及的弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4378-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 11 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 r-cran-gh 版本 1.2.0-1+deb11u1 CVE ID CVE-2025-54956 Debian 錯誤 1110481

    在存取「GitHub」「API」的 GNU R Minimal 用戶端 r-cran-gh 中發現一個弱點。

    CVE-2025-54956

       HTTP 回應在包含來自對應 HTTP 要求的授權標頭的資料結構中傳送。

    針對 Debian 11 Bullseye此問題已在 1.2.0-1+deb11u1 版本中修正。

    建議您升級 r-cran-gh 套件。

    如需 r-cran-gh 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/r-cran-gh

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4376 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4376-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Srickerhof 2025 年 11 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 erlang 版本 1:23.2.6+dfsg-1+deb11u3 CVE ID CVE-2025-4748 CVE-2025-48038 CVE-2025-48039 CVE-2025-48041 Debian 錯誤

    在並行、即時、分散式函式語言 Erlang 中修正多個弱點。

    CVE-2025-4748

        Erlang OTP (stdlib 模組) 中受限制目錄的路徑名稱不當限制 (「路徑遊走」) 弱點允許絕對路徑遊走、檔案操作。除非傳遞記憶體選項，否則此弱點與程式檔案 lib/stdlib/src/zip.erl 和程式常式 zip:unzip/1、zip:unzip/2、zip:extract/1、zip:extract/2 相關。

    CVE-2025-48038, CVE-2025-48039, CVE-2025-48041

        Erlang OTP ssh (ssh_sftp 模組) 中沒有限製或節流的資源配置弱點會導致過度配置、資源洩漏曝險、溢流。這些弱點與程式檔案 lib/ssh/src/ssh_sftpd.erl 相關。

    針對 Debian 11 Bullseye這些問題已在版本 1:23.2.6+dfsg-1+deb11u3 中修正。

    建議您升級 erlang 套件。

    如需 erlang 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/erlang

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4375 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4375-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：webkit2gtk 版本：2.50.1-1~deb11u1 CVE ID：CVE-2025-43272 CVE-2025-43342 CVE-2025-43343 CVE-2025-43356 CVE-2025-43368

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2025-43272

        Big Bear 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    CVE-2025-43342

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43343

        匿名研究人員發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2025-43356

        Jaydev Ahire 發現，網站可能在未經使用者同意的情況下存取感應器資訊。

    CVE-2025-43368

        Pawel Wylecial 發現，處理惡意特製的 Web 內容可能導致意外損毀。

    此 WebKitGTK 更新在處理電子郵件附件時，會產生與舊版 Evolution 的相容性問題。因此，Evolution 的修正版本也已隨此 WebKitGTK 更新發布。

    針對 Debian 11 Bullseye，已在 2.50.1-1+deb11u1 版本中修正這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6060 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6060-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-13223 CVE-2025-13224

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。Google 發現現實中有利用 CVE-2025-13223 的情形。

    針對舊的穩定發行版本 (bookworm)，已在第 142.0.7444.175-1~deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 142.0.7444.175-1~deb13u1 版中修復這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4374 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4374-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 11 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 pdfminer 版本 20200726-1+deb11u1 CVE ID CVE-2025-64512 Debian 錯誤1120642

    據發現pdfminer (一種用於從 PDF 文件擷取資訊的工具) 中可能發生任意程式碼執行。惡意的 zipped pickle 檔案可能含有可在處理 PDF 時執行的程式碼。

    針對 Debian 11 Bullseye此問題已在版本 20200726-1+deb11u1 中修正。

    建議您升級 pdfminer 套件。

    如需 pdfminer 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/pdfminer

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4373 公告中所提及。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4373-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 17 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 libwebsockets 版本 4.0.20-2+deb11u1 CVE ID CVE-2025-11677 CVE-2025-11678 Debian 錯誤 1118746 1118747

    Libwebsockets (LWS) 是一種彈性、輕量型的純 C 程式庫可利用非封鎖事件迴圈輕鬆地以極小的佔用空間實作現代網路通訊協定。

    CVE-2025-11677

        在warmcat libwebsockets 的 lws_handshake_server 中WebSocket 伺服器實作的釋放後使用可能會允許攻擊者在特定組態中使用者提供處理 LWS_CALLBACK_HTTP_CONFIRM_UPGRADE 的回呼函式以造成拒絕服務。

    CVE-2025-11678

        在編譯期間啟用 LWS_WITH_SYS_ASYNC_DNS 旗標時libwebsockets 中的 lws_adns_parse_label 存在堆疊型緩衝區溢位當攻擊者能夠探查 DNS 要求以特製具有符合 ID 且標籤較長的回應時其允許 label_stack 溢位超過上限。

    針對 Debian 11 Bullseye這些問題已在 4.0.20-2+deb11u1 版本中修正。

    建議您升級 libwebsockets 套件。

    如需 libwebsockets 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libwebsockets

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4372 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4372-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 16 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:140.5.0esr-1~deb11u1 CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    據發現，Thunderbird 中的多個安全性問題可導致任意程式碼執行攻擊，或繞過同源原則。

