在 coTURN (一種適用於 VoIP 的 TURN 和 STUN 伺服器) 中發現多個弱點。CVE-2018-4056 在 coTURN 系統管理員網頁入口網站中發現一個 SQL 插入弱點。因為系統管理網頁介面與生產環境共用，因此很遺憾無法輕鬆過濾外部存取權，並且此安全性更新完全停用網頁介面。使用者應改用本機命令列介面。CVE-2018-4058 預設組態啟用不安全的回送轉送。可存取 TURN 介面的遠端攻擊者可以使用此弱點來存取僅應在本機使用的服務。CVE-2018-4059 預設組態在使用本機命令列系統管理介面中使用空白密碼。可存取本機主控台的攻擊者 (利用 CVE-2018-4058 的本機攻擊者或遠端攻擊者) 可將權限提升為 coTURN 伺服器的系統管理員。針對 Debian 8「Jessie」，這些問題已在 4.2.1.2-1+deb8u1 版本中修正。建議您升級 coturn 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Tavis Ormandy 在 GPL PostScript/PDF 解譯程式 Ghostscript 中發現一個弱點，如果處理格式錯誤的 Postscript 檔案，可導致拒絕服務或任意程式碼執行 (儘管已啟用 -dSAFER 沙箱)。針對 Debian 8「Jessie」，此問題已在 9.26a~dfsg-0+deb8u1 版本中修正。建議您升級 ghostscript 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mosquitto MQTT 代理程式中發現三個弱點，可能導致身份驗證繞過。如需其他資訊，請參閱 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

F-Secure Corporation 的 Harry Sintonen 在 OpenSSH (SSH 通訊協定套件的實作) 中發現多個弱點。所有弱點都是在實作 SCP 通訊協定的 scp 用戶端中找到。- CVE-2018-20685 因為目錄名稱驗證不正確，scp 用戶端允許伺服器使用空目錄名稱或點目錄名稱來修改目標目錄的權限。- CVE-2019-6109 因為進度顯示中缺少字元編碼，所以可以使用物件名稱來處理用戶端輸出，例如，使用 ANSI 代碼隱藏正在傳輸的其他文件。- CVE-2019-6111 因為 scp 用戶端在伺服器器傳送的路徑名稱中的輸入驗證不足，導致惡意伺服器可以在目標目錄中進行任意文件覆寫。如果提供遞迴 (-r) 選項，伺服器也可操控子目錄。如果用戶端和伺服器在萬用字元擴充規則上存在差異，則此版本中新增的檢查可能導致迴歸。如果為此目的使伺服器受信任，則可以使用 scp 用戶端的新 -T 選項停用該檢查。

Alex Infuehr 發現一個目錄遊走弱點，當開啟格式錯誤的文件時，可導致執行 Python 指令碼程式碼。針對 Debian 8「Jessie」，此問題已在 1:4.3.3-2+deb8u12 版本中修正。建議您升級 libreoffice 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

