Patrick Coleman 發現，VLC 媒體播放器的 ADPCM 解碼器遺漏輸入清理，一旦開啟格式錯誤的媒體檔案，即可能導致執行任意程式碼。

在 Expat (用於剖析 XML 的 C 程式庫) 中發現兩個相關問題。

CVE-2012-6702

此問題是在解決 CVE-2012-0876 時引入。Stefan S&oslash;rensen 發現使用 XML_Parse() 函式會植入亂數產生器，針對 rand() 呼叫產生重複的輸出。

CVE-2016-5300

這是 CVE-2012-0876 的不完整解決方案的產物。剖析器不當植入了亂數產生器，進而允許攻擊者透過含有特製識別碼的 XML 檔案造成拒絕服務 (CPU 消耗)。

您可能需要手動重新啟動使用 expat 程式庫的程式和服務。

針對 Debian 7「Wheezy」，這些問題已在 2.1.0-1+deb7u4 版本中修正。

建議您升級 expat 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Apache PDFBox 未正確初始化 XML 剖析器，其允許內容相依的攻擊者透過特製 PDF 發動 XML 外部實體 (XXE) 攻擊。這可能會導致洩漏機密資料、拒絕服務、伺服器端要求偽造、從剖析器所處的機器進行連接埠掃描，以及其他系統影響。

針對 Debian 7「Wheezy」，這些問題已在 1:1.7.0+dfsg-4+deb7u1 版本中修正。

建議您升級 libpdfbox-java 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，XStream (將物件序列化為 XML 並再次序列化回來的 Java 程式庫) 容易受到 XML 外部實體攻擊。

針對 Debian 7「Wheezy」，這些問題已在 1.4.2-1+deb7u1 版本中修正。

建議您升級 libxstream-java 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Expat (用於剖析 XML 的 C 程式庫) 中發現兩個相關問題。

- CVE-2012-6702 這是在解決 CVE-2012-0876 時引入。
 Stefan Sorensen 發現使用 XML_Parse() 函式會植入亂數產生器，針對 rand() 呼叫產生重複的輸出。

- CVE-2016-5300 這是 CVE-2012-0876 的不完整解決方案的產物。剖析器不當植入了亂數產生器，進而允許攻擊者透過含有特製識別碼的 XML 檔案造成拒絕服務 (CPU 消耗)。

您可能需要手動重新啟動使用 expat 程式庫的程式和服務。

在 nss 中發現一個弱點。

CVE-2015-4000

當伺服器上已啟用 DHE_EXPORT 加密套件但用戶端上未啟用時，TLS 通訊協定 1.2 及更舊版本未正確傳遞 DHE_EXPORT 選擇，其允許攔截式攻擊者藉由以 DHE_EXPORT 取代 DHE 來重寫 ClientHello，然後以 DHE 取代 DHE_EXPORT 來重寫 ServerHello，藉此發動密碼降級攻擊，亦即「Logjam」問題。

nss 的解決方案為不接受小於 1024 的位元長度。這可能是一個回溯不相容性問題，但由於本來就不應使用這類低位元長度，所以此方法被視為可以接受。

針對 Debian 7「Wheezy」，這些問題已在 2:3.14.5-1+deb7u7 版本中修正。

建議您升級 nss 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 spice (SPICE 通訊協定用戶端和伺服器程式庫) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2016-0749 Red Hat 的 Jing Zhao 發現一個記憶體配置瑕疵，可導致 spice 的 smartcard 互動中發生堆積型緩衝區溢位。透過 spice 連線至來賓 VM 的使用者可利用此瑕疵造成拒絕服務 (QEMU 處理程序損毀)，或可能在具有 QEMU 處理程序主控權限的主機上執行任意程式碼。

- CVE-2016-2150 Red Hat 的 Frediano Ziglio 發現虛擬機器內的惡意來賓可使用特製主要表面參數控制主機中的對應 QEMU 處理程序。

在 dhcpcd5 (DHCP 用戶端套件) 中發現兩個弱點。
遠端 (在本機網路上) 攻擊者可能藉由特製訊息執行任意程式碼，或是造成拒絕服務攻擊。

CVE-2014-7912

get_option 函式未驗證長度欄位和資料數量間的關係，進而允許遠端 DHCP 伺服器透過 DHCPACK 訊息中某選項的極大長度值，執行任意程式碼或造成拒絕服務 (記憶體損毀)。

CVE-2014-7913

print_option 函式錯誤解譯了 snprintf 函式的傳回值，進而允許遠端 DHCP 伺服器透過特製訊息，執行任意程式碼或造成拒絕服務 (記憶體損毀)。