    針對 Debian 11 Bullseye，已在 1:140.5.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6059 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6059-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對舊的穩定發行版本 (bookworm)，已在 1:140.5.0esr-1~deb12u1 版中修正這些問題。

    針對穩定的發行版本 (trixie)，已在 1:140.5.0esr-1~deb13u1 版中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6058 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6058-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：lasso CVE ID：CVE-2025-46404 CVE-2025-46705 CVE-2025-47151

    Keane O'Kelley 在 lasso (實作 Liberty Alliance 和 SAML 通訊協定的程式庫) 中發現數個弱點，這些弱點可能導致拒絕服務或任意程式碼執行。

    針對舊的穩定發行版本 (bookworm)，已在第 2.8.1-1+deb12u1 版中修復這些問題。

    針對穩定的發行版本 (trixie)，已在第 2.8.2-9+deb13u1 版中修復這些問題。

    建議您升級 lasso 套件。

    如需有關 lasso 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/lasso

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4371 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4371-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jeremy Bcha 2025 年 11 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 gst-plugins-base1.0 版本 1.18.4-2+deb11u4 CVE ID CVE-2025-47806 CVE-2025-47807 CVE-2025-47808

    gst-plugins-base1.0 的 subparse 外掛程式中的多個弱點已修正。 GStreamer 是一種受歡迎的多媒體架構。

    CVE-2025-47806透過 subparse 外掛程式中的堆疊溢位修正 DoS

    CVE-2025-47807修正透過 subparse 外掛程式中的 null-deref 發生的 DoS

    CVE-2025-47808修正透過 subparse 外掛程式中的 null-deref 發生的 DoS

    針對 Debian 11 Bullseye這些問題已在 1.18.4-2+deb11u4 版本中修正。

    建議您升級 gst-plugins-base1.0 套件。

    如需有關 gst-plugins-base1.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/gst-plugins-base1.0

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個受到 dsa-6057 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6057-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件lxd CVE ID CVE-2025-64507

    據發現如果無權限的使用者可以透過 lxd-user 存取 LXD則係統容器和虛擬機器管理員 LXD 容易受到一個本機權限提升弱點影響。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 5.0.2-5+deb12u2 版本中修正。

    建議您升級 lxd 套件。

    如需 lxd 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/lxd

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6056 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6056-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 keystone CVE ID 尚未提供

    在 Keystone (OpenStack 身分識別服務) 的 ec2tokens 和 s3tokens API 中發現一個弱點如果未經驗證的用戶端可存取 /v3/ec2tokens 或 /v3/s3tokens 可導致授權繞過或權限提升。

    Swift 物件儲存服務也需要更新才能搭配更新版 Keystone 使用版本。因此建議在部署 Keystone 更新前先升級 Swift。

    針對舊的穩定發行版本 (bookwarm)此問題已在版本 2:22.0.2-0+deb12u1 中修正。

    針對穩定的發行版本 (trixie)此問題已在 2:27.0.0-3+deb13u1 版本中修正。

    建議您升級 keystone 套件。

    如需 keystone 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/keystone

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機上安裝的多個套件受到 dsa-6055 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6055-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 : chromium CVE ID : CVE-2025-13042

    據發現，Chromium 中存在安全性問題，此問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊穩定發行版本 (bookworm)，已在 142.0.7444.162-1~deb12u1 版本中修正此問題。

    針對穩定發行版本 (trixie)，已在 142.0.7444.162-1~deb13u1 版本中修正此問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4370 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4370-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 11 月 13 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: firefox-esr 版本: 140.5.0esr-1~deb11u1 CVE ID : CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼或繞過同源原則。

    針對 Debian 11 Bullseye，已在 140.5.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12/13 主機上安裝的多個套件受到 dsa-6054 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6054-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2025-13012 CVE-2025-13013 CVE-2025-13014 CVE-2025-13015 CVE-2025-13016 CVE-2025-13017 CVE-2025-13018 CVE-2025-13019 CVE-2025-13020

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼或繞過同源原則。

    針對舊的穩定發行版本 (bookworm)，已在 140.5.0esr-1~deb12u1 版本中修正這些問題。

    針對穩定的發行版本 (trixie)，已在 140.5.0esr-1~deb13u1 版本中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝一個受到 dsa-6052 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6052-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 rust-sudo-rs CVE ID 尚未提供

    在 sudo-rs (以 Rust 為基礎的 sudo (及 su) 實作) 中發現兩個安全性問題可在某些 targetpw/rootpw 組態中導致本機洩漏部分輸入的密碼或驗證繞過。

    針對穩定的發行版本 (trixie)此問題已在 0.2.5-5+deb13u1 版本中修正。

    建議您升級 rust-sudo-rs 套件。

    如需 rust-sudo-rs 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/rust-sudo-rs

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4368 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4368-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 11 月 11 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libarchive 版本：3.4.3-2+deb11u3 CVE ID：CVE-2025-5914 CVE-2025-5916 CVE-2025-5917 CVE-2025-5918 Debian 錯誤：1107621 1107623 1107624 1107626