對於 Debian jessie LTS 中的 FreeRDP 版本，最近已提供了安全性和功能更新。FreeRDP 是一種 Microsoft RDP 通訊協定 (伺服器和用戶端) 的免費重新實作，其中 freerdp-x11 是目前最常見的 RDP 用戶端。功能改良：在 FreeRDP 上游的幫助下 (感謝 Bernhard Miklautz 和 Martin Fleisz)，我們很高興地宣布，RDP proto v6 和 CredSSP v3 支援已被反向移植到舊版 FreeRDP 1.1 分支。自 2018 年第二季以來，Microsoft Windows 伺服器和用戶端收到的更新會將其 RDP 伺服器預設為 proto 版本 6。自從此變更後，使用者不能夠再使用 Debian jessie LTS 和 Debian stretch 中的舊版 FreeRDP 1.1 分支連線到最近更新的 MS Windows 電腦。隨著 Debian jessie LTS 的最近 FreeRDP 上傳，現在又可以連線到最新的 MS Windows 電腦了。安全性問題：CVE-2018-8786 FreeRDP 包含一個整數截斷，可導致 update_read_bitmap_update() 函式發生堆積型緩衝區溢位，進而導致記憶體損毀，甚至可能造成遠端程式碼執行。CVE-2018-8787 FreeRDP 包含一個整數溢位，可導致 gdi_Bitmap_Decompress() 函式發生堆積型緩衝區溢位，進而導致記憶體損毀，甚至可能造成遠端程式碼執行。CVE-2018-8788 FreeRDP 在 nsc_rle_decode() 函式中包含多達 4 個位元組的超出邊界寫入，可導致記憶體損毀甚至可能造成遠端程式碼執行。CVE-2018-8789 FreeRDP 在 NTLM 驗證模組中包含數個超出邊界讀取，進而導致拒絕服務 (分割錯誤)。針對 Debian 8「Jessie」，這些安全性問題已在 1.1.0~git20140921.1.440916e+dfsg1-13~deb8u3 版本中修正。建議您升級 freerdp 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Fuzzing 在 libarchive 中發現另外兩個檔案格式特定的問題，即 7z 中的唯讀分割錯誤和 ISO9660 中的無限迴圈。CVE-2019-1000019 7zip 解壓縮中的超出邊界讀取，可能導致當機 (拒絕服務，CWE-125) CVE-2019-1000020 ISO9660 剖析器中的弱點可能因無限迴圈而導致 DoS (CWE-835)。針對 Debian 8「Jessie」，這些問題已在 3.1.2-11+deb8u7 版本中修正。建議您升級 libarchive 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 dovecot IMAP/POP3 伺服器中發現一個弱點。如果同時啟用 auth_ssl_{require_client,username_from}_cert，則 TLS 使用者名稱處理中的缺陷可導致攻擊者以系統中其他任何人的身份登入。針對 Debian 8「Jessie」，此問題已在 dovecot 的 1:2.2.13-12+deb8u5 版本中修正。建議您升級 dovecot 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 DLA 修正了剖析 x509 憑證的問題、一個 pickle 整數溢位和其他一些小問題：CVE-2016-0772 當 StartTLS 失敗時，CPython 中的 smtplib 程式庫未傳回錯誤，這可讓攔截式攻擊者透過利用用戶端和登錄之間的網路位置繞過 TLS 保護，來封鎖 StartTLS 命令 (也稱為「StartTLS 移除攻擊」)。CVE-2016-5636 CPython 的 zipimport.c 中的 get_data 函式發生整數溢位，可讓遠端攻擊者透過負的資料大小值產生不明影響，進而觸發堆積型緩衝區溢位。CVE-2016-5699 CPython 的 urllib2 和 urllib 中的 HTTPConnection.putheader 函式中發生 CRLF 插入弱點，可讓遠端攻擊者透過 URL 中的 CRLF 序列插入任意 HTTP 標頭。CVE-2018-20406 Modules/_pickle.c 透過在「調整大小到兩倍大小」嘗試期間錯誤處理的大型 LONG_BINPUT 值而產生一個整數溢位。此問題可能會造成記憶體耗盡，但是只有在 pickle 格式用於序列化數十或數百 GB 資料時才有意義。CVE-2019-5010 使用特製的 X509 認證造成 NULL 指標解除參照。針對 Debian 8「Jessie」，這些問題已在 3.4.2-1~deb8u2 版本中修正。我們建議您升級 python3.4 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 URL 傳輸程式庫 cURL 中發現多個弱點。- CVE-2018-16890 Tencent Blade Team 的 Wenxiang Qian 發現，處理傳入的 NTLM type-2 訊息的函式未正確驗證傳入的資料，並且容易發生整數溢位弱點，可導致超出邊界緩衝區讀取。- CVE-2019-3822 Tencent Blade Team 的 Wenxiang Qian 發現，建立傳出的 NTLM type-3 標頭的函式容易發生整數溢位弱點，可導致超出邊界寫入。- CVE-2019-3823 Geeknik Labs 的 Brian Carpenter 發現處理 SMTP 的 end-of-response 的程式碼容易發生超出邊界堆積讀取。