針對 Debian 7「Wheezy」，這些問題已在 5.5.6-1+deb7u2 版本中修正。

我們建議您升級 dhcpcd5 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MariaDB 資料庫伺服器中發現數個問題。
這些弱點已藉由將 MariaDB 升級至新的上游版本 10.0.25 而解決。如需進一步的詳細資料，請參閱 MariaDB 10.0 版本資訊：

- https://mariadb.com/kb/en/mariadb/mariadb-10024-release-notes/
 - https://mariadb.com/kb/en/mariadb/mariadb-10025-release-notes/

在 chromium 網頁瀏覽器中發現數個弱點。

- CVE-2016-1696 在延伸模組繫結中發現一個跨來源繞過問題。

- CVE-2016-1697 Mariusz Mlynski 發現 Blink/Webkit 中有一個跨來源繞過問題。

- CVE-2016-1698 Rob Wu 發現一個資訊洩漏問題。

- CVE-2016-1699 Gregory Panakkal 在開發人員工具功能中發現一個問題。

- CVE-2016-1700 Rob Wu 在延伸模組中發現一個釋放後使用問題。

- CVE-2016-1701 Rob Wu 在自動填入功能中發現一個釋放後使用問題。

- CVE-2016-1702 cloudfuzzer 在 vskia 程式庫中發現一個超出邊界讀取問題。

在提供 XML 和 HTML 檔讀取、修改和寫入支援的程式庫 libxml2 中發現數個弱點。遠端攻擊者可提供特製的 XML 或 HTML 檔案，當使用 libxml2 的應用程式處理該檔案時，會造成對該應用程式拒絕服務，或可能以執行該應用程式的使用者權限執行任意程式碼。

針對 Debian 7「Wheezy」，這些問題已在 2.8.0+dfsg1-7+wheezy6 版本中修正。

我們建議您升級 libxml2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在提供 XML 和 HTML 檔讀取、修改和寫入支援的程式庫 libxml2 中發現數個弱點。遠端攻擊者可提供特製的 XML 或 HTML 檔案，當使用 libxml2 的應用程式處理該檔案時，會造成對該應用程式拒絕服務，或可能以執行該應用程式的使用者權限執行任意程式碼。

Bob Friesenhahn 發現影像操作程式套件 Graphicsmagick 中有一個命令插入弱點。具有輸入影像或輸入檔案名稱控制權的攻擊者可利用執行應用程式之使用者的權限，執行任意命令。

此更新可避免在檔案名稱中使用直立線符號 (|) 與 graphicsmagick 互動。

針對 Debian 7「Wheezy」，這些問題已在 1.3.16-1.1+deb7u2 版本中修正。

建議您升級 graphicsmagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，CVE-2015-7552 (DLA-450-1) 的原始修正不完整。

用於影像載入與儲存設備、pixbuf 快速縮放與複合的程式庫 gdk-pixbuf 中的一個堆積型緩衝區溢位問題允許遠端攻擊者透過特製的 BMP 檔案造成拒絕服務，或可能執行任意程式碼。

針對 Debian 7「Wheezy」，這些問題已在 2.26.1-1+deb7u5 版本中修正。

建議您升級 gdk-pixbuf 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

GraphicsMagick 專案的 Bob Friesenhahn 在 ImageMagick (一種影像操作程式套件) 中發現一個命令插入弱點。具有輸入影像或輸入檔案名稱控制權的攻擊者可利用執行應用程式之使用者的權限，執行任意命令。

此更新會移除在檔案名稱中使用直立線符號 (|) 來與 imagemagick 互動的可能性。

除了升級 imagemagick 套件，也請務必升級 libmagickcore5 。使用 libmagickcore5 的應用程式也可能會受到影響，因此升級後需要重新啟動。

針對 Debian 7「Wheezy」，這些問題已在 8:6.7.7.10-5+deb7u6 版中修正。

建議您升級 imagemagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，負責將用戶端要求內文儲存至暫存檔的 Nginx 程式碼存在一個 NULL 指標解除參照問題，可能導致拒絕服務：格式錯誤的要求可導致背景工作處理程序損毀。

GraphicsMagick 專案的 Bob Friesenhahn 在 ImageMagick (一種影像操作程式套件) 中發現一個命令插入弱點。具有輸入影像或輸入檔案名稱控制權的攻擊者可利用執行應用程式之使用者的權限，執行任意命令。

此更新會移除在檔案名稱中使用直立線符號 (|) 來與 imagemagick 互動的可能性。

應同時升級 imagemagick 套件和 libmagickcore-6.q16-2。使用 libmagickcore-6.q16-2 的應用程式也可能會受到影響，因此升級後需要重新啟動。