    已在多重格式封存與壓縮程式庫 libarchive 中修正多個弱點。

    CVE-2025-5914

        在 libarchive 程式庫中 (archive_read_format_rar_seek_data() 函式的特有問題) 發現一個弱點。
        此缺陷涉及整數溢位，其最終可導致重複釋放情形。惡意利用重複釋放弱點可導致記憶體損毀，使得攻擊者能夠執行任意程式碼或造成拒絕服務情形。

    CVE-2025-5916

        此缺陷涉及整數溢位，在處理聲稱具有超過 INT64_MAX - 4 內容位元組的 Web 封存 (WARC) 檔案時，可能會觸發此缺陷。攻擊者可特製惡意的 WARC 封存來引發此溢位，進而可能在使用 libarchive 處理此類封存的應用程式中導致無法預測的程式行為、記憶體損毀或拒絕服務情形。

    CVE-2025-5917

        此缺陷與處理檔案名稱的前置詞和後置詞時發生「差一」計算錯誤有關。這可導致 1 位元組寫入溢位。雖然看似很小，但這類溢位可損毀相鄰的記憶體，導致無法預測的程式行為、當機，或在特定情況下，可作為構建區塊進行更複雜的刺探利用。

    CVE-2025-5918

        將檔案資料流透過管道傳送至 bsdtar 時可觸發此缺陷，進而可能允許在超出檔案結尾處進行讀取。
        此超出邊界讀取可導致非預期的後果，包括無法預測的程式行為、記憶體損毀或拒絕服務情況。

    針對 Debian 11 Bullseye，這些問題已在 3.4.3-2+deb11u3 版本中修正。

    建議您升級 libarchive 套件。

    如需有關 libarchive 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libarchive

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝受到多個弱點影響的套件如 dsa-6053 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6053-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 linux CVE ID CVE-2025-21861 CVE-2025-39929 CVE-2025-39931 CVE-2025-39934 CVE-2025-39937 CVE-2025-39938 CVE-2025-39942 CVE-2025-39943 CVE-2025-39944 CVE-2025-39945 CVE-2025-39946 CVE-2025-39949 CVE-2025-39951 CVE-2025-39953 CVE-2025-39955 CVE-2025-39957 CVE-2025-39964 CVE-2025-39967 CVE-2025-39968 CVE-2025-39969 CVE-2025-39970 CVE-2025-39971 CVE-2025-39972 CVE-2025-39973 CVE-2025-39977 CVE-2025-39978 CVE-2025-39980 CVE-2025-39982 CVE-2025-39985 CVE-2025-39986 CVE-2025-39987 CVE-2025-39988 CVE-2025-39993 CVE-2025-39994 CVE-2025-39995 CVE-2025-39996 CVE-2025-39998 CVE-2025-40001 CVE-2025-40006 CVE-2025-40008 CVE-2025-40010 CVE-2025-40011 CVE-2025-40013 CVE-2025-40018 CVE-2025-40019 CVE-2025-40020 CVE-2025-40021 CVE-2025-40022 CVE-2025-40026 CVE-2025-40027 CVE-2025-40029 CVE-2025-40030 CVE-2025-40032 CVE-2025-40035 CVE-2025-40036 CVE-2025-40040 CVE-2025-40042 CVE-2025-40043 CVE-2025-40044 CVE-2025-40048 CVE-2025-40049 CVE-2025-40051 CVE-2025-40053 CVE-2025-40055 CVE-2025-40056 CVE-2025-40060 CVE-2025-40062 CVE-2025-40068 CVE-2025-40070 CVE-2025-40078 CVE-2025-40080 CVE-2025-40081 CVE-2025-40084 CVE-2025-40085 CVE-2025-40087 CVE-2025-40088 CVE-2025-40092 CVE-2025-40093 CVE-2025-40094 CVE-2025-40095 CVE-2025-40096 CVE-2025-40099 CVE-2025-40100 CVE-2025-40103 CVE-2025-40104 CVE-2025-40105 CVE-2025-40106 CVE-2025-40107 CVE-2025-40109

    在 Linux 核心中發現數個弱點，這些弱點可能會導致特權提升、拒絕服務或資訊洩漏。

    針對舊的穩定發行版本 (bookworm)，已在第 6.1.158-1 版中修正這些問題。

    建議您升級 linux 套件。

    如需有關 linux 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/linux

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4369 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4369-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 squid 版本 4.13-10+deb11u6 CVE ID CVE-2025-59362 CVE-2025-62168 Debian 錯誤 1117048 1118341

    受歡迎的代理伺服器 Squid 受到多個弱點影響

    CVE-2025-59362

        Squid 未正確處理長 SNMP OID 的 ASN.1 編碼。這發生在 lib/snmplib/asn1.c 的 asn_build_objid 中。

    CVE-2025-62168

        在錯誤處理過程中未編輯 HTTP 驗證認證允許資訊洩漏。此弱點允許指令碼繞過瀏覽器安全性保護並得知受信任用戶端用於驗證的認證。
        這可能允許遠端用戶端使用 Squid 進行後端負載平衡識別 Web 應用程式內部使用的安全性 token 或認證。這些攻擊不要求 Squid 必須以 HTTP 驗證設定