在 netmask 中發現一個緩衝區溢位，當使用任意長的輸入呼叫時，netmask 將損毀。針對 Debian 8「Jessie」，此問題已在 2.3.12+deb8u1 版本中修正。建議您升級 netmask 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，在 Go 程式設計語言程式庫中的橢圓曲線密碼處理中存在一個拒絕服務弱點，甚至可能進行私密金鑰復原攻擊。針對 Debian 8「Jessie」，此問題已在 2:1.3.3-1+deb8u1 版本中修正。建議您升級 golang 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，可以繞過 libthrift-java (為 Apache Thrift 軟體架構提供的 Java 語言支援) 中的 SASL 協商 isComplete 驗證。可以在生產設定中停用用於確定 SASL 交握是否已成功完成的宣告，進而使驗證不完整。針對 Debian 8「Jessie」，此問題已在 0.9.1-2+deb8u1 版本中修正。建議您升級 libthrift-java 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，mumble-server 未正確處理持續存在資料庫中的多個並行要求，可讓遠端攻擊者透過訊息氾濫導致拒絕服務 (程序懸置或當機)。在新的安全性更新中，使用 Leaky-Bucket 演算法新增速率限制器。針對 Debian 8「Jessie」，此問題已在 1.2.8-2+deb8u1 版本中修正。建議您升級 mumble 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，透過 DLA-1660-1 在 2.3.4-4+deb8u2 中為 rssh 發布的安全性弱點修正引入一個迴歸，其阻止使用 rssh 的伺服器中多個檔案的 scp(1)。如需詳細資訊，請參閱 <https://bugs.debian.org/921655>。針對 Debian 8「Jessie」，此問題已在 rssh 的 2.3.4-4+deb8u3 版本中解決。建議您升級 rssh 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已更正 Libav 多媒體程式庫中多個 demuxer 和解碼器的數個安全性問題。CVE-2014-8542 libavcodec/utils.c 在強制執行對齊時，省略了特定轉碼器 ID，可讓遠端攻擊者透過特製的 JV 資料，造成拒絕服務 (超出邊界存取)，或可能造成其他不明影響。CVE-2015-1207 libavformat/mov.c 中的雙重釋放弱點可讓遠端攻擊者透過特製的 .m4a 檔案導致拒絕服務 (記憶體損毀並當機)。CVE-2017-7863 libav 發生超出邊界寫入，是由於與 libavcodec/pngdec.c 中的 decode_frame_common 函式相關的堆積型緩衝區溢位引起的。CVE-2017-7865 libav 發生超出邊界寫入，是由於與 libavcodec/interplayvideo.c 中的 ipvideo_decode_block_opcode_0xA 函式和 libavcodec/utils.c 中的 avcodec_align_dimensions2 函式相關的堆積型緩衝區溢位引起的。CVE-2017-14169 在 libavformat/mxfdec.c 的 mxf_read_primer_pack 函式中，當提供的特製檔案宣告大型的「item_num」欄位 (例如 0xffffffff) 時，可能會發生整數符號性錯誤。因此，「item_num」變數會傳回負數，進而繞過大型值的檢查。CVE-2017-14223 在 libavformat/asfdec_f.c 中因為缺少 EOF (檔案結尾) 檢查而導致 asf_build_simple_index() 中發生 DoS，可能導致大量 CPU 耗盡。當特製 ASF 檔案在標頭中宣告大型的「ict」欄位，但不包含足夠的支援資料，for 迴圈可能會消耗大量的 CPU 和記憶體資源，因為在迴圈中未進行 EOF 檢查。針對 Debian 8「Jessie」，這些問題已在 6:11.12-1~deb8u5 版本中修正。建議您升級 libav 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

halfdog 在 Dovecot 電子郵件伺服器中發現驗證繞過弱點。在某些組態下，Dovecot 透過驗證而不是失敗，錯誤地信任提供的使用者名稱。如果沒有其他密碼驗證，這將使攻擊者能夠以系統中任何人的身份登入。只有使用以下的安裝：- auth_ssl_require_client_cert = yes - auth_ssl_username_from_cert = yes 受到此缺陷影響。