在 chromium 網頁瀏覽器中發現數個弱點。

- CVE-2016-1667 Mariusz Mylinski 發現一個跨來源繞過問題。

- CVE-2016-1668 Mariusz Mlynski 發現在對 v8 的繫結中有一個跨來源繞過問題。

- CVE-2016-1669 Choongwoo Han 在 v8 JavaScript 程式庫中發現一個緩衝區溢位問題。

- CVE-2016-1670 發現一個爭用情形，可造成轉譯器處理程序重複使用應該要唯一的 ID。

- CVE-2016-1672 Mariusz Mlynski 發現在延伸模組繫結中有一個跨來源繞過問題。

- CVE-2016-1673 Mariusz Mylinski 發現 Blink/Webkit 中有一個跨來源繞過問題。

- CVE-2016-1674 Mariusz Mlynski 發現在延伸模組繫結中有另一個跨來源繞過問題。

- CVE-2016-1675 Mariusz Mylinski 發現 Blink/Webkit 中有另一個跨來源繞過問題。

- CVE-2016-1676 Rob Wu 發現在延伸模組繫結中有一個跨來源繞過問題。

- CVE-2016-1677 Guang Gong 發現 v8 JavaScript 程式庫中有一個類型混淆問題。

- CVE-2016-1678 Christian Holler 發現在 v8 JavaScript 程式庫中有一個溢位問題。

- CVE-2016-1679 Rob Wu 發現在對 v8 的繫結中有一個釋放後使用問題。

- CVE-2016-1680 Atte Kettunen 發現 skia 程式庫中有一個釋放後使用問題。

- CVE-2016-1681 Aleksandar Nikolic 發現在 pdfium 程式庫中有一個溢位問題。

- CVE-2016-1682 KingstonTime 發現一種可繞過內容安全性原則的方法。

- CVE-2016-1683 Nicolas Gregoire 發現 libxslt 程式庫中有一個超出邊界寫入問題。

- CVE-2016-1684 Nicolas Gregoire 發現 libxslt 程式庫中有一個整數溢位問題。

- CVE-2016-1685 Ke Liu 發現 pdfium 程式庫中有一個超出邊界讀取問題。

- CVE-2016-1686 Ke Liu 發現 pdfium 程式庫中有另一個超出邊界讀取問題。

- CVE-2016-1687 Rob Wu 發現在延伸模組的處理中有一個資訊洩漏問題。

- CVE-2016-1688 Max Korenko 發現在 v8 JavaScript 程式庫中有一個超出邊界讀取問題。

- CVE-2016-1689 Rob Wu 發現一個緩衝區溢位問題。

- CVE-2016-1690 Rob Wu 發現一個釋放後使用問題。

- CVE-2016-1691 Atte Kettunen 發現 skia 程式庫中有一個緩衝區溢位問題。

- CVE-2016-1692 Til Jasper Ullrich 發現一個跨來源繞過問題。

- CVE-2016-1693 Khalil Zhani 發現軟體移除工具下載已透過 HTTP 連線完成。

- CVE-2016-1694 Ryan Lester 和 Bryant Zadegan 發現，在清理瀏覽器快取時，會移除釘選的公開金鑰。

- CVE-2016-1695 chrome 開發團隊在內部稽核期間發現並修正了多個問題。

- CVE-2015-8865 在 5.5.34 版之前、5.6.20 之前的 5.6.x 版及 7.0.5 之前的 7.x 版 PHP 中 Fileinfo 元件所使用的 5.23 版之前的檔案內，funcs.c 的 file_check_mem 函式不當處理接續層級的跳轉，其允許內容相依的攻擊者透過特製的 magic 檔案，造成拒絕服務 (緩衝區溢位及應用程式損毀)，或可能執行任意程式碼。

- CVE-2015-8866 libxml_disable_entity_loader 設定會在 5.5.22 版之前及 5.6.6 之前的 5.6.x 版 PHP 中的執行緒 ext/libxml/libxml.c 之間共用，其使用 PHP-FPM 時，並未將每個執行緒和其他執行緒中的 libxml_disable_entity_loader 變更隔離，進而允許遠端攻擊者透過特製的 XML 文件發動 XML 外部實體 (XXE) 和 XML 實體擴充 (XEE) 攻擊；此問題與 CVE-2015-5161 相關。

- CVE-2015-8878 在 5.5.28 版之前及 5.6.12 之前的 5.6.x 版 PHP 中，main/php_open_temporary_file.c 未確保執行緒的安全，其允許遠端攻擊者利用可執行許多暫存檔存取的應用程式，造成拒絕服務 (爭用情形和堆積記憶體損毀)。