    針對 Debian 11 Bullseye這些問題已在 4.13-10+deb11u6 版本中修正。

    建議您升級 squid 套件。

    如需有關 squid 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/squid

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝一個受到 dsa-6051 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6051-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 incus CVE ID CVE-2025-64507

    據發現Incus (一種系統容器和虛擬機器管理員) 容易受到一個本機權限提升弱點影響無權限的使用者可透過 incus-user 存取 Incus。

    針對穩定的發行版本 (trixie)此問題已在 6.0.4-2+deb13u2 版本中修正。

    建議您升級 incus 套件。

    如需 incus 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/incus

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到一個弱點影響的套件如 dla-4367 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4367-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 11 月 7 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 keystone 版本 2:18.1.0-1+deb11u2 CVE ID 尚未發布 Debian 錯誤 1120053

    在 OpenStack 使用的身分識別服務 keystone 中發現一個弱點。
    透過向 ec2tokens 和 s3tokens 端點傳送有效的 AWS 簽章未經驗證的攻擊者可能會取得 Keystone 授權進而導致未經授權的存取和權限提升。Swift 也需要修補才能與修正版 keystone 搭配使用。建議先更新 swift再更新 keystone。

    針對 Debian 11 Bullseye，此問題已在 2:18.1.0-1+deb11u2 版本中修正。

    建議您升級 keystone 套件。

    如需 keystone 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/keystone

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6050 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6050-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 11 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: chromium CVE ID : CVE-2025-12725 CVE-2025-12726 CVE-2025-12727 CVE-2025-12728 CVE-2025-12729

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 142.0.7444.134-1~deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 142.0.7444.134-1~deb13u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4366 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4366-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 11 月 7 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 swift 版本 2.26.0-10+deb11u2 CVE ID
    Debian 錯誤 1120057

    物件儲存服務 Swift 需要更新才能與 keystone 2:18.1.0-1+deb11u2 搭配使用其可修正 ec2tokens 和 s3tokens API 中的一個弱點。
    此版本與舊版 keystone 回溯相容但舊版 swift 套件將無法與更新版 keystone 搭配使用。
    因此建議先更新 swift然後再進行 keystone 更新。

    針對 Debian 11 Bullseye此問題已在 2.26.0-10+deb11u2 版本中修正。

    建議您升級 swift 套件。

    如需 swift 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/swift

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝一個受到 dsa-6049 公告中提及的弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6049-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 4 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 gimp CVE ID CVE-2025-10934

    在 GIMP (GNU 影像操作程式) 中發現一個緩衝區溢位問題若開啟格式錯誤的 XWD 影像會導致拒絕服務或可能執行任意程式碼。

    針對舊的穩定發行版本 (bookwarm)此問題已在 2.10.34-1+deb12u5 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 3.0.4-3+deb13u2 版本中修正。

    建議您升級 gimp 套件。

    如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/gimp

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4364 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4364-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 11 月 4 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 bind9 版本 1:9.16.50-1~deb11u4 CVE ID CVE-2025-8677 CVE-2025-40778 CVE-2025-40780 Debian 錯誤

    簡介

    CVE-2025-8677

        透過格式錯誤的 DNSKEY 處理造成資源耗盡

    CVE-2025-40778

        具有來路不明 RR 的快取毒害攻擊

    CVE-2025-40780

        因弱式 PRNG 而導致的快取毒害

    針對 Debian 11 Bullseye這些問題已在版本 1:9.16.50-1~deb11u4 中修正。

    建議您升級 bind9 套件。

    如需有關 bind9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/bind9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4363 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4363-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 dcmtk 版本 3.6.5-1+deb11u5 CVE ID CVE-2020-36855 CVE-2022-4981 CVE-2025-9732 Debian 錯誤 1113993

    已在 DCMTK (針對醫療影像實作大部分 DICOM 標準的程式庫和應用程式) 中修正數個弱點。

    CVE-2025-9732

        以 YBR_FULL 的 Photometric Interpretation 和 Planar Configuration 1 處理無效的 DICOM 影像其中儲存的像素數與預期的像素數不符。
        這可能會導致記憶體損毀。

    CVE-2022-4981

        dcmqrscp 設定檔剖析器中的各種問題可在讀取格式錯誤的設定檔時因未充分檢查輸入資料而造成應用程式損毀。

    CVE-2020-36855

        dcmqrscp 組態剖析器中的堆疊型溢位。


    針對 Debian 11 Bullseye這些問題已在 3.6.5-1+deb11u5 版本中修正。

    建議您升級 dcmtk 套件。

    如需有關 dcmtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dcmtk

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4361 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4361-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 geographylib 版本 1.51-1+deb11u1 CVE ID CVE-2025-60751