在程式化圖形建立及處理程式庫 libgd2 中發現多個弱點，如果處理格式錯誤的檔案，可能導致拒絕服務或執行任意程式碼。

Pavel Cheremushkin 在 libvncserver (一種實作 VNC 伺服器/用戶端功能的程式庫) 中發現數個弱點，可導致執行任意程式碼、拒絕服務或資訊洩漏。

Nick Cleaton 在 rssh 中發現兩個弱點，rssh 是一種受限制的殼層，僅允許使用者執行 scp、sftp、cvs、svnserve (Subversion)、rdist 及/或 rsync 作業。rsync 支援中缺少驗證可能會導致繞過此限制，進而允許執行任意殼層命令。

Alex Infuehr 發現一個目錄遊走弱點，當開啟格式錯誤的文件時，可導致執行 Python 指令碼程式碼。

在 P-521 和 P-384 橢圓曲線的實作中發現一個弱點，可導致拒絕服務並在某些情況下導致金鑰復原。此外，此更新還修正了 'go get’ 中的兩個弱點，該弱點可導致執行任意殼層命令。

在 P-521 和 P-384 橢圓曲線的實作中發現一個弱點，可導致拒絕服務並在某些情況下導致金鑰復原。此外，此更新還修正了 'go get’ 中的一個弱點，該弱點可導致執行任意殼層命令。

在不受信任的 phar://URI 上執行檔案作業時，PHP 內建的 phar 串流包裝函式中存在一個遠端執行程式碼弱點。某些 Drupal 程式碼 (core、contrib 和 custom) 可能會在未經充分驗證的使用者輸入上執行檔案作業，進而容易受到此弱點的影響。在此更新中，使用了來自 typo3 專案的新替代串流包裝函式，而不是內建的包裝函式。針對 Debian 8「Jessie」，此問題已在 7.32-1+deb8u14 版本中修正。我們建議您升級 drupal7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MySQL 網頁系統管理工具 phpmyadmin 中發現幾個弱點。CVE-2018-19968 因為轉換功能中的錯誤，攻擊者可以利用 4.8.4 之前的 phpMyAdmin 洩漏本機檔案的內容。攻擊者必須可存取 phpMyAdmin 組態儲存表，儘管可以輕鬆地在攻擊者可存取的任何資料庫中建立這些表格。攻擊者必須擁有有效的認證才能登入 phpMyAdmin；此弱點不允許攻擊者繞過登入系統。CVE-2018-19970 在瀏覽樹狀目錄中發現一個 XSS 弱點，攻擊者可以在其中透過特製的資料庫/表格名稱將有效負載傳遞給使用者。針對 Debian 8「Jessie」，這些問題已在 4:4.2.12-2+deb8u4 版本中修正。建議您升級 phpmyadmin 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Debian-security-support (Debian 安全性支援涵蓋範圍檢查程式) 已在 jessie 中更新。這會在 jessie 中將 Enigmail 套件標示為產品生命週期結束。經過數月的努力嘗試反向移植各種必要的變更和修正，以確保安全的 Enigmail 套件與現在已由 jessie 發行的最新版本的 Thunderbird 相容後，LTS 團隊認為，這些變更過於侵入性，無法確保整體散佈的穩定性。儘管仍然可以在 addons.mozilla.org 上使用 Enigmail，但我們不建議您使用該套件，因為它會在使用者不知情的情況下從網際網路下載並執行任意二進位檔案。它也不遵守 Debian 對免費軟體的承諾，因為它不能從原始碼建置。相反的，我們建議您將需要 Enigmail 的工作站升級到 Debian Stretch，其中可使用適當的更新。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 AntiGrain Geometry 圖形工具包 AGG 中發現一個堆疊溢位弱點，在處理格式錯誤的檔案時，可能導致程式碼執行。因為 AGG 僅提供靜態程式庫，因此將根據最新的安全性更新來重新建置 desmume 和 exactimage 套件。針對 Debian 8「Jessie」，此問題已在 2.5+dfsg1-9+deb8u1 版本中修正。建議您升級 agg 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MariaDB 資料庫伺服器中發現數個問題。這些弱點已藉由將 MariaDB 升級至新的上游版本 10.0.38 而解決。如需進一步詳細資料，請參閱 MariaDB 10.0 版本資訊：https://mariadb.com/kb/en/mariadb/mariadb-10038-release-notes/。針對 Debian 8「Jessie」，這些問題已在 10.0.38-0+deb8u1 版本中修正。建議您升級 mariadb-10.0 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，PostGIS 中的 ST_AsX3D 函式 (一種向 PostgreSQL 物件關聯資料庫新增空間物件的模組) 未正確處理空值，進而使惡意使用者導致拒絕服務或可能導致其他不明行為。針對 Debian 8「Jessie」，此問題已在 2.1.4+dfsg-3+deb8u1 版本中修正。建議您升級 postgis 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Kaspersky Lab 在 libvncserver (實作 VNC 伺服器/用戶端功能的 C 程式庫) 中發現一個弱點。此外，據發現，在 DLA 1617-1 中解決的某些弱點並沒有完全修正，但已在此更新中解決。CVE-2018-15126 攻擊者可能透過 tightvnc-filetransfer 延伸模組中的堆積釋放後使用問題導致拒絕服務或遠端執行程式碼。CVE-2018-20748 CVE-2018-20749 CVE-2018-20750 針對 CVE-2018-20019 和 CVE-2018-15127 的部分超出邊界堆積寫入修正不完整。這些 CVE 可解決這些問題。針對 Debian 8「Jessie」，這些問題已在 0.9.9+dfsg2-6.1+deb8u5 版本中修正。建議您升級 libvncserver 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Fariskhi Vidyan 發現，用於處理 PHP 中 tar 檔案的 PEAR Archive_Tar 套件容易發生 PHP 物件插入弱點，進而讓遠端攻擊者執行任意程式碼。

ESnet 安全性團隊在 rssh 中發現一個弱點，rssh 是一種受限制的殼層，僅允許使用者執行 scp、sftp、cvs、svnserve (Subversion)、rdist 及/或 rsync 作業。scp 支援中缺少驗證可能會導致繞過此限制，進而允許執行任意殼層命令。請注意，套用更新後，將不再使用 scp 的「-3」選項。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行或權限提升。

在圖形程式庫 libgd2 中發現數個問題，可允許快速繪製影像。CVE-2019-6977 Solmaz Salimi (又稱 Rooney) 報告 gdImage*Ptr() 中有潛在的雙重釋放。CVE-2019-6978 Simon Scannell 發現堆積型緩衝區溢位，可透過特製的影像資料加以惡意利用。CVE-2018-1000222 Solmaz Salimi (又稱 Rooney) 報告 gdImageBmpPtr() 中有新的雙重釋放。CVE-2018-5711 因為整數正負號狀態錯誤，GIF 核心剖析函式可能會進入無限迴圈。這將導致拒絕服務和伺服器資源耗盡。針對 Debian 8「Jessie」，這些問題已在 2.1.0-5~deb8u12 版本中修正。我們建議您升級 libgd2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ESnet 安全性團隊在 rssh 中發現一個弱點，rssh 是一種受限制的殼層，僅允許使用者執行 scp、sftp、cvs、svnserve (Subversion)、rdist 及/或 rsync 作業。scp 支援中缺少驗證可能會導致繞過此限制，進而允許執行任意殼層命令。請注意，套用更新後，將不再使用 scp 的「-3」選項。針對 Debian 8「Jessie」，此問題已在 2.3.4-4+deb8u1 版本中修正。建議您升級 rssh 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Christophe Fergeau 在 spice (一個 SPICE 通訊協定用戶端和伺服器程式庫) 中發現一個超出邊界讀取弱點，可能導致拒絕服務 (spice 伺服器當機) 或可能執行任意程式碼。針對 Debian 8「Jessie」，此問題已在 0.12.5-1+deb8u7 版本中修正。建議您升級 spice 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行或權限提升。針對 Debian 8「Jessie」，這些問題已在 60.5.0esr-1~deb8u1 版本中修正。建議您升級 firefox-esr 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Christophe Fergeau 在 spice (一個 SPICE 通訊協定用戶端和伺服器程式庫) 中發現一個超出邊界讀取弱點，可能導致拒絕服務 (spice 伺服器當機) 或可能執行任意程式碼。

ImExHS 的 Diego Angulo 在網頁伺服器 apache2 中發現一個問題。模組 mod_session 略過由 mod_session_cookie 處理的工作階段的過期時間，因為該過期時間僅在解碼該工作階段之後才可用，並且之前檢查已經進行。針對 Debian 8「Jessie」，此問題已在 2.4.10-10+deb8u13 版本中修正。我們建議您升級 apache2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬器 QEMU 中發現數個弱點：CVE-2018-17958 rtl8139 模擬器受到整數溢位和後續的緩衝區溢位影響。具有特製封包的遠端攻擊者可觸發此弱點，以執行拒絕服務 (透過 OOB 堆疊緩衝區存取)。CVE-2018-19364 9pfs 子系統受爭用情形的影響，可讓執行緒在另一個執行緒存取 fid 路徑時修改它的路徑，進而導致 (例如) 釋放後使用結果。本機攻擊者可觸發此弱點來執行拒絕服務。CVE-2018-19489 9pfs 子系統在檔案重新命名時，受到爭用情形影響。本機攻擊者可觸發此弱點來執行拒絕服務。針對 Debian 8「Jessie」，這些問題已在 1:2.1+dfsg-12+deb8u9 版本中修正。建議您升級 qemu 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在跨平台 C++ 應用程式架構 qtbase-opensource-src 中發現數個問題，可透過應用程式損毀導致拒絕服務。此外，此更新也修正了會影響 vlc 在未使用 GUI 的情況下啟動的問題。

在 coTURN (一種適用於 VoIP 的 TURN 和 STUN 伺服器) 中發現多個弱點。- CVE-2018-4056 在 coTURN 系統管理員網頁入口網站中發現一個 SQL 插入弱點。因為系統管理網頁介面與生產環境共用，因此很遺憾無法輕鬆過濾外部存取權，並且此安全性更新完全停用網頁介面。使用者應改用本機命令列介面。- CVE-2018-4058 預設組態啟用不安全的回送轉送。可存取 TURN 介面的遠端攻擊者可以使用此弱點來存取僅應在本機使用的服務。- CVE-2018-4059 預設組態在使用本機命令列系統管理介面中使用空白密碼。可存取本機主控台的攻擊者 (利用 CVE-2018-4058 的本機攻擊者或遠端攻擊者) 可將權限提升為 coTURN 伺服器的系統管理員。

在網路流量分析器 wireshark 中發現數個問題。- ISAKMP 解剖器，網際網路安全性關聯和金鑰管理通訊協定 - P_MUL，一種可靠的多重傳播傳輸通訊協定 - 6LoWPAN，IPv6 over Low power 無線個人區域網路會受到影響。CVE-2019-5719 Mateusz Jurczyk 發現封包中遺失加密區塊，可損毀 ISAKMP 解剖器。CVE-2019-5717 據發現，當格式錯誤的封包中包含非法資料 PDU 序號 0 時，P_MUL 解剖器可能會損毀。這類封包可能無法分析。CVE-2019-5716 據發現，當格式錯誤的封包未包含標頭註明應包含的 IPHC 資訊時，6LoWPAN 解剖器可能會損毀。針對 Debian 8「Jessie」，這些問題已在 1.12.1+g01b65bf-4+deb8u17 版本中修正。建議您升級 wireshark 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Policykit (一種用於管理系統原則和權限的架構) 中發現兩個弱點：CVE-2018-19788 據發現，Policykit 未正確處理非常高的 UID，可導致驗證繞過。CVE-2019-6133 Google 的 Jann Horn 發現 Policykit 未正確檢查是否已驗證處理程序，可讓不同使用者重複使用驗證。針對 Debian 8「Jessie」，這些問題已在 0.105-15~deb8u4 版本中修正。建議您升級 policykit-1 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Tavis Ormandy 在 GPL PostScript/PDF 解譯程式 Ghostscript 中發現一個弱點，如果處理格式錯誤的 Postscript 檔案，可導致拒絕服務或任意程式碼執行 (儘管已啟用 -dSAFER 沙箱)。

Krb5 (一種 MIT Kerberos 實作)，在進行 LDAP DN 檢查時發生數個缺陷，可透過為某些呼叫提供特殊參數，來規避 DN 容器檢查。攻擊者可進行 S4U2Self 要求，進一步損毀 KDC。針對 Debian 8「Jessie」，這些問題已在 1.12.1+dfsg-19+deb8u5 版本中修正。我們建議您升級 krb5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

PostgreSQL 專案已發布新的 9.4 分支次要版本。針對 Debian 8「Jessie」，此已上傳為 9.4.20-0+deb8u1 版本。建議您升級 postgresql-9.4 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 mxml 中發現數個堆疊耗用情形，當剖析 xml 檔案時易發生當機。CVE-2016-4570 mxml-node.c 中的 mxmlDelete 函式可讓遠端攻擊者透過特製的 xml 檔案導致拒絕服務 (堆疊耗用)。CVE-2016-4571 mxml-file.c 中的 mxml_write_node 函式可讓遠端攻擊者透過特製的 xml 檔案導致拒絕服務 (堆疊耗用)。CVE-2018-20004 透過包含雙精準度浮點數的向量在 mxml_write_node 發生堆疊型緩衝區溢位。針對 Debian 8「Jessie」，這些問題已在 2.6-2+deb8u1 版本中修正。建議您升級 mxml 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，tmpreaper (一個可根據其使用期限清理目錄中檔案的程式) 容易發生爭用情形。本機攻擊者可惡意利用此弱點來執行權限提升。針對 Debian 8「Jessie」，此問題已在 1.6.13+nmu1+deb8u1 版本中修正。建議您升級 tmpreaper 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Max Justicz 在高階套件管理員 APT 中發現一個弱點。HTTP 傳輸方法中處理 HTTP 重新導向的程式碼無法正確清理通過網路傳輸的欄位。位於 APT 和鏡像之間的攔截式攻擊者可利用此弱點，在 HTTP 連線中插入惡意內容。然後，APT 可以將該內容識別為有效的套件，並稍後以目標電腦上的 root 權限將其用於執行程式碼。因為這個弱點存在於套件管理員本身，因此建議停用重新導向，以僅在此升級期間防止弱點遭利用，請使用以下命令：apt -o Acquire::http::AllowRedirect=false update apt -o Acquire::http::AllowRedirect=false upgrade。當用於 security.debian.org 時，已知會損毀某些 proxy。若此情況發生，使用者可切換其安全性 APT 來源以使用：deb http://cdn-fastly.deb.debian.org/debian-security stable/updates main

ID	名稱	嚴重性
122098	Debian DLA-1671-1：coturn 安全性更新	critical
122097	Debian DLA-1670-1：ghostscript 安全性更新	high
122069	Debian DSA-4388-1：mosquitto - 安全性更新	high
122068	Debian DSA-4387-1：openssh - 安全性更新	medium
122067	Debian DLA-1669-1：libreoffice 安全性更新	critical
122066	Debian DLA-1666-1：freerdp 安全性更新	critical
122038	Debian DLA-1668-1：libarchive 安全性更新	medium
122037	Debian DLA-1667-1：dovecot 安全性升級	medium
122036	Debian DLA-1663-1：python3.4 安全性更新	critical
121628	Debian DSA-4386-1：curl - 安全性更新	critical
121627	Debian DLA-1665-1：netmask 安全性更新	high
121626	Debian DLA-1664-1：golang 安全性更新	high
121625	Debian DLA-1662-1：libthrift-java 安全性更新	high
121624	Debian DLA-1661-1：mumble 安全性更新	high
121623	Debian DLA-1660-2：rssh 迴歸更新	high
121622	Debian DLA-1654-1：libav 安全性更新	critical
121603	Debian DSA-4385-1：dovecot - 安全性更新	medium
121576	Debian DSA-4384-1：libgd2 - 安全性更新	critical
121561	Debian DSA-4383-1：libvncserver - 安全性更新	critical
121560	Debian DSA-4382-1：rssh - 安全性更新	critical
121559	Debian DSA-4381-1：libreoffice - 安全性更新	critical
121558	Debian DSA-4380-1：golang-1.8 - 安全性更新	high
121557	Debian DSA-4379-1：golang-1.7 - 安全性更新	high
121556	Debian DLA-1659-1：drupal7 安全性更新	critical
121555	Debian DLA-1658-1：phpmyadmin 安全性更新	medium
121554	Debian DLA-1657-1：debian-security-support enigmail 產品生命週期結束	high
121553	Debian DLA-1656-1：agg 安全性更新	high
121552	Debian DLA-1655-1：mariadb-10.0 安全性更新	medium
121518	Debian DLA-1653-1：postgis 安全性更新	high
121517	Debian DLA-1652-1：libvncserver 安全性更新	critical
121486	Debian DSA-4378-1：php-pear - 安全性更新	high
121485	Debian DSA-4377-1：rssh - 安全性更新	high
121484	Debian DSA-4376-1：firefox-esr - 安全性更新	critical
121483	Debian DLA-1651-1：libgd2 安全性更新	critical
121482	Debian DLA-1650-1：rssh 安全性更新	high
121481	Debian DLA-1649-1：spice 安全性更新	high
121480	Debian DLA-1648-1：firefox-esr 安全性更新	critical
121438	Debian DSA-4375-1：spice - 安全性更新	high
121437	Debian DLA-1647-1：apache2 安全性更新	high
121436	Debian DLA-1646-1：qemu 安全性更新	high
121426	Debian DSA-4374-1：qtbase-opensource-src - 安全性更新	critical
121425	Debian DSA-4373-1：coturn - 安全性更新	critical
121424	Debian DLA-1645-1：wireshark 安全性更新	medium
121423	Debian DLA-1644-1：policykit-1 安全性更新	high
121400	Debian DSA-4372-1：ghostscript - 安全性更新	high
121399	Debian DLA-1643-1：krb5 安全性更新	medium
121398	Debian DLA-1642-1：postgresql-9.4 新次要版本	high
121397	Debian DLA-1641-1：mxml 安全性更新	high
121372	Debian DLA-1640-1：tmpreaper 安全性更新	high
121317	Debian DSA-4371-1：apt - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

critical

high

high

medium

critical

critical

medium

medium

critical

critical

high

high

high

high

high

critical

medium

critical

critical

critical

critical

high

high

critical

medium

high

high

medium

high

critical

high

high

critical

critical

high

high

critical

high

high

high

critical

critical

medium

high

high

medium

high

high

high

high