在 jruby (一種 Ruby 程式設計語言的 Java 實作) 中發現數個弱點。這些弱點可讓攻擊者利用特製的 gem 檔案來裝載跨網站指令碼攻擊、透過無限迴圈造成拒絕服務、寫入任意檔案或執行惡意程式碼。

在 memcached (一種高效能記憶體物件快取系統) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

  - CVE-2017-9951 Daniel Shapira 報告 memcached 中發生堆積型緩衝區溢位過度讀取 (因 CVE-2016-8705 不完整的修正所造成)，其由特製的新增/設定金鑰要求所觸發，可讓遠端攻擊者造成拒絕服務。

  - CVE-2018-1000115 據報告，memcached 預設會接聽 UDP。遠端攻擊者可利用此弱點，使用 memcached 服務作為 DDoS 放大器。

  Debian 中的 memcached 預設安裝不受此問題影響，因為安裝預設只會接聽 localhost。
  此更新預設會停用 UDP 通訊埠。可在 /etc/memcached.conf (cf.
  /usr/share/doc/memcached/NEWS.Debian.gz) 重新啟用 UDP 的接聽。

  - CVE-2018-1000127 在 memcached 中報告一個整數溢位，導致資源洩漏、資料損毀、鎖死或當機。

據發現，Wireshark (一種網路通訊協定分析程式) 在 PCP、ADB、NBAP、UMTS MAC、IEEE 802.11、SIGCOMP、LDSS、GSM A DTAP 和 Q.931 的解剖器中包含數個弱點，可能導致拒絕服務或任意程式碼執行。

據發現，Prosody (一種輕量型 Jabber/XMPP 伺服器) 在 XMPP 串流重新啟動期間，未正確驗證用戶端提供的參數，因此讓經驗證的使用者覆寫與其工作階段關聯的領域，進而可能會繞過安全性原則並允許模擬。

如需詳細資訊，請參閱上游公告 (https://prosody.im/security/advisory_20180531/)

Man Yue Mo、Lars Krapf 和 Pierre Ernst 發現 Batik (一種處理 SVG 影像的工具組) 未正確驗證其輸入。這可能會讓攻擊者造成拒絕服務、裝載跨網站指令碼攻擊或存取伺服器上的限制檔案。

據發現，Zookeeper (一種維護組態資訊的服務) 在伺服器嘗試加入 Zookeeper quorum 時，沒有強制驗證/授權。此更新會反向移植驗證支援。若需要其他組態步驟資訊，請參閱 https://cwiki.apache.org/confluence/display/ZOOKEEPER/Server-Server+mu tual+authentication。