    Geographiclib 是用於解決測地線問題的 C++ 程式庫。GeoConvert 工具接收特製的輸入時會發生堆疊緩衝區溢位。發生溢位的原因是程式未正確驗證內部索引進而允許在堆疊上超出邊界寫入。攻擊者可惡意利用此弱點覆寫傳回位址使其指向 libc 函式藉此劫持程式的控制流程並執行任意程式碼。

    針對 Debian 11 Bullseye此問題已在 1.51-1+deb11u1 版本中修正。

    建議您升級 geolib 套件。

    如需 geolib 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/geographiclib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4362 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4362-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.10.22-4+deb11u4 CVE ID CVE-2025-10934 Debian 錯誤 1119661

    GIMP (GNU 影像操作程式) 在剖析 XWD 檔案時容易受到一個堆積型緩衝區溢位影響。此弱點允許遠端攻擊者在受影響的 GIMP 安裝上執行任意程式碼並要求目標造訪惡意頁面或開啟惡意檔案。

    針對 Debian 11 Bullseye此問題已在 2.10.22-4+deb11u4 版本中修正。

    建議您升級 gimp 套件。

    如需有關 gimp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/gimp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4360 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4360-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 pure-ftpd 版本 1.0.49-4.1+deb11u1 CVE ID CVE-2021-40524 Debian 錯誤 993810

    據發現pure-ftpd (一種安全且有效的 FTP 伺服器) 未正確驗證配額機制中的最大檔案大小進而允許攻擊者上傳無限大小的檔案。這可能會導致拒絕服務或伺服器懸置。

    針對 Debian 11 Bullseye此問題已在 1.0.49-4.1+deb11u1 版本中修正。

    建議您升級 pure-ftpd 套件。

    如需 pure-ftpd 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/pure-ftpd

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機安裝了一個受到 dsa-6048 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6048-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 11 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ruby-rack CVE ID CVE-2025-61770 CVE-2025-61771 CVE-2025-61772 CVE-2025-61780 CVE-2025-61919

    在用於在 Ruby 中開發 Web 應用程式的介面 Rack 中發現多個安全性問題可導致拒絕服務或 proxy 繞過。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 2.2.20-0+deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 3.1.18-1~deb13u1 版本中修正。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4359 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4359-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 11 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 strongswan 版本 5.9.1-1+deb11u5 CVE ID CVE-2025-62291

    Xu Biang 在 strongSwan (IKE/IPsec 套件) 的 eap-mschapv2 外掛程式中發現一個緩衝區溢位錯誤。

    eap-mschapv2 外掛程式未正確檢查用戶端上 EAP-MSCHAPv2 失敗要求封包的長度這可造成整數反向溢位導致當機以及可能可遭惡意利用用於遠端程式碼執行的堆積型緩衝區溢位。

    針對 Debian 11 Bullseye此問題已在 5.9.1-1+deb11u5 版本中修正。

    建議您升級 strongswan 套件。

    如需 strongswan 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/strongswan

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4358 公告中所提及。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4358-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 2 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 wordpress 版本 5.7.14+dfsg1-0+deb11u1 CVE ID CVE-2024-6307 CVE-2024-31111 CVE-2025-58246 CVE-2025-58674 Debian 錯誤1074486 1117047

    在受歡迎的內容管理架構 Wordpress 中發現數個安全性弱點。

    CVE-2024-6307

        WordPress Core 容易遭受透過 HTML API 進行的已存跨網站指令碼攻擊這是因為 URL 上的輸入清理和輸出逸出不足所致。這可讓經驗證的攻擊者俱備貢獻者層級以上的存取權在頁面中插入任意 web 指令碼這些指令碼會在使用者存取插入的頁面時執行。

    CVE-2024-31111

        在產生 web 量具期間不當中和輸入 (XSS 或跨網站指令碼) 弱點 Automattic WordPress 允許儲存的 XSS。

    CVE-2025-58246

        WordPress 中的插入敏感資訊至已傳送資料弱點允許擷取內嵌的敏感資料。

    CVE-2025-58674

        WordPress 中的網頁產生期間不當中和輸入 (跨網站指令碼) 弱點允許儲存的 XSS。

    針對 Debian 11 Bullseye這些問題已在 5.7.14+dfsg1-0+deb11u1 版本中修正。

    建議您升級 wordpress 套件。

    如需有關 wordpress 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/wordpress

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個受到 dla-4357 公告中提及的多個弱點影響的套件。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4357-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 1 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ruby-rack 版本 2.1.4-3+deb11u4 CVE ID CVE-2025-32441 CVE-2025-46727 CVE-2025-59830 CVE-2025-61770 CVE-2025-61771 CVE-2025-61772 CVE-2025-61780 CVE-2025-61919 Debian 錯誤 1104927 1116431 1117855 1117856 1117627 1117628