- CVE-2015-8879 在 5.6.12 版之前的 PHP 中，ext/odbc/php_odbc.c 的 odbc_bindcols 函式未正確處理 SQL_WVARCHAR 欄的驅動程式行為，進而允許遠端攻擊者有機會利用 odbc_fetch_array 函式，存取特定類型的 Microsoft SQL Server 表格，造成拒絕服務 (應用程式損毀)。

- CVE-2016-4070 在 5.5.34 版之前、5.6.20 之前的 5.6.x 版及 7.0.5 之前的 7.x 版 PHP 中，ext/standard/url.c 的 php_raw_url_encode 函式有整數溢位，其允許遠端攻擊者透過 rawurlencode 函式的長字串，造成拒絕服務 (應用程式損毀)。

- CVE-2016-4071 在 5.5.34 版之前、5.6.20 之前的 5.6.x 版及 7.0.5 之前的 7.x 版 PHP 中，ext/snmp/snmp.c 的 php_snmp_error 函式有格式字串弱點，其允許遠端攻擊者透過 SNMP::get 呼叫中的格式字串規範，執行任意程式碼。

- CVE-2016-4072 在 5.5.34 版之前、5.6.20 之前的 5.6.x 版及 7.0.5 之前的 7.x 版 PHP 中，Phar 延伸模組允許遠端攻擊者透過特製的檔案名稱執行任意程式碼；ext/phar/phar.c 中的 phar_analyze_path 函式不當處理 \0 字元即為一例。

- CVE-2016-4073 在 5.5.34 版之前、5.6.20 之前的 5.6.x 版及 7.0.5 之前的 7.x 版 PHP 中，ext/mbstring/libmbfl/mbfl/mbfilter.c 的 mbfl_strcut 函式有多個整數溢位，其允許遠端攻擊者透過特製的 mb_strcut 呼叫，造成拒絕服務 (應用程式損毀) 或可能執行任意程式碼。

- CVE-2016-4343 在 5.6.18 版之前及 7.0.3 之前的 7.x 版 PHP 中，ext/phar/dirstream.c 的 phar_make_dirstream 函式不當處理零大小 ././@LongLink 檔案，其允許遠端攻擊者透過特製的 TAR 封存，造成拒絕服務 (未初始化的指標解除參照)，或可能造成其他不明影響。

- CVE-2016-4537 在 5.5.35 版之前、5.6.21 之前的 5.6.x 版及 7.0.6 之前的 7.x 版 PHP 中，ext/bcmath/bcmath.c 的 bcpowmod 函式接受小數位數引數使用負整數，其允許遠端攻擊者透過特製呼叫，造成拒絕服務或可能造成其他不明影響。

- CVE-2016-4539 在 5.5.35 版之前、5.6.21 之前的 5.6.x 版及 7.0.6 之前的 7.x 版 PHP 中，ext/xml/xml.c 的 xml_parse_into_struct 函式允許遠端攻擊者在第二個引數使用特製的 XML 資料，造成拒絕服務 (緩衝區讀取不足和分割錯誤)，或可能造成其他不明影響，進而導致剖析器層級為零。

- CVE-2016-4540

- CVE-2016-4541 在 5.5.35 版之前、5.6.21 之前的 5.6.x 版及 7.0.6 之前的 7.x 版 PHP 中，ext/intl/grapheme/grapheme_string.c 的 grapheme_strpos 函式允許遠端攻擊者透過負位移，造成拒絕服務 (超出邊界讀取) 或可能造成其他不明影響。

- CVE-2016-4542

- CVE-2016-4543

- CVE-2016-4544 在 5.5.35 版之前、5.6.21 之前的 5.6.x 版及 7.0.6 之前的 7.x 版 PHP 中，ext/exif/exif.c 的 exif_process_* 函式未驗證 IFD 大小，其允許遠端攻擊者透過特製標頭資料，造成拒絕服務 (超出邊界讀取) 或可能造成其他不明影響。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 4.1.14.1 之前的 4.1.x、4.2.5.1 之前的 4.2.x 和 5.0.0.beta1.1 之前的 5.x Rails 上，Ruby 中的作用中模型支援對類別存取子使用執行個體層級的寫入器，這可讓遠端攻擊者透過特製的參數，繞過預定的驗證步驟。

針對 Debian 7 'Wheezy'，這些問題已在 3.2_3.2.6-3+deb7u1 版中修正。

建議您升級 ruby-activemodel-3.2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PKTC、IAX2、GSM CBCH 和 NCP 的解剖器/剖析器中發現多個弱點，其可導致拒絕服務。