在 Linux 核心中發現數個可導致拒絕服務的弱點。CVE-2018-1093 Wen Xu 報告特製的 ext4 檔案系統映像可能在 ext4_valid_block_bitmap() 函式中觸發超出邊界讀取。有權掛載任意檔案系統的本機使用者可利用此弱點造成拒絕服務。CVE-2018-1130 syzbot 軟體發現 sendmsg() 的 DCCP 實作未檢查通訊端狀態，可能導致 NULL 指標解除參照。本機使用者可利用此缺陷造成拒絕服務 (當機)。CVE-2018-8897 Everdox Tech LLC 的 Nick Peterson 發現被 MOV SS 或 POP 延遲的 #DB 例外狀況未正確處理，導致無權限的使用者損毀核心並造成拒絕服務。CVE-2018-10940 Dan Carpenter 報告 cdrom 驅動程式未正確驗證 CDROM_MEDIA_CHANGED ioctl 的參數。具有 cdrom 裝置存取權的使用者可利用此弱點造成拒絕服務 (當機)。針對 Debian 7「Wheezy」，這些問題已在 3.2.102-1 版本中修正。此版本也包含上游版本 3.2.102 的錯誤修正，包含版本 3.2.101 中 SCTP 實作的迴歸修正。建議您升級 linux 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libtiff 程式庫和內含的工具中發現多個弱點，可能導致拒絕服務：CVE-2017-11613 在 TIFFOpen 函式中發現一個拒絕服務弱點。特製的輸入可能導致拒絕服務攻擊，並可能造成致系統當機或觸發 OOM 終止程式。CVE-2018-5784 src/libtiff/tif_dir.c 的 TIFFSetDirectory 函式中發生一個不受控制的資源耗用，可能透過特製 tif 檔案導致拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 4.0.2-6+deb7u21 版本中修正。建議您升級 tiff 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Qualys Research 實驗室在 procps (一組命令列，以及用於瀏覽 procfs 的全螢幕公用程式) 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：CVE-2018-1122 如果未設定 $HOME，top 會先從目前的工作目錄讀取組態。如果攻擊者從可寫入的目錄啟動 top (例如 /tmp)，可能會導致本機權限提升。CVE-2018-1123 其他使用者的 ps 叫用拒絕服務。CVE-2018-1124 libprocps 的 file2strvec() 函式中發生一個整數溢位，可能導致本機權限提升。CVE-2018-1125 pgrep 中的堆疊型緩衝區溢位可能導致使用 pgrep 來檢查特製處理程序的使用者發生拒絕服務。CVE-2018-1126 在 wrappers 中為標準 C 配置器使用不正確的整數大小參數可造成整數截斷，進而導致整數溢位問題。針對 Debian 7「Wheezy」，這些問題已在 1:3.3.3-3+deb7u1 版本中修正。建議您升級 procps 套件。Debian LTS 團隊感謝 Abhijith PA 協助準備此更新。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache HTTPD 伺服器中發現數個弱點：CVE-2017-15710 Alex Nichols 和 Jakob Hirsch 報告如果使用 AuthLDAPCharsetConfig 設定 mod_authnz_ldap，若提供特製的 Accept-Language 標頭，可能導致超出邊界寫入。此問題可能會被用來引發拒絕服務攻擊。CVE-2018-1301 Robert Swiecki 報告特製的要求可能會損毀 Apache HTTP Server，這是因為在讀取 HTTP 標頭達到大小限制後造成超出邊界存取所致。CVE-2018-1312 Nicolas Daniels 發現在產生 HTTP 摘要驗證挑戰時，mod_auth_digest 未使用虛擬亂數種子正確產生為防止回覆攻擊而傳送的 nonce。在使用一般摘要驗證組態的伺服器叢集中，攻擊者可以在伺服器上重播 HTTP 要求，而不會被偵測到。針對 Debian 7「Wheezy」，這些問題已在 2.2.22-13+deb7u13 版本中修正。我們建議您升級 apache2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬器 qemu 中發現數個弱點。- CVE-2017-15038 Tuomas Tynkkynen 發現 9pfs 中一個資訊洩漏問題。- CVE-2017-15119 Eric Blake 發現 NBD 伺服器未充分限制大型選項要求，導致拒絕服務。- CVE-2017-15124 Daniel Berrange 發現整合的 VNC 伺服器未充分限制記憶體配置，可能導致拒絕服務。- CVE-2017-15268 websockets 支援中的記憶體洩漏可能導致拒絕服務。- CVE-2017-15289 Guoxiang Niu 發現 OOB 寫入模擬 Cirrus 圖形介面卡可能導致拒絕服務。- CVE-2017-16845 Cyrille Chatras 發現 PS/2 滑鼠和鍵盤模擬中發生資訊洩漏，可能在執行個體移轉期間遭到惡意利用。- CVE-2017-17381 Dengzhan Heyuandong Bijunhua 和 Liweichao 發現 virtio vring 實作中的實作錯誤可能導致拒絕服務。- CVE-2017-18043 Eric Blake 發現內部使用的巨集中發生一個整數溢位，可能導致拒絕服務。- CVE-2018-5683 Jiang Xin 和 Lin ZheCheng 發現模擬 VGA 介面卡中發生一個 OOB 記憶體存取，可能導致拒絕服務。- CVE-2018-7550 Cyrille Chatras 發現使用多重開機時發生一個 OOB 記憶體寫入，可能導致任意程式碼執行。此更新也會針對影響新式 CPU 的 Spectre v2 弱點反向移植多個緩解措施 (CVE-2017-5715)。如需其他資訊，請參閱 https://www.qemu.org/2018/01/04/spectre/

Etienne Stalmans 發現 git (一種快速、可擴充的分散式修訂版控制系統) 容易透過 .gitmodules 檔案中特製的子模組名稱，遭到任意程式碼執行弱點利用。

Gabriel Corona 發現 xdg-utils (一組用於電腦環境整合的工具) 容易受引數插入攻擊。
如果受害者主機上的環境變數 BROWSER 有 '%s’，且受害者開啟了攻擊者使用 xdg-open 特製的連結，則當開啟瀏覽器時，惡意者可能會操控瀏覽器使用的參數。例如，此操控可能會設定一個 proxy，以攔截該特定執行的網路流量。

已解決可能導致不同解剖器損毀的數個問題。其他問題與記憶體洩漏或堆積型緩衝區溢位相關。所有問題有可能是因特製和格式錯誤的封包所導致。針對 Debian 7「Wheezy」，這些問題已在 1.12.1+g01b65bf-4+deb8u6~deb7u11 版本中修正。建議您升級 wireshark 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-18248 據發現，當啟用 D-Bus 支援時 (在 Debian 案例中)，使用無效的使用者名稱提交列印工作，CUPS 伺服器可能會損毀。針對 Debian 7「Wheezy」，這些問題已在 1.5.3-5+deb7u8 版本中修正。建議您升級 cups 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Ming 中發現多個弱點：CVE-2018-7866 newVar3 函式中發生 NULL 指標解除參照 (util/decompile.c)。遠端攻擊者可利用此弱點，透過特製的 swf 檔案造成拒絕服務。CVE-2018-7873 getString 函式中發生堆積型緩衝區溢位弱點 (util/decompile.c)。遠端攻擊者可利用此弱點，透過特製的 swf 檔案造成拒絕服務。CVE-2018-7876 parseSWF_ACTIONRECORD 函式中發生整數溢位並造成記憶體耗用 (util/parser.c)。遠端攻擊者可利用此弱點，透過特製的 swf 檔案造成拒絕服務。CVE-2018-9009 util/decompiler.c 中發生多個堆積型緩衝區溢位弱點。遠端攻擊者可利用此弱點，透過特製的 swf 檔案造成拒絕服務。CVE-2018-9132 getInt 函式中發生 NULL 指標解除參照 (util/decompile.c)。遠端攻擊者可利用此弱點，透過特製的 swf 檔案造成拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 1:0.4.4-1.1+deb7u9 版本中修正。建議您升級 ming 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Man Yue Mo 在 Apache Batik (一種 SVG 影像庫) 中發現一個安全性弱點。當解除序列化 AbstractDocument 的子類別時，在呼叫 newInstance 前遺漏檢查類別類型可能導致資訊洩漏。針對 Debian 7「Wheezy」，這些問題已在 1.7+dfsg-3+deb7u3 版本中修正。建議您升級 batik 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，xdg-utils 中的 open_envvar 函式未在啟動 BROWSER 環境變數指定的程式前驗證字串，這可能會讓遠端攻擊者透過特製的 URL 發動 argument-injection 攻擊。針對 Debian 7「Wheezy」，這些問題已在 1.1.0~rc1+git20111210-6+deb7u4 版本中修正。建議您升級 xdg-utils 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Xen hypervisor 中發現多個弱點，會造成拒絕服務、資訊洩漏或權限提升。針對 Debian 7「Wheezy」，這些問題已在 4.1.6.lts1-14 版本中修正。建議您升級 xen 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能導致執行任意程式碼、拒絕服務或攻擊加密的電子郵件。針對 Debian 7「Wheezy」，這些問題已在 1:52.8.0-1~deb7u1 版本中修正。建議您升級 thunderbird 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新為使用 x86 型微處理器的 Spectre v4 變體提供緩解方法。在 Intel CPU 上，這需要目前尚未公開發行的更新微碼 (但您的硬體廠商可能已發布更新)。使用 AMD CPU 的伺服器則不需要更新微碼，請參閱 https://xenbits.xen.org/xsa/advisory-263.html 以取得進一步資訊。

在 Thunderbird 中發現多個安全性問題，可能導致執行任意程式碼、拒絕服務或攻擊加密的電子郵件。

在 ImageMagick (一種影像操控程式) 中發現數個安全性弱點，可讓遠端攻擊者透過 CPU 耗用 (無限迴圈) 或堆積型緩衝區溢位過度讀取特製的影像檔案，導致拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 8:6.7.7.10-5+deb7u22 版中修正。建議您升級 imagemagick 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Qualys Research 實驗室在 procps (一組命令列，以及用於瀏覽 procfs 的全螢幕公用程式) 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：- CVE-2018-1122 如果未設定 $HOME，top 會先從目前的工作目錄讀取組態。如果攻擊者從可寫入的目錄啟動 top (例如 /tmp)，可能會導致本機權限提升。- CVE-2018-1123 其他使用者的 ps 叫用拒絕服務。- CVE-2018-1124 libprocps 的 file2strvec() 函式中發生一個整數溢位，可能導致本機權限提升。- CVE-2018-1125 pgrep 中的堆疊型緩衝區溢位可能導致使用 pgrep 來檢查特製處理程序的使用者發生拒絕服務。- CVE-2018-1126 在 wrappers 中為標準 C 配置器使用不正確的整數大小參數可造成整數截斷，進而導致整數溢位問題。

Matthias Gerstner 發現 PackageKit (一種適用於簡單軟體管理工作的 Dbus 抽象層) 包含一個驗證繞過缺陷，可讓無權限的使用者安裝本機套件。

在程式碼協作軟體平台 Gitlab 中發現數個弱點：- CVE-2017-0920 據發現，缺少合併要求的驗證可讓使用者看到私人專案的名稱，進而導致資訊洩漏。- CVE-2018-8971 據發現，Auth0 整合不正確實作。

此更新可修正圖形軟體套件 imagemagick 中數個弱點。多個記憶體處理問題或未完成的輸入清理問題可能導致拒絕服務或記憶體洩漏。

在 MPEG 音訊解碼器程式庫 MAD 中發現數個弱點，如果處理格式錯誤的音訊檔案，可能會導致拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 0.15.1b-7+deb7u1 版本中修正。建議您升級 libmad 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Hans Jerry Illikainen 在 VLC 媒體播放器的 MP4 demuxer 中發現一個類型轉換弱點，如果播放格式錯誤的媒體檔案可能導致任意程式碼執行。此更新會將 stretch 中的 VLC 升級為新的 3.x 版本系列 (因為安全性修正無法明智地反向移植為 2.x 系列)。此外，必須重新建置兩個套件，以確保與 VLC 3 的相容性；phonon-backend-vlc (0.9.0-2+deb9u1) 和 goldencheetah (4.0.0~DEV1607-2+deb9u1)。jessie 中的 VLC 無法移轉至版本 3，因為不相容的程式庫變更具有反向相依性，因此現在宣告 jessie 產品生命週期結束。建議您升級為 stretch，如果無法升級請選擇不同的媒體播放器。

OSS-fuzz 經 Max Dymond 協助發現 cURL (一種 URL 傳輸程式庫) 在剖析 RTSP 回應中的無效標頭時，可能被誘騙讀取超出堆積緩衝區結尾的資料。

據發現，在 curl (一個透過 HTTP 下載 (eg.) 資料的命令列工具) 中發現一個問題。curl 可能會被誘騙讀取超出堆積型緩衝區溢位 (用於儲存下載的內容) 結尾的資料。如需詳細資訊，請參閱上游公告：https://curl.haxx.se/docs/adv_2018-b138.html。針對 Debian 7「Wheezy」，此問題已在 curl 版本 7.26.0-1+wheezy25+deb7u1 中修正。建議您升級 curl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Xen hypervisor 中發現多個弱點：- CVE-2018-8897 Andy Lutomirski 和 Nick Peterson 發現不正確處理偵錯例外狀況可能導致權限提升。- CVE-2018-10471 在 Meltdown 的緩解措施中發現一個錯誤，可能導致拒絕服務。- CVE-2018-10472 Anthony Perard 發現不正確剖析 CDROM 映像可能導致資訊洩漏。- CVE-2018-10981 Jan Beulich 發現格式錯誤的裝置模組可能導致拒絕服務。- CVE-2018-10982 Roger Pau Monne 發現不正確處理高精準度事件計時器可能導致拒絕服務，並可能導致權限提升。

Fabian Vogt 發現不正確處理 KDE Wallet 的 PAM 模組的權限可讓無權限的本機使用者取得任意檔案的擁有權。

在 Mozilla Firefox 網頁瀏覽器中發現數個安全性問題：存在多個記憶體安全錯誤及其他實作錯誤，可能會導致執行任意程式碼或拒絕服務。

在 tif_lzw.c 的 LZWDecodeCompat 函式中發現堆積型緩衝區溢位 (LibTIFF 4.0.9 及更早版本)。遠端攻擊者可利用此弱點透過特製的 TIFF LZW 檔案損毀用戶端。針對 Debian 7「Wheezy」，這些問題已在 3.9.6-11+deb7u11 版本中修正。我們建議您升級 tiff3 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 tif_lzw.c 的 LZWDecodeCompat 函式中發現堆積型緩衝區溢位 (LibTIFF 4.0.9 及更早版本)。遠端攻擊者可利用此弱點透過特製的 TIFF LZW 檔案損毀用戶端。針對 Debian 7「Wheezy」，這些問題已在 4.0.2-6+deb7u20 版本中修正。建議您升級 tiff 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現數個安全性問題：存在多個記憶體安全錯誤及其他實作錯誤，可能會導致執行任意程式碼或拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 52.8.0esr-1~deb7u1 版本中修正。建議您升級 firefox-esr 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Harry Sintonen 發現輸入驗證不足造成 wget 中發生一個 Cookie 插入弱點，可讓外部攻擊者插入任意 cookie 值 cookie jar 檔案、新增或取代現有的 cookie 值。針對 Debian 7「Wheezy」，這些問題已在 1.13.4-3+deb7u6 版本中修正。建議您升級 wget 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

經驗證的遠端攻擊者會透過執行格式錯誤的 SQL 陳述式，在 Firebird SQL Server 版本 2.5.7 和 3.0.2 中執行任意程式碼。唯一已知的解決方案是停止載入外部 UDF 程式庫。為了達到此目的，預設的組態已變更為 UdfAccess=None。這會防止 fbudf 模組載入，但也可能會損壞依賴模組的其他功能。針對 Debian 7「Wheezy」，這些問題已在 2.5.2.26540.ds4-1~deb7u4 版本中修正。我們建議您升級 firebird2.5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Albert Dengg 發現錯誤解析 Prosody Jabber/XMPP 伺服器中的 <stream:error> 訊息可能導致拒絕服務。舊的穩定發行版本 (jessie) 未受影響。

在 wavpack 音訊轉碼器中發現多個弱點，如果處理格式錯誤的媒體檔案，可能導致拒絕服務或執行任意程式碼。

舊的穩定發行版本 (jessie) 未受影響。

在 Linux 核心中發現數個弱點，可能導致權限提升或拒絕服務。- CVE-2018-1087 Andy Lutomirski 發現，因 MOV SS/POP SS 延遲，KVM 實作未正確處理 #DB 例外狀況，讓無權限的 KVM 來賓使用者損毀來賓，或可能提升其權限。- CVE-2018-8897 Everdox Tech LLC 的 Nick Peterson 發現被 MOV SS 或 POP 延遲的 #DB 例外狀況未正確處理，導致無權限的使用者損毀核心並造成拒絕服務。

在廣為使用的開放來源一般用途指令碼語言 PHP (PHP 的遞迴縮寫：超文字前置處理器) 中，發現數個問題，PHP 語言特別適合用於 web 開發，可以嵌入 HTML 之中。CVE-2018-10545 可傾印 FPM 子處理程序允許繞過 opcache 存取控制權限，因為 fpm_unix.c 會進行 PR_SET_DUMPABLE prctl 呼叫，讓一名使用者 (多使用者環境中) 透過在 PHP-FPM 工作者處理程序的 PID 上執行 gcore，從第二使用者 PHP 應用程式的處理程序記憶體中取得敏感資訊。CVE-2018-10547 在 PHAR 403 和 404 錯誤頁面上，透過 .phar 檔案的要求資料，發生反映式 XSS。注意： 此弱點之所以存在，是因為 CVE-2018-5712 的修正不完整。CVE-2018-10548 ext/ldap/ldap.c 因為未正確處理 ldap_get_dn 傳回值，允許遠端 LDAP 伺服器造成拒絕服務 (NULL 指標解除參照和應用程式損毀)。針對 Debian 7「Wheezy」，這些問題已在 5.4.45-0+deb7u14 版本中修正。我們建議您升級 php5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Harry Sintonen 發現擷取 web 檔案的網路公用程式 wget 在剖析 Set-Cookie HTTP 標頭時，未正確處理連續行中的「\r\n」。惡意的網頁伺服器可利用此缺陷，在 cookie jar 檔案中插入任意 cookie，加入新的或替換原有的 cookie 值。

在 Lucene 型搜尋伺服器 Solr 的 DataImportHandler 中發現一個 XML 外部實體擴充弱點，會造成資訊洩漏。

在 web 部落格工具 wordpress 中發現數個弱點，遠端攻擊者可透過跨網站指令碼攻擊、繞過限制或不安全的重新導向，藉此入侵網站。如需詳細資訊，請參閱上游公告：https://wordpress.org/news/2018/04/wordpress-4-9-5-security-and-mainte nance-release/

在 MPEG 音訊解碼器程式庫 MAD 中發現數個弱點，如果處理格式錯誤的音訊檔案，可能會導致拒絕服務。

此更新包含 tzdata 2018e 中針對 Perl 繫結所做的變更。如需變更清單，請參閱 DLA-1371-1。針對 Debian 7「Wheezy」，這些問題已在 1:1.58-1+2018e 版本中修正。建議您升級 libdatetime-time zone-perl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新包含 tzdata 2018e 中的變更。顯著的變更如下：- 北韓在 2018 年 5 月 05 日恢復成 +09 時間。針對 Debian 7「Wheezy」，這些問題已在 2018e-0+deb7u1 版本中修正。建議您升級 tzdata 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 Quassel IRC 用戶端容易出現遠端程式碼執行弱點，這是因為還原序列化程式碼的檢查不足所致。針對 Debian 7「Wheezy」，這些問題已在 0.8.0-1+deb7u4 版本中修正。建議您升級 quassel 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	嚴重性
110418	Debian DSA-4219-1：jruby - 安全性更新	critical
110386	Debian DSA-4218-1：memcached - 安全性更新	high
110318	Debian DSA-4217-1：wireshark - 安全性更新	high
110317	Debian DSA-4216-1：prosody - 安全性更新	high
110316	Debian DSA-4215-1：batik - 安全性更新	critical
110315	Debian DSA-4214-1：zookeeper - 安全性更新	high
110314	Debian DLA-1392-1：linux 安全性更新	high
110313	Debian DLA-1391-1：tiff 安全性更新	medium
110312	Debian DLA-1390-1：procps 安全性更新	critical
110250	Debian DLA-1389-1：apache2 安全性更新	critical
110208	Debian DSA-4213-1：qemu - 安全性更新 (Spectre)	critical
110207	Debian DSA-4212-1：git - 安全性更新	high
110165	Debian DSA-4211-1：xdg-utils - 安全性更新	high
110164	Debian DLA-1388-1：wireshark 安全性更新	high
110163	Debian DLA-1387-1：cups 安全性更新	medium
110162	Debian DLA-1386-1：ming 安全性更新	high
110161	Debian DLA-1385-1：batik 安全性更新	critical
110160	Debian DLA-1384-1：xdg-utils 安全性更新	high
110159	Debian DLA-1383-1：xen 安全性更新	high
110158	Debian DLA-1382-1：thunderbird 安全性更新	critical
110102	Debian DSA-4210-1：xen - 安全性更新 (Spectre)	medium
110101	Debian DSA-4209-1：thunderbird - 安全性更新	critical
110055	Debian DLA-1381-1：imagemagick 安全性更新	medium
109969	Debian DSA-4208-1：procps - 安全性更新	critical
109968	Debian DSA-4207-1：packagekit - 安全性更新	medium
109967	Debian DSA-4206-1：gitlab - 安全性更新	critical
109925	Debian DSA-4204-1：imagemagick - 安全性更新	high
109924	Debian DLA-1380-1：libmad 安全性更新	high
109902	Debian DSA-4203-1：vlc - 安全性更新	high
109901	Debian DSA-4202-1：curl - 安全性更新	critical
109872	Debian DLA-1379-1：curl 安全性更新	critical
109816	Debian DSA-4201-1：xen - 安全性更新	high
109802	Debia DSA-4200-1：kwallet-pam - 安全性更新	high
109739	Debian DSA-4199-1：firefox-esr - 安全性更新	critical
109738	Debian DLA-1378-1：tiff3 安全性更新	high
109737	Debian DLA-1377-1：tiff 安全性更新	high
109736	Debian DLA-1376-1：firefox-esr 安全性更新	critical
109735	Debian DLA-1375-1：wget 安全性更新	medium
109734	Debian DLA-1374-1：firebird2.5 安全性更新	high
109660	Debian DSA-4198-1：prosody - 安全性更新	high
109659	Debian DSA-4197-1：wavpack - 安全性更新	high
109658	Debian DSA-4196-1：linux - 安全性更新	high
109657	Debian DLA-1373-1：php5 安全性更新	medium
109624	Debian DSA-4195-1：wget - 安全性更新	medium
109589	Debian DSA-4194-1：lucene-solr - 安全性更新	high
109588	Debian DSA-4193-1：wordpress - 安全性更新	medium
109587	Debian DSA-4192-1：libmad - 安全性更新	high
109586	Debian DLA-1372-1：libdatetime-timezone-perl 新上游版本	high
109585	Debian DLA-1371-1：tzdata 新上游版本	high
109584	Debian DLA-1370-1：quassel 安全性更新	critical

偵測

Nessus 的 Debian Local Security Checks 系列

critical

high

high

high

critical

high

high

medium

critical

critical

critical

high

high

high

medium

high

critical

high

high

critical

medium

critical

medium

critical

medium

critical

high

high

high

critical

critical

high

high

critical

high

high

critical

medium

high

high

high

high

medium

medium

high

medium

high

high

high

critical