    在模組化 Ruby webserver 介面 ruby-rack 中發現多個弱點如下

      - CVE-2025-32441Rack 工作階段可在刪除後還原。
      - CVE-2025-46727Rack::QueryParser 中的未系結參數剖析可導致記憶體耗盡。
      - CVE-2025-59830Rack::QueryParser 中的未系結參數剖析可透過分號分隔的參數導致記憶體耗盡。
      - CVE-2025-61770未系結多部分前置碼緩衝會啟用 DoS (記憶體耗盡)。
      - CVE-2025-61771Multipart 剖析器完全在記憶體中緩衝大型的 nonfile 欄位進而啟用 DoS (記憶體耗盡)。
      - CVE-2025-61772Multipart 剖析器會緩衝無限制的各部分標頭進而啟用 DoS (記憶體耗盡)。
      - CVE-2025-61919Rack::Request 表單剖析中的無限制讀取可能導致記憶體耗盡。
      - CVE-2025-61780不當處理 Rack::Sendfile 中的標頭可能會允許代理伺服器繞過。

    針對 Debian 11 Bullseye這些問題已在 2.1.4-3+deb11u4 版本中修正。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝一個受到 dla-4356 公告中所提及弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4356-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ublock-origin 版本 1.67.0+dfsg-1~deb11u1 Debian 錯誤 1108878

    Ublock-origin 是一種輕量且有效率的廣告、惡意程式碼和追踪器封鎖程式。
    新的上游版本可改善此熱門瀏覽器附加元件的使用者體驗和廣告/惡意程式碼篩選功能。此更新也可修正 [篩選清單] 頁面中導致無法正常轉譯的錯誤。

    針對 Debian 11 Bullseye此問題已在版本 1.67.0+dfsg-1~deb11u1 中修正。

    建議您升級 ublock-origin 套件。

    如需 ublock-origin 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/ublock-origin

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4354 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4354-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 10 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 pypy3 版本 7.3.5+dfsg-2+deb11u5 CVE ID CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-11168 CVE-2025-0938 CVE-2025-1795 CVE-2025-6069 CVE-2025-8291

    此上傳可修正 PyPy (Python 3 語言的替代實作) 隨附之 Python 標準程式庫中的一些安全性問題。

    CVE-2024-6232

        tarfile 模組用於剖析使用允許回溯的規則運算式剖析 tar 的標頭值其可用來透過特製的 tar 封存 (ReDoS) 造成拒絕服務。由於 tar 標頭採用的是眾所周知的格式不需要回溯即可可靠地剖析新的剖析方法僅需要位元組資料流的單次通過。

    CVE-2024-6923

        序列化電子郵件訊息時電子郵件模組未正確引用新行這可用來插入會影響電子郵件標頭解譯的新行。攻擊者可造成部分電子郵件標頭被完全略過或可能將惡意標頭隱藏在其他標頭中。

    CVE-2024-7592

        http.cookies 在剖析 cookie 值中含有引號字元的反斜線 cookie 時會使用具有二次方復雜度的演算法導致在剖析該值時會過度使用 CPU 資源。例如剖析一個 20000+ 位元組的 cookie 大約需要一秒 (ReDoS)。

    CVE-2024-11168 和 CVE-2025-0938

        urllib.parse.urlsplit 和 urlparse 函式未正確驗證包含方括弧的網域名稱進而允許非 IPv6 或 IPvFuture 的主機。

    CVE-2025-1795

        在電子郵件模組中地址清單折疊期間當分隔逗號結束於折疊行且該行將以 Unicode 編碼時分隔符號本身也會以 Unicode 編碼。預期的行為是分隔逗號保持為計劃逗號。這可導致某些郵件伺服器錯誤解譯位址標頭。

    CVE-2025-6069

        處理某些格式錯誤的特製輸入時html.parser.HTMLParser 類別具有最壞的二次方復雜度可能導致放大拒絕服務。

    CVE-2025-8291

        zipfile 模組不會檢查 ZIP64 中央目錄結尾 (EOCD) 的有效性。
        不會使用定位器記錄位移值來尋找 ZIP64 EOCD 記錄的位置而是假設 ZIP64 EOCD 記錄為 ZIP 封存中的先前記錄。這可能遭到濫用進而建立 zipfile 模組處理方式與其他 ZIP 實作不同的 ZIP 封存。修復會維持此行為，但會檢查 ZIP64 EOCD Locator 記錄中指定的位移是否符合預期值。

    針對 Debian 11 Bullseye這些問題已在 7.3.5+dfsg-2+deb11u5 版本中修正。

    我們建議您升級 pypy3 套件。

    如需有關 pypy3 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pypy3

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4355 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4355-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 mediawiki 版本 1:1.35.13-1+deb11u5 CVE ID CVE-2025-11173 CVE-2025-11261 CVE-2025-61635 CVE-2025-61638 CVE-2025-61639 CVE-2025-61640 CVE-2025-61641 CVE-2025-61643 CVE-2025-61646 CVE-2025-61653 CVE-2025-61655 CVE-2025-61656

    在 mediawiki (適用於共同作業的網站引擎) 中發現多個安全性弱點其可導致資訊洩漏、拒絕服務或權限提升。

    CVE-2025-11173

        OATHAuth 延伸模組啟用 2FA 的重新驗證可在 Special:OATHManage 中提交表單來繞過。

    CVE-2025-11261

        mw.language.listToText 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61635

        ConfirmEdit 延伸模組ApiFancyCaptchaReload 中缺少速率限制。

    CVE-2025-61638

        Parsoid「data-」屬性的驗證繞過。

    CVE-2025-61639

        對建立項目隱藏的記錄項目可能會洩漏給公開的最近變更項目。

    CVE-2025-61640

        Special:RecentChangesLinked 中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61641

        miser 模式下QueryAllPages API 的 DDoS 弱點。現在在該模式下會忽略 `maxsize` 值。

    CVE-2025-61643

        隱藏的最近變更可能會洩漏給公開 RCFeed。

    CVE-2025-61646

        當個別編輯者在單一頁面上進行連續修訂時公開關注清單/RecentChanges 頁面可能洩漏隱藏的使用者名稱而只有部分被標記為隱藏使用者名稱。

    CVE-2025-61653

        TextExtracts 延伸模組因為缺少讀取權限檢查導致擷取 API 動作端點中的資訊洩漏弱點。

    CVE-2025-61655

        VisualEditor 延伸模組「lastModifiedAt」系統訊息中的已儲存 i18n 跨網站指令碼 (XSS) 弱點。

    CVE-2025-61656

        VisualEditor 延伸模組從 `data-ve-attributes` 解開包裝的屬性缺少屬性驗證。

    針對 Debian 11 Bullseye這些問題已在版本 1:1.35.13-1+deb11u5 中修正。

    建議您升級 mediawiki 套件。

    如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mediawiki

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6046 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6046-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 10 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2025-12036 CVE-2025-12428 CVE-2025-12429 CVE-2025-12430 CVE-2025-12431 CVE-2025-12432 CVE-2025-12433 CVE-2025-12434 CVE-2025-12435 CVE-2025-12436 CVE-2025-12437 CVE-2025-12438 CVE-2025-12439 CVE-2025-12440 CVE-2025-12441 CVE-2025-12443 CVE-2025-12444 CVE-2025-12445 CVE-2025-12446 CVE-2025-12447

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 142.0.7444.59-1~deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 142.0.7444.59-1~deb13u1 版本中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6047 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6047-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：squid CVE ID：CVE-2025-62168

    Leonardo Giovanni 發現在 Squid 代理伺服器快取伺服器中缺少驗證資料編輯可導致資訊洩漏。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 5.7-2+deb12u4 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 6.13-2+deb13u1 版本中修正。

    建議您升級 squid 套件。

    如需有關 squid 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/squid

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件其受到 dsa-6045 公告中所提及的多個弱點影響。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6045-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 10 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件:pdns-recursor CVE ID : CVE-2025-59023 CVE-2025-59024

    在 PDNS Recursor (一種解析名稱伺服器) 中發現兩個弱點 委派資訊未經充分驗證可導致快取污染。

    這些變更侵入性過強而無法反向移植至舊的穩定發行版本 (bookwarm) 中的 PDNS 遞回子版本。針對受影響的設定建議更新至 Debian stable/trixie。不會再發出 Bookwarm 中 pdns-recursor 的進一步安全性更新。

    針對穩定的發行版本 (trixie)這些問題已在 5.2.6-0+deb13u1 版本中修正。

    建議您升級 pdns-recursor 套件。

    如需有關 pdns-recursor 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pdns-recursor

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4353 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4353-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 10 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 xorg-server 版本 2:1.20.4-1+deb10u18 CVE ID CVE-2025-62229 CVE-2025-62230 CVE-2025-62231


    Jan-Niklas Sohn 發現，X.org X 伺服器包含若干弱點，如果以特權模式執行 X 伺服器，則這些弱點可能導致特權提升攻擊。


    針對 Debian 11 Bullseye這些問題已在版本 2:1.20.4-1+deb10u18 中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6044 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6044-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 10 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 xorg-server CVE ID CVE-2025-62229 CVE-2025-62230 CVE-2025-62231

    Jan-Niklas Sohn 發現，X.org X 伺服器包含若干弱點，如果以特權模式執行 X 伺服器，則這些弱點可能導致特權提升攻擊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在版本 2:21.1.7-3+deb12u11 中修正。

    針對穩定的發行版本 (trixie)這些問題已在 2:21.1.16-1.3+deb13u1 版本中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4352 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4352-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706


    在適用於 OAuth 和 OpenID Connect 伺服器的 Python 程式庫 python-authlib 中發現多個弱點。

    CVE-2024-37568

        除非在 jwt.decode 呼叫中指定演算法否則允許使用任何非對稱公開金鑰進行 HMAC 驗證。

    CVE-2025-59420

        Authlibs JWS 驗證接受宣告未知重大標頭參數 (crit) 的 token從而違反 RFC 7515 mustunderstand 語意。
        攻擊者可特製具有嚴格驗證器拒絕但 Authlib 接受之重要標頭的已簽署 token。在混合語言隊組中這會啟用 splitbrain 驗證且可導致原則繞過、重播或權限提升。

    CVE-2025-61920

        Authlibs JOSE 實作接受無限制的 JWS/JWT 標頭和簽章區段這可能會在驗證期間導致 DoS。

    CVE-2025-62706

        Authlibs JWE zip=DEF 路徑執行無限制的 DEFLATE 解壓縮進而導致 DoS。


    針對 Debian 11 Bullseye這些問題已在 0.15.4-1+deb11u1 版本中修正。

    建議您升級 python-authlib 套件。

    如需 python-authlib 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/python-authlib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4348 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4348-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 20.3.4-4+deb11u2 CVE ID CVE-2023-5752 CVE-2025-8869 Debian 錯誤 1116336

    在 Python 套件安裝程式 python-pip 中發現多個弱點。

    CVE-2023-5752

       從 Mercurial VCS URL 安裝套件時任意組態選項可插入 hg clone 呼叫。

    CVE-2025-8869

       Pip 的 tar 解壓縮未檢查符號連結是否指向解壓縮目錄。

    針對 Debian 11 Bullseye這些問題已在 20.3.4-4+deb11u2 版本中修正。

    建議您升級 python-pip 套件。

    如需有關 python-pip 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-pip

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
276886	Debian dla-4382libsdl2-2.0-0 - 安全性更新	high
276885	Debian dsa-6061tryton-sao - 安全性更新	high
276884	Debian dla-4380cups-browsed - 安全性更新	low
276883	Debian dla-4381libnetsnmptrapd40 - 安全性更新	medium
276882	Debian dsa-6062pdfminer-data - 安全性更新	high
276881	Debian dla-4383rails - 安全性更新	high
276782	Debian dla-4379linux-config-6.1 - 安全性更新	medium
276691	Debian dla-4378r-cran-gh - 安全性更新	low
276650	Debian dla-4376erlang - 安全性更新	high
275886	Debian dla-4375：gir1.2-javascriptcoregtk-4.0 - 安全性更新	critical
275795	Debian dsa-6060：chromium - 安全性更新	high
275733	Debian dla-4374pdfminer-data - 安全性更新	high
275575	Debian dla-4373libwebsockets-dev - 安全性更新	high
275516	Debian dla-4372：thunderbird - 安全性更新	high
275515	Debian dsa-6059：thunderbird - 安全性更新	high
275497	Debian dsa-6058：liblasso-perl - 安全性更新	critical
275477	Debian dla-4371gir1.2-gst-plugins-base-1.0 安全性更新	medium
275377	Debian dsa-6057lxd - 安全性更新	high
275376	Debian dsa-6056keystone - 安全性更新	high
275305	Debian dsa-6055 : chromium - 安全性更新	high
275304	Debian dla-4370 : firefox-esr - 安全性更新	high
275246	Debian dsa-6054 : firefox-esr - 安全性更新	high
274818	Debian dsa-6052librust-sudo-rs-dev - 安全性更新	high
274817	Debian dla-4368：libarchive-dev - 安全性更新	critical
274816	Debian dsa-6053affs-modules-6.1.0-37-4kc-malta-di - 安全性更新	medium
274815	Debian dla-4369squid - 安全性更新	high
274638	Debian dsa-6051 golang-github-lxc-incus-dev - 安全性更新	high
274521	Debian dla-4367keystone - 安全性更新	high
274514	Debian dsa-6050chromium - 安全性更新	critical
274438	Debian dla-4366python3-swift - 安全性更新	high
272283	Debian dsa-6049gimp - 安全性更新	high
272278	Debian dla-4364bind9 - 安全性更新	high
272232	Debian dla-4363dcmtk - 安全性更新	medium
272231	Debian dla-4361geographiclib-doc - 安全性更新	high
272226	Debian dla-4362gimp - 安全性更新	high
272225	Debian dla-4360pure-ftpd - 安全性更新	high
272224	Debian dsa-6048ruby-rack - 安全性更新	medium
272195	Debian dla-4359charon-cmd - 安全性更新	high
272194	Debian dla-4358wordpress - 安全性更新	medium
272174	Debian dla-4357ruby-rack - 安全性更新	medium
272123	Debian dla-4356ublock-origin-doc - 安全性更新	high
272097	Debian dla-4354pypy3 - 安全性更新	medium
272096	Debian dla-4355mediawiki - 安全性更新	medium
272077	Debian dsa-6046chromium - 安全性更新	high
272076	Debian dsa-6047squid - 安全性更新	high
271978	Debian dsa-6045pdns-recursor - 安全性更新	critical
271977	Debian dla-4353xdmx - 安全性更新	high
271955	Debian dsa-6044xnest - 安全性更新	high
271941	Debian dla-4352python-authlib-doc - 安全性更新	high
271934	Debian dla-4348python-pip-whl - 安全性更新	medium

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

low

medium

high

high

medium

low

high

critical

high

high

high

high

high

critical

medium

high

high

high

high

high

high

critical

medium

high

high

high

critical

high

high

high

medium

high

high

high

medium

high

medium

medium

high

medium

medium

high

high

critical

high

high

high

medium