此更新也可透過將套件更新為在 Debian 8 中發現的版本 (亦稱為 Jessie) 來修正許多較舊且不重要的問題。

針對 Debian 7「Wheezy」，這些問題已在 1.12.1+g01b65bf-4+deb8u6~deb7u1 版本中修正。

建議您升級 wireshark 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 gdk-pixbuf (用於影像載入與像素緩衝區操控的工具組) 中發現數個弱點。遠端攻擊者可利用這些瑕疵，在格式有誤之影像已開啟的情況下，造成使用 gdk-pixbuf 的應用程式拒絕服務 (應用程式損毀)，或可能以執行該應用程式之使用者的權限執行任意程式碼。

在 PHP 架構 Symfony 中發現兩個弱點。

- CVE-2016-1902 Lander Brandt 發現，SecureRandom 類別可能會針對在特定設定下使用的密碼編譯產生弱式亂數。如果函式 random_bytes() 或 openssl_random_pseudo_bytes() 無法使用，則不應認為 SecureRandom 輸出安全。

- CVE-2016-4423 Citadelo 的 Marek Alaksa 發現，可藉由提交不存在的大型使用者名稱來填滿工作階段儲存空間。

在 libgd2 中發現數個弱點，這是用於程式設計圖形建立與操作的程式庫。遠端攻擊者可利用這些瑕疵，造成使用 libgd2 程式庫的應用程式拒絕服務。

CVE-2015-7577

Active Record 中的 activerecord/lib/active_record/nested_attributes.rb 未正確實作特定破壞選項，其允許遠端攻擊者使用巢狀屬性功能，繞過預定的變更限制。

針對 Debian 7「Wheezy」，此問題已在 3.2.6-5+deb7u2 版本中修正。

建議您升級 ruby-activerecord-3.2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- CVE-2016-4008：剖析 DER 憑證時發生無限迴圈 在 4.8 版之前的 GNU Libtasn1 中，若在沒有 ASN1_DECODE_FLAG_STRICT_DER 旗標的情況下使用 lib/decoding.c 的 _asn1_extract_der_octet 函式，則會允許遠端攻擊者透過特製憑證造成拒絕服務 (無限遞迴)。

針對 Debian 7「Wheezy」，這些問題已在 2.13-2+deb7u3 版本中修正。

建議您升級 libtasn1-3 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

數個弱點已在 Debian GNU C 程式庫 eglibc 中修正：

CVE-2016-1234

Alexander Cherepanov 發現，當以 GLOB_ALTDIRFUNC 旗標呼叫 glibc 的 glob 實作，且遇到長檔案名稱時，該實作受到一個堆疊型緩衝區溢位影響。

CVE-2016-3075

如果於極長的名稱叫用 nss_dns 的 getnetbyname 實作，其容易受到一個堆疊溢位和一個當機問題影響。

CVE-2016-3706

Michael Petlan 報告，getaddrinfo 會將大量位址資料複製到堆疊，進而可能導致堆疊溢位。這可補充 CVE-2013-4458 的修正。

針對 Debian 7「Wheezy」，這些問題已在 2.13-38+deb7u11 版本中修正。

建議您升級 eglibc 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- CVE-2015-8312：在 1.6.16 版之前的 OpenAFS 中，afs_pioctl.c 有差一錯誤，可能允許本機使用者透過輸入緩衝區大小為 4096 位元組的 pioctl，造成拒絕服務 (記憶體覆寫和系統當機)。

- CVE-2016-2860：在 1.6.17 版之前的 OpenAFS 中，ptserver/ptprocs.c 的 newEntry 函式允許經驗證的外部 Kerberos 領域遠端使用者不當處理建立者 ID，從而繞過預定的存取限制，並以系統管理員身分建立任意群組。

- CVE-2016-4536：1.6.17 版之前的 OpenAFS 用戶端未正確初始化 (1) AFSStoreStatus、(2) AFSStoreVolumeStatus、(3) VldbListByAttributes 和 (4) ListAddrByAttributes 結構，其可能允許遠端攻擊者利用 RPC 呼叫流量的存取權，取得敏感記憶體資訊。

針對 Debian 7「Wheezy」，這些問題已在 1.6.1-3+deb7u6 版本中修正。

建議您升級 openafs 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，pdns-backend-mysql 的維護者指令碼向 pdns 使用者提供過寬的資料庫權限。其他後端不受影響。

針對 Debian 7「Wheezy」，這些問題已在 3.1-4.1+deb7u1 版本中修正。

請注意，若您使用 mysql 後端執行 pdns 伺服器，這些額外提供項目不會自動移除，因為可能已刻意新增這些項目。請參閱

/usr/share/doc/pdns-backend-mysql/NEWS.Debian.gz

瞭解移除方法。

建議您升級 pdns 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

PostgreSQL 專案已發佈 PostgreSQL 9.1 分支的新版本：

- 在 OpenSSL 呼叫之前清除 OpenSSL 錯誤佇列，而非假設其已清除；並且確保我們之後也將其保持清除 (Peter、Geoghegan、Dave Vitek、Peter Eisentraut)

當單一處理程序中有多個連線使用 OpenSSL，但並非涉及的所有程式碼在清除錯誤佇列時都遵循相同規則時，此變更可防止出現問題。當用戶端應用程式同時使用 libpq 中的 SSL 連線與將 PHP、Python 或 Ruby 包裝函式用於 OpenSSL 的 SSL 連線時，會特別報告失敗。如果延伸模組建立傳出 SSL 連線，也可能在伺服器中出現類似的問題。

- 使用左方聯結右側括起來的完整聯結修正「無法構建任何 N-way 聯結」規劃者錯誤 (Tom Lane)

- 修正 to_timestamp() 中 TH、th 與 Y,YYY 格式程式碼的可能錯誤行為 (Tom Lane)

這些問題可能會前進到輸入字串的結尾之外，進而造成後續格式程式碼變成亂碼。

- 修正規則與檢視的轉儲存，其中值運算子 ANY (陣列) 建構的陣列引數為 sub-SELECT (Tom Lane)

- 使 pg_regress 從 PGCTLTIMEOUT 環境變數 (若設定) 中使用啟動逾時 (Tom Lane)

這是為了與最近新增至 pg_ctl 的行為一致；在運轉緩慢的機器上更容易自動化測試。

- 修正 pg_upgrade 以正確還原僅包含一個運算子類別之運算子系列的延伸模組成員資格 (Tom Lane)

在此類情況下，會將運算子系列還原為新資料庫，但不會再將其標記為延伸模組的一部分。如此不會立即產生不良影響，但會造成稍後執行 pg_dump，以發出會在還原時造成 (無害) 錯誤的輸出。

- 將內部函式 strtoi() 重新命名為 strtoint() 以避免與 NetBSD 程式庫函式衝突 (Thomas Munro)

- 適用時使用 FORMAT_MESSAGE_IGNORE_INSERTS 旗標。此處不存在已知即時錯誤，但最好還是小心一點。

針對 Debian 7「Wheezy」，這些問題已在 9.1.22-0+deb7u1 版本中修正。

建議您升級 postgresql-9.1 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 bozohttpd (一種小型 HTTP 伺服器) 中發現兩個安全性弱點。

CVE-2014-5015

201407081 之前的 Bozotic HTTP 伺服器 (即 bozohttpd) 在檢查 .htpasswd 限制時會截斷路徑，其允許遠端攻擊者透過長路徑繞過 HTTP 驗證配置及存取限制。

CVE-2015-8212

在 CGI 後置詞處置程式中發現一個瑕疵，如果使用 -C 選項來設定 CGI 處置程式，可導致遠端程式碼執行。

針對 Debian 7「Wheezy」，這些問題已在 20111118-1+deb7u1 版本中修正。

建議您升級 bozohttpd 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此安全性更新可修正 ruby-mail 中的一個安全性問題。建議您升級 ruby-mail 套件。

Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 發佈了一篇標題為「透過收件者電子郵件地址的 SMTP 插入」(http://www.mbsd.jp/Whitepaper/smtpi.pdf) 的白皮書。此白皮書有一節討論這種弱點如何影響 'mail' ruby gem (請參閱第 3.1 節)。

白皮書具備所有特定的詳細資料，但是基本上，'mail' ruby gem 模組容易受到收件者攻擊，因為它不會驗證也不會清理指定的收件者位址。
因此，白皮書第 2 章中所述的攻擊可以套用至 gem，而不需要任何修改。'mail' ruby gem 本身不會針對電子郵件地址強制執行長度限制，因此，除非是在應用程式端有限制，否則，攻擊者可以透過收件者位址傳送冗長的垃圾郵件。此弱點僅會影響缺少輸入驗證的應用程式。

針對 Debian 7「Wheezy」，這些問題已在 2.4.4-2+deb7u1 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Markus Krell 發現 Xymon (先前名稱為 Hobbit) (一種網路與應用程式監控系統) 容易遭受下列安全性問題影響：

CVE-2016-2054

不正確處理使用者在「config」命令中提供的輸入，會觸發堆疊型緩衝區溢位，進而導致拒絕服務 (透過應用程式損毀) 或遠端程式碼執行。

CVE-2016-2055

不正確處理使用者在「config」命令中提供的輸入，可藉著提供敏感組態檔案給遠端使用者，而導致資訊洩漏。

CVE-2016-2056

命令處理密碼管理未正確驗證使用者提供的輸入，因此容易受到遠端使用者進行的 Shell 命令插入影響。

CVE-2016-2058

不正確逸出狀態網頁中使用者提供的輸入，可用來觸發反射式跨網站指令碼攻擊。

針對 Debian 7「Wheezy」，這些問題已在 4.3.0~beta2.dfsg-9.1+deb7u1 版本中修正。

建議您升級 xymon 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Debian Long Term Support (LTS) 團隊無法繼續在 Wheezy LTS 的延伸生命週期中支援不同套件。debian-security-support 套件提供 check-support-status 工具，有助於針對安全性支援受限或必須提前結束的已安裝套件，向系統管理員提供相關警告。

debian-security-support 2016.05.24~deb7u1 版本更新了在 Wheezy LTS 中支援受限的套件清單，且新增了下列內容：

來源套件 最新支援版本 EOL 日期 其他資訊

- libv8 3.8.9.20-2 2016-02-06 https://lists.debian.org/debian-lts/2015/08/msg00035.html

- mediawiki 1:1.19.20+dfsg-0+deb7u3 2016-04-26 https://www.debian.org/releases/jessie/amd64/release-notes/ch-information.html#mediawiki-security

- sogo 1.3.16-1 2016-05-19 https://lists.debian.org/debian-lts/2016/05/msg00197.html

- vlc 2.0.3-5+deb7u2 2016-02-06 https://lists.debian.org/debian-lts/2015/11/msg00049.html

如果您依賴執行 Debian 7「Wheezy」之系統上的這些套件，我們建議您升級至目前穩定的版本 Debian 8「Jessie」。但請注意，mediawiki 支援也已在 Jessie 中結束。

我們建議您安裝 debian-security-support 套件，以驗證系統所安裝套件的支援狀態。

更多關於 Debian LTS 的資訊，請參閱以下網址：
https://wiki.debian.org/LTS

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Atheme IRC 服務的 XMLRPC 回應編碼程式碼中有一個可能導致拒絕服務的緩衝區溢位。

在 graphicsmagick (用於操控影像檔的工具) 中發現數個安全性弱點。

GraphicsMagick 是 ImageMagick 的分支，且也受到合稱為 ImageTragick 的弱點影響，這些弱點是因為缺少清理不受信任的輸入所導致。具有影像輸入控制權的攻擊者可能會利用執行應用程式之使用者的權限，執行程式碼 (CVE-2016-3714)、提出 HTTP GET 或 FTP 要求 (CVE-2016-3718)，或刪除 (CVE-2016-3715)、移動 (CVE-2016-3716) 或讀取 (CVE-2016-3717) 本機檔案。

為解決這些問題而做出以下變更：

1.移除根據檔案標頭或副檔名自動偵測/執行 MVG 的功能。

2.移除造成根據檔案名稱規格刪除輸入檔案的功能。

3.移除 gnuplot 支援、移除手冊頁面支援並新增 -dSAFER 至所有 ghostscript 叫用，藉此改善 delegates.mgk 的安全。

4.功能健全檢查 MVG 影像原始檔案名稱引數，確保不解譯「magick:」前置詞字串。請注意，此修補程式會中斷在 MVG 中使用 magick 前置詞字串的功能，因此部分 MVG 指令碼可能會失敗。我們將會搜尋更具彈性的解決方案。

此外，下列問題也已經修正：

CVE-2015-8808 確認 GIF 解碼器不會使用未初始化的資料並造成超出邊界讀取。

CVE-2016-2317 和 CVE-2016-2318 允許超出記憶體邊界 (堆積、堆疊) 讀取或寫入的弱點，以及剖析 SVG 檔案時造成拒絕服務的某些 NULL 指標解除參照弱點。

針對 Debian 7「Wheezy」，這些問題已在 1.3.16-1.1+deb7u1 版本中修正。

建議您升級 graphicsmagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PKTC、IAX2、GSM CBCH 和 NCP 的解剖器/剖析器中發現多個弱點，其可導致拒絕服務。

Mail.Ru 安全性團隊的 Nikolay Ermishkin 和 Stewie 在 ImageMagick (一種影像操作程式套件) 中發現數個弱點。這些弱點 (合稱為 ImageTragick) 是缺少清理未受信任輸入的結果。具有影像輸入控制權的攻擊者可能會利用執行應用程式之使用者的權限，執行程式碼 (CVE-2016-3714)、提出 HTTP GET 或 FTP 要求 (CVE-2016-3718)，或刪除 (CVE-2016-3715)、移動 (CVE-2016-3716) 或讀取 (CVE-2016-3717) 本機檔案。

如果 Imagemagick 處理來自遠端各方 (例如部分 web 服務) 的影像，這些弱點會特別重大。

此更新會停用有弱點的編碼器 (EPHEMERAL、URL、MVG、MSL 和 PLT)，以及透過 /etc/ImageMagick/policy.xml 檔案的間接讀取作業。此外，我們引入了額外的防護，其中包括對 http/https 委派中輸入檔案名稱的部分清理、PLT/Gnuplot 解碼器的完整移動，以及不安全編碼器之檔案名稱中明確參照的需求。

針對 wheezy，這些問題已在 8:6.7.7.10-5+deb7u5 版中修正。

建議您升級 imagemagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此安全性更新可修正 extplorer 中的一個安全性問題。建議您升級 extplorer 套件。

- CVE-2015-5660 跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者劫持任意使用者用於執行 PHP 程式碼之要求的驗證。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Gustavo Grieco 發現，適用於 SVG 檔案的 SAX 型轉譯器程式庫 librsvg 剖析具有循環定義的 SVG 檔案時，所使用的方式有數個瑕疵。遠端攻擊者可能利用這些瑕疵，造成使用 librsvg 程式庫的應用程式損毀。

Gustavo Grieco 發現，Expat (XML 剖析 C 程式庫) 未正確處理某些格式錯誤的輸入文件類型，進而導致處理和錯誤報告期間發生緩衝區溢位。遠端攻擊者可利用此瑕疵，造成使用 Expat 程式庫的應用程式損毀，或可能以執行該應用程式的使用者的權限執行任意程式碼。

針對 Debian 7「Wheezy」，這些問題已在 2.1.0-1+deb7u3 版本中修正。

建議您升級 expat 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，libgd2 圖形程式庫中有一個堆疊消耗弱點，此弱點可讓遠端攻擊者透過特製的 imagefilltoborder 呼叫，造成拒絕服務。

針對 Debian 7 'Wheezy'，此問題已於 libgd2 的 2.0.36~rc1~dfsg-6.1+deb7u3 版中修正。

我們建議您升級 libgd2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Swift 的 swift3 (S3 相容性) 中介軟體外掛程式對日期標頭執行了不充分的驗證，其可導致重播攻擊。

之前的安全性上傳項目損毀了 phpMyAdmin 中的搜尋頁面。
這是由於為了修正 CVE-2016-2040 而套用了一個損毀的修補程式所造成。

針對 Debian 7「Wheezy」，這些問題已在 4:3.4.11.1-2+deb7u4 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此安全性更新修正 NSS 中的嚴重安全性問題，包括任意程式碼執行和遠端拒絕服務攻擊。

針對 Debian 7「wheezy」，這些問題已在 3.14.5-1+deb7u6 版本中修正。建議您盡快升級 nss 套件。

CVE-2015-7181

sec_asn1d_parse_leaf 函式不當限制對不明資料結構的存取。

CVE-2015-7182

ASN.1 解碼器中的堆積型緩衝區溢位。

CVE-2016-1938

lib/freebl/mpi/mpi.c 中的 s_mp_div 函式不當除以數字，其可讓遠端攻擊者更容易破解密碼編譯保護機制。

CVE-2016-1950

堆積型緩衝區溢位可讓遠端攻擊者透過 X.509 憑證中的特製 ASN.1 資料來執行任意程式碼。

CVE-2016-1978

ssl3_HandleECDHServerKeyExchange 函式中的釋放後使用弱點可讓遠端攻擊者藉著在高度記憶體消耗時進行 SSL (1) DHE 或 (2) ECDHE 交握，而造成拒絕服務或可能有其他不明影響。

CVE-2016-1979

PK11_ImportDERPrivateKeyInfoAndReturnKey 函式中的釋放後使用弱點可讓遠端攻擊者透過以 DER 編碼的特製金鑰資料，造成拒絕服務或可能有其他不明影響。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Gustavo Grieco 發現，Expat (XML 剖析 C 程式庫) 未正確處理某些格式錯誤的輸入文件類型，進而導致處理和錯誤報告期間發生緩衝區溢位。遠端攻擊者可利用此瑕疵，造成使用 Expat 程式庫的應用程式損毀，或可能以執行該應用程式的使用者的權限執行任意程式碼。

Julien Bernard 發現 libndp (IPv6 鄰居搜索通訊協定的程式庫) 在接收 NDP 訊息期間未正確執行輸入與來源檢查。非本機網路上的攻擊者可利用此瑕疵將節點公告為路由器，造成拒絕服務攻擊，或做為攔截式使用。

此安全性更新修正了 wheezy 中 Xen 的數個安全性問題。

針對 Debian 7「Wheezy」，這些問題已在 4.1.6.1-1+deb7u1 版中修正。

建議您升級 libidn 套件。

CVE-2015-2752

在 3.2.x 到 4.5.x 版 Xen 中，XEN_DOMCTL_memory_mapping hypercