在 LXDE 桌面環境的終端模擬器 lxterminal 中發現一個本機拒絕服務弱點。此問題是因為使用不安全的暫存檔作為通訊端檔案所致。針對 Debian 7「Wheezy」，此問題已於 lxterminal 0.1.11-4+deb7u1 版本中修正。建議您升級 lxterminal 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jan Beulich 和 Jann Horn 發現 Xen hypervisor 有多個弱點，可能會導致權限提升、客戶機至主機爆發、拒絕服務或資訊洩漏。除了前述 CVE 識別碼，此更新亦解決了宣佈的 XSA-213、XSA-214 和 XSA-215 弱點。

在用來解碼 application/ms-tnef e-mail 附件的程式庫 libytnef 中發現數個問題。存在多個堆積溢位、超出邊界寫入和讀取、NULL 指標解除參照和無限迴圈，這些問題可遭到惡意利用，藉此誘騙使用者開啟惡意的特製 winmail.dat 檔案。

Radicale 1.1.2 之前版本和 2.0.0rc2 之前的 2.x 版在使用 htpasswd 驗證方法時，容易發生計時 oracle 和簡易密碼暴力破解攻擊。針對 Debian 7「Wheezy」，這些問題已在 0.7-1.1+deb7u2 版本中修正。建議您升級 radicale 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guido Vranken 在 rpcbind 和其他程式使用的傳輸獨立 RPC 程式庫 libtirpc 中發現記憶體管理錯誤，可能會導致透過記憶體耗盡 (依記憶體管理設定而定) 造成拒絕服務問題。

經驗證的使用者可利用 Roundcube Webmail 重設任意密碼。此問題是因為對密碼外掛程式 virtualmin 和 sasl 驅動程式中的 exec 呼叫的限制不當所致。針對 Debian 7「Wheezy」，這些問題已在 0.7.2-9+deb7u7 版本中修正。建議您升級 roundcube 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 GPL PostScript/PDF 解譯器 Ghostscript 中發現一個弱點，如果處理特製的 Postscript 檔案，可能會導致執行任意程式碼或拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 9.05~dfsg-6.3+deb7u6 版本中修正。建議您升級 ghostscript 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現格式錯誤的字型可能會引發拒絕服務或執行任意程式碼。針對 Debian 7「Wheezy」，這些問題已在 2.4.9-1.1+deb7u7 版本中修正。建議您升級 freetype 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libtiff 程式庫和內附工具中發現多個弱點，可能會造成拒絕服務、記憶體暴露或執行任意程式碼。

在 servlet 和 JSP 引擎 tomcat8 中發現兩個弱點。- CVE-2017-5647 管線化要求處理錯誤，會造成看似對錯誤的要求傳送回應。- CVE-2017-5648 有些應用程式接聽程式呼叫針對錯誤的物件發送，導致在 SecurityManager 下執行的不受信任應用程式可繞過該保護機制，進而存取或修改與其他 web 應用程式相關的資訊。

在 servlet 和 JSP 引擎 tomcat7 中發現兩個弱點。- CVE-2017-5647 管線化要求處理錯誤，會造成看似對錯誤的要求傳送回應。- CVE-2017-5648 有些應用程式接聽程式呼叫針對錯誤的物件發送，導致在 SecurityManager 下執行的不受信任應用程式可繞過該保護機制，進而存取或修改與其他 web 應用程式相關的資訊。

發現進行物件與 XML 序列化與反序列化的 Java 程式庫 XStream，容易在解除封送時受到拒絕服務擊。

Thijs Alkemade 發現 MySQL Connector/J JDBC 驅動程式中出現非預期的自動還原序列化 Java 物件，可能會導致執行任意程式碼。如需其他詳細資訊，請參閱 https://www.computest.nl/advisories/CT-2017-0425_MySQL-Connector-J.txt 公告

在進行物件與 XML 序列化與反序列化的 Java 程式庫 libxstream-java 中，發現一個遠端應用程式損毀弱點。此問題是因為不當處理嘗試在解除封送時建立原始類型的個體所致。針對 Debian 7「Wheezy」，此問題已在 libxstream-java 1.4.2-1+deb7u2 版本中修正。建議您升級 libxstream-java 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Freetype 中發現數個弱點。開啟格式錯誤的字型時，可能會引發拒絕服務或任意程式碼執行。

在 GPL PostScript/PDF 解譯器 Ghostscript 中發現數個弱點，如果處理特製的 Postscript 檔案，可能會導致執行任意程式碼或拒絕服務。

在操控 PDF 檔案的程式庫 libpodofo 中發現數個堆積型緩衝區溢位、整數溢位和 NULL 指標解除參照，遠端攻擊者可藉此透過特製的 PDF 文件，造成拒絕服務 (應用程式損毀) 或其他不明影響。針對 Debian 7「Wheezy」，這些問題已在 0.9.0-1.1+deb7u1 版本中修正。建議您升級 libpodofo 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在受歡迎的讀取/寫入音訊檔程式庫 libsndfile 中發現多個弱點。CVE-2017-7585 在 libsndfile 1.0.28 之前的版本中，「flac_buffer_copy()」函式 (flac.c) 的錯誤可能會遭到惡意利用，透過特製的 FLAC 檔案造成堆疊型緩衝區溢位。CVE-2017-7586 在 libsndfile 1.0.28 之前的版本中，「header_read()」函式 (common.c) 處理 ID3 標籤的錯誤可能會遭到惡意利用，透過特製的 FLAC 檔案造成堆疊型緩衝區溢位。CVE-2017-7741 在 libsndfile 1.0.28 之前的版本中，「flac_buffer_copy()」函式 (flac.c) 的錯誤可能會遭到惡意利用，透過特製的 FLAC 檔案，造成在嘗試重新採樣時發生分割違規 (利用寫入記憶體存取)，此問題與 CVE-2017-7585 類似。CVE-2017-7742 在 libsndfile 1.0.28 之前的版本中，「flac_buffer_copy()」函式 (flac.c) 的錯誤可能會遭到惡意利用，透過特製的 FLAC 檔案，造成在嘗試重新採樣時發生分割違規 (利用讀取記憶體存取)，此問題與 CVE-2017-7585 類似。CVE-2014-9496 攻擊者可利用 libsndfile 中 sd2.c 的 sd2_parse_rsrc_fork 函式，透過與 (1) 對應位移或 (2) rsrc 標記相關的向量觸發超出邊界讀取，造成不明影響。CVE-2014-9756 攻擊者可利用 libsndfile 中 file_io.c 的 psf_fwrite 函式，透過與 headindex 變數相關的不明向量，造成拒絕服務 (除以零錯誤和應用程式損毀)。CVE-2015-7805 遠端攻擊者可利用 libsndfile 1.0.25 中的堆積型緩衝區溢位，透過 AIFF 檔案標頭中的 headindex 值，造成不明影響。針對 Debian 7「Wheezy」，這些問題已在 1.0.25-9.1+deb7u1 版本中修正。建議您升級 libsndfile 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache FOP 2.2 之前的版本中，位於使用 FOP 之伺服器檔案系統上的檔案，會洩漏給傳送帶有惡意格式之 SVG 檔案的任意使用者。暴露的檔案類型取決於執行可遭惡意利用之應用程式的使用者內容而定。如果使用者的身分是 root，可能會危及伺服器所有資料的安全，包括機密或敏感檔案。XXE 亦可用來透過拒絕服務的方式，藉由 xml 文件中的參照屢屢觸發放大攻擊，藉此攻擊伺服器的可用性。針對 Debian 7「Wheezy」，這些問題已在 1:1.0.dfsg2-6+deb7u1 版本中修正。建議您升級 fop 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache Batik 1.9 之前版本中，位於使用 batik 之伺服器檔案系統上的檔案，會洩漏給傳送帶有惡意格式之 SVG 檔案的任意使用者。暴露的檔案類型取決於執行可遭惡意利用之應用程式的使用者內容而定。如果使用者的身分是 root，可能會危及伺服器所有資料的安全，包括機密或敏感檔案。XXE 亦可用來透過拒絕服務的方式，藉由 xml 文件中的參照屢屢觸發放大攻擊，藉此攻擊伺服器的可用性。針對 Debian 7「Wheezy」，這些問題已在 1.7+dfsg-3+deb7u2 版本中修正。建議您升級 batik 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在與 figaro 密碼管理員檔案格式相容的密碼管理員 kedpm 中，發現一個資訊洩漏弱點。如果在命令行中提供歷程記錄檔，該檔案會揭露主要密碼。歷程記錄檔中亦會暴露在密碼管理員中建立或讀取的項目名稱。針對 Debian 7「Wheezy」，主要密碼洩漏問題已在 0.5.0-4+deb7u1 版本中修正。尚未修正項目問題，因為必須重組軟體架構。建議您升級 kedpm 套件。請注意，即將發行的 Debian 版本 (「stretch」) 已移除 kedpm，請您移轉至其他密碼管理員，因為已廢除使用 kedpm。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

宣佈為 DLA-924-1 的安全性更新在 Tomcat 的 APR 通訊協定中引發迴歸，此迴歸問題是 CVE-2017-5647 的修正造成的，且會導致 sendfile 要求無法成功。針對 Debian 7「Wheezy」，這些問題已在 7.0.28-4+deb7u13 版本中修正。我們建議您升級 tomcat7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現備份分割區的公用程式 partclone 容易發生堆積型緩衝區溢位弱點，這是因為對 partclone 影像標頭驗證不足所致。遠端攻擊者可藉此透過特製的分割區影像，在執行受影響應用程式的使用者內容中造成「拒絕服務」攻擊。針對 Debian 7「Wheezy」，這些問題已在 0.2.48-1+deb7u1 版本中修正。建議您升級 partclone 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Linux 核心中發現數個弱點，這些弱點可能會導致權限提升、拒絕服務或造成其他影響。CVE-2016-2188 OpenSource Security 的 Ralf Spenneberg 報告 iowarrior 裝置驅動程式並未充分驗證 USB 描述元。這允許具有特別設計之 USB 裝置的實際存在使用者造成拒絕服務 (損毀)。CVE-2016-9604 發現處理程序可藉由 keyring 子系統，設定特殊的內部 keyring 作為其工作階段 keyring。目前尚未確定此版本核心是否會造成安全性影響。CVE-2016-10200 Baozeng Ding 和 Andrey Konovalov 報告 L2TP 實作中存在爭用情形，此問題可能會損毀限制通訊端表格。本機使用者可利用此問題，造成拒絕服務 (當機) 或可能提升權限。CVE-2017-2647 / CVE-2017-6951 idl3r 報告處理程序可利用 keyring 子系統搜尋「dead」金鑰，藉此造成 NULL 指標解除參照。本機使用者可利用此缺陷造成拒絕服務 (當機)。CVE-2017-2671 Daniel Jiang 在 ping 通訊端實作中發現爭用情形。可存取 ping 通訊端的本機使用者可利用此錯誤造成拒絕服務 (當機)，或可能造成權限提升。依預設，任何使用者均無法存取此功能。CVE-2017-5967 Xing Gao 報告 /proc/timer_list 檔案並未顧慮 PID 名稱空間因素，呈現出所有處理程序的資訊。如果有權限的使用者啟用計時器除錯，此問題會將資訊洩漏給 PID 名稱空間中包含的處理程序。CVE-2017-5970 Andrey Konovalov 發現 IPv4 網路程式碼中存在一個拒絕服務缺陷。如果本機 UDP 或原始通訊端有啟用 IP_RETOPTS 選項，本機或遠端的攻擊者皆可觸發此缺陷。CVE-2017-7184 Chaitin Security Research Lab 發現 net xfrm 子系統未充分驗證重播狀態參數，導致引發堆積緩衝區溢位。具備 CAP_NET_ADMIN 能力的本機使用者可利用此缺陷執行權限提升。CVE-2017-7261 Vladis Dronov 和 Murray McAllister 報告 vmwgfx 驅動程式未充分驗證彩現表面參數。在 Vmware 客戶機中，本機使用者可利用此缺陷造成拒絕服務 (當機)。CVE-2017-7273 Benoit Camredon 報告 hid-cypress 驅動程式未充分驗證 HID 報告。具有特別設計之 USB 裝置的實際存在使用者，可能會利用此問題造成拒絕服務 (當機)。CVE-2017-7294 Li Qiang 報告 vmwgfx 驅動程式未充分驗證彩現表面參數。在 Vmware 客戶機中，本機使用者可利用此缺陷造成拒絕服務 (當機)，或可能執行權限提升。CVE-2017-7308 Andrey Konovalov 報告封包通訊端 (AF_PACKET) 實作未充分驗證緩衝區參數。具備 CAP_NET_RAW 能力的本機使用者可利用此缺陷執行權限提升。CVE-2017-7472 Eric Biggers 報告執行緒可利用 keyring 子系統反覆建立新的執行緒 keyring，造成記憶體洩漏問題。本機使用者可利用此缺陷造成拒絕服務 (記憶體耗盡)。CVE-2017-7616 Chris Salls 報告 set_mempolicy() 和 mbind() 函式的 32 位元 big-endian 相容性實作中存在資訊洩漏。此問題不會影響 Debian 7 LTS 中支援的任何架構。CVE-2017-7618 Sabrina Dubroca 報告密碼編譯雜湊子系統未正確處理提交未對齊的資料給忙碌裝置，會造成無限遞迴。在某些系統上，本機使用者可利用此缺陷造成拒絕服務 (當機)。針對 Debian 7「Wheezy」，這些問題已在 3.2.88-1 版本中修正。此版本亦包括上游版本 3.2.88 的錯誤修正，也修正了 keyring、封包通訊端和密碼編譯雜湊子系統中某些沒有 CVE ID 的舊安全性問題。針對 Debian 8「Jessie」，這些問題絕大多數已在 3.16.43-1 版本中修正，其內含在即將發行的下一個重點版本中。建議您升級 linux 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 Windows 中繼檔的處理方式存在一個緩衝區溢位弱點，若開啟格式錯誤的文件，可能會導致拒絕服務或執行任意程式碼。

發現 weechat (快速且輕量的聊天用戶端) 的 IRC 外掛程式中容易發生緩衝區溢位弱點，遠端攻擊者可藉由透過 DCC 傳送特製檔名，造成拒絕服務問題。

此弱點造成可在執行工作的節點上覆寫任意檔案，但使用者必須執行觸發 Prolog 指令碼失敗的工作，才能成功發動此弱點攻擊。針對 Debian 7「Wheezy」，這些問題已在 2.3.4-2+deb7u1 版本中修正。建議您升級 slurm-llnl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在高階 Python Web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：- CVE-2016-9013 Marti Raudsepp 報告進行 Oracle 資料庫測試期間，會建立具有硬式編碼密碼的使用者。- CVE-2016-9014 Aymeric Augustin 發現啟用除錯設定時，Django 未針對 settings.ALLOWED_HOSTS 正確驗證 Host 標頭。遠端攻擊者可能利用此缺陷執行 DNS 重新繫結攻擊。- CVE-2017-7233 發現 is_safe_url() 未正確處理某些被視為安全的數值 URL。遠端攻擊者可利用此缺陷執行 XSS 攻擊，或使用 Django 伺服器作為開放重新導向。- CVE-2017-7234 Chaitin Tech 的 Phithon 發現 django.views.static.serve() 檢視畫面中存在一個開放重新導向弱點。請注意，此檢視畫面並非提供正式作業時使用的畫面。

CVE-2016-9591 jas_matrix_destroy 中的 heap 存在釋放後使用錯誤 此弱點出現在負責將傳送給 JP2 影像的解碼輸出影像重新編碼的程式碼中。造成此弱點的原因在於釋放相關指標後，並未將指標設定為 null (例如釋放後缺少 Setting-Pointer-Null 運算)。此弱點可能會進一步造成雙重釋放。CVE-2016-10251 在 JasPer 1.900.20 之前的版本中，jpc_t2cod.c 中的 jpc_pi_nextcprl 函式存在整數溢位，遠端攻擊者可藉此透過特製檔案觸發使用未初始化的值，因而造成不明影響。針對前一次上傳的 TEMP-CVE 提供額外修正以避免 SIZE_MAX 造成的麻煩 針對 Debian 7「Wheezy」，這些問題已在 1.900.1-13+deb7u6 版本中修正。建議您升級 jasper 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

WeeChat 之前造成可藉由透過 DCC 傳送檔名給 IRC 外掛程式，引發遠端損毀。針對 Debian 7「Wheezy」，這些問題已在 0.3.8-1+deb7u2 版本中修正。建議您升級 weechat 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現可透過特製字型，在 freetype 中觸發堆積型緩衝區溢位所造成的超出邊界寫入。此更新亦還原了 CVE-2016-10328 的修正，因為已認定 freetype 2.4.9 不會受到該問題的影響。針對 Debian 7「Wheezy」，這些問題已在 2.4.9-1.1+deb7u6 版本中修正。建議您升級 freetype 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MySQL 資料庫伺服器中發現數個問題。已透過將 MySQL 升級至新上游版本 5.5.55 解決這些弱點，新上游版本包括額外變更，如效能改善、錯誤修正、新功能和可能不相容的變更。如需深入詳細資訊，請參閱 MySQL 5.5 版本資訊和 Oracle 的重要修補程式更新公告：- https://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5 -55.html - http://www.oracle.com/technetwork/security-advisory/cpua pr2017-3236618.html

發現 rtmpdump 和 librtmp 程式庫中有數個弱點。CVE-2015-8270 librtmp 中的 AMF3ReadString 存在一個錯誤，造成可透過讓與惡意伺服器交談的 librtmp 使用者發生應用程式損毀，藉此引發拒絕服務。CVE-2015-8271 librtmp 中的 AMF3_Decode 函式未正確驗證其輸入，會導致與惡意攻擊者交談時引發執行任意程式碼。CVE-2015-8272 rtmpsrv 存在一個錯誤，會導致與惡意用戶端交談時發生損毀。針對 Debian 7「Wheezy」，這些問題已在 2.4+20111222.git4e06e21-1+deb7u1 版本中修正。建議您升級 rtmpdump 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MySQL 資料庫伺服器中發現數個問題。已透過將 MySQL 升級至新上游版本 5.5.55 解決這些弱點，新上游版本包括額外變更，如效能改善、錯誤修正、新功能和可能不相容的變更。如需更多詳細資訊，請參閱 MySQL 5.5 版本資訊和 Oracle 的重要修補程式更新公告：https://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5-55.html http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618 .html 針對 Debian 7「Wheezy」，這些問題已在 5.5.55-0+deb7u1 版本中修正。建議您升級 mysql-5.5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

X509 DN 字串比較存在一個錯誤，會造成超出邊界讀取。此問題會造成資訊洩漏、拒絕服務，或可能產生錯誤的憑證驗證結果。針對 Debian 7「Wheezy」，這些問題已在 1.10.5-1+deb7u3 版本中修正。我們建議您升級 botan1.10 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已更正 Libav 多媒體程式庫中多個 demuxer 和解碼器的數個安全性問題。如需完整的變更清單，請前往 https://git.libav.org/?p=libav.git;a=blob;f=Changelog;hb=refs/tags/v11 .9

CVE-2017-7467 vt100.c 中存在超出邊界寫入 針對 Debian 7「Wheezy」，這些問題已在 2.6.1-1+deb7u1 版本中修正。建議您升級 minicom 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 Apache ActiveMQ 的 ActiveMQConnection 類別中存在一個遠端關機命令弱點。攻擊者可利用此缺陷造成用戶端上發生拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 5.6.0+dfsg-1+deb7u3 版本中修正。建議您升級 activemq 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 tiff3 影像庫中有多個安全性問題，遠端攻擊者可藉此透過特製影像，造成拒絕服務 (應用程式損毀)、取得處理程序記憶體中的敏感資訊，或可能有其他不明影響。針對 Debian 7「Wheezy」，這些問題已在 3.9.6-11+deb7u5 版本中修正。我們建議您升級 tiff3 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 tiff 影像庫中有多個安全性問題，遠端攻擊者可藉此透過特製影像，造成拒絕服務 (應用程式損毀)、取得處理程序記憶體中的敏感資訊，或可能有其他不明影響 針對 Debian 7「Wheezy」，這些問題已在 4.0.2-6+deb7u12 版本中修正。建議您升級 tiff 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-3157 Ben Hayak 發現 Writer 和 Calc 文件中的內嵌物件可能會造成資訊洩漏。如需其他資訊，請參閱 https://www.libreoffice.org/about-us/security/advisories/cve-2017-3157 /。CVE-2017-7870 在 Polygon 類別中發現堆積型緩衝區溢位造成的超出邊界寫入。針對 Debian 7「Wheezy」，這些問題已在 1:3.5.4+dfsg2-0+deb7u9 版本中修正。建議您升級 libreoffice 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-7960 存在可透過特製 CSS 檔案從遠端觸發的堆積型緩衝區過度讀取弱點，會造成拒絕服務問題。CVE-2017-7961 在 libcroco 中發現「超出 long 類型可顯示值的範圍」未定義行為問題，遠端攻擊者可藉此透過特製 CSS 檔案，造成拒絕服務 (應用程式損毀) 或可能有其他不明影響。針對 Debian 7「Wheezy」，這些問題已在 0.6.6-2+deb7u1 版本中修正。建議您升級 libcroco 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 CHICKEN 在配置 SRFI-4 向量時並未清理大小引數，會導致區段錯誤或是某些大小出現緩衝區溢位。針對 Debian 7「Wheezy」，這些問題已在 4.7.0-1+deb7u2 版本中修正。建議您升級 chicken 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-7228 (XSA-212) XENMEM_exchange 存在檢查不足問題，導致　PV 客戶機可藉此存取所有系統記憶體。針對 Debian 7「Wheezy」，這些問題已在 4.1.6.lts1-6 版本中修正。建議您升級 xen 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題：存在多個記憶體安全錯誤、釋放後使用、緩衝區溢位和其他實作錯誤，可能會導致執行任意程式碼、資訊洩漏或拒絕服務。針對 Debian 7「Wheezy」，這些問題已在 45.9.0esr-1~deb7u1 版本中修正。建議您升級 firefox-esr 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或資訊洩漏。此更新將 Icedove 套件品牌撤銷，替換回官方 Mozilla 品牌。移除 Debian 品牌時，套件亦隨之更名，恢復 Mozilla 使用的官方名稱。Thunderbird 套件使用的是不同的預設設定檔資料夾，現在的預設設定檔資料夾是「\$(HOME)/.thunderbird」。Icedove 中使用的使用者設定檔資料夾會在初次啟動時移轉為新的設定檔資料夾，整個過程需花多一點時間完成。有關詳細的異動資訊，請參閱 README.Debian。

ghostscript 容易受到多個問題的攻擊，會導致在處理不受信任的內容時發生拒絕服務。CVE-2016-10219 發生應用程式損毀，並透過特製內容觸發掃描轉換程式碼中的除以零錯誤。CVE-2016-10220 發生應用程式損毀，並透過特製內容觸發 gx_device_finalize() 中的區段錯誤。CVE-2017-5951 發生應用程式損毀，並透過特製內容觸發 ref_stack_index() 中的區段錯誤。針對 Debian 7「Wheezy」，這些問題已在 9.05~dfsg-6.3+deb7u5 版本中修正。建議您升級 ghostscript 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此套件提供的字典與 thunderbird 套件 (最近重新引入 Wheezy 中) 間存在非必要的無版本控制衝突。針對 Debian 7「Wheezy」，此問題已於 0.6-3.2+deb7u1 版中修正。建議您升級 uzbek-wordlist 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此套件提供的字典與 thunderbird 套件 (最近重新引入 Wheezy 中) 間存在非必要的無版本控制衝突。針對 Debian 7「Wheezy」，此問題已於 20070829-6+deb7u1 版中修正。建議您升級 hunspell-en-us 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題：存在多個記憶體安全錯誤、釋放後使用、緩衝區溢位和其他實作錯誤，可能會導致執行任意程式碼、資訊洩漏或拒絕服務。

ID	名稱	嚴重性
100107	Debian DLA-935-1：lxterminal 安全性更新	high
100071	Debian DSA-3847-1：xen - 安全性更新	high
100070	Debian DSA-3846-1：libytnef - 安全性更新	high
100069	Debian DLA-934-1：radicale 安全性更新	high
100029	Debian DSA-3845-1：libtirpc - 安全性更新	high
99999	Debian DLA-933-1：roundcube 安全性更新	high
99998	Debian DLA-932-1：ghostscript 安全性更新	high
99997	Debian DLA-931-1：freetype 安全性更新	critical
99973	Debian DSA-3844-1：tiff - 安全性更新	critical
99972	Debian DSA-3843-1：tomcat8 - 安全性更新	critical
99971	Debian DSA-3842-1：tomcat7 - 安全性更新	critical
99970	Debian DSA-3841-1：libxstream-java - 安全性更新	high
99954	Debian DSA-3840-1：mysql-connector-java - 安全性更新	high
99919	Debian DLA-930-1：libxstream-java 安全性更新	high
99742	Debian DSA-3839-1：freetype - 安全性更新	critical
99741	Debian DSA-3838-1：ghostscript - 安全性更新	high
99740	Debian DLA-929-1：libpodofo 安全性更新	critical
99739	Debian DLA-928-1：libsndfile 安全性更新	medium
99738	Debian DLA-927-1：fop 安全性更新	high
99737	Debian DLA-926-1：batik 安全性更新	high
99736	Debian DLA-925-1：kedpm 安全性更新	high
99735	Debian DLA-924-2：tomcat7 迴歸更新	high
99734	Debian DLA-923-1：partclone 安全性更新	medium
99733	Debian DLA-922-1：linux 安全性更新	high
99717	Debian DSA-3837-1：libreoffice - 安全性更新	critical
99716	Debian DSA-3836-1：weechat - 安全性更新	high
99715	Debian DLA-921-1：slurm-llnl 安全性更新	high
99695	Debian DSA-3835-1：python-django - 安全性更新	critical
99694	Debian DLA-920-1：jasper 安全性更新	high
99693	Debian DLA-919-1：weechat 安全性更新	high
99692	Debian DLA-918-1：freetype 安全性更新	critical
99675	Debian DSA-3834-1：mysql-5.5 - 安全性更新 (Riddle)	high
99674	Debian DLA-917-1：rtmpdump 安全性更新	critical
99673	Debian DLA-916-1：mysql-5.5 安全性更新 (Riddle)	high
99672	Debian DLA-915-1：botan1.10 安全性更新	critical
99640	Debian DSA-3833-1：libav - 安全性更新	medium
99639	Debian DLA-914-1：minicom 安全性更新	critical
99638	Debian DLA-913-1：activemq 安全性更新	medium
99637	Debian DLA-912-1：tiff3 安全性更新	high
99636	Debian DLA-911-1：tiff 安全性更新	high
99604	Debian DLA-910-1：libreoffice 安全性更新	critical
99603	Debian DLA-909-1：libcroco 安全性更新	high
99602	Debian DLA-908-1：chicken 安全性更新	high
99601	Debian DLA-907-1：xen 安全性更新	high
99600	Debian DLA-906-1：firefox-esr 安全性更新	critical
99545	Debian DSA-3832-1：icedove - 安全性更新	critical
99544	Debian DLA-905-1：ghostscript 安全性更新	medium
99543	Debian DLA-904-1：uzbek-wordlist 更新	high
99542	Debian DLA-903-1：hunspell-en-us 更新	high
99485	Debian DSA-3831-1：firefox-esr - 安全性更新	critical

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

high

high

high

critical

critical

critical

critical

high

high

high

critical

high

critical

medium

high

high

high

high

medium

high

critical

high

high

critical

high

high

critical

high

critical

high

critical

medium

critical

medium

high

high

critical

high

high

high

critical

critical

medium

high

high

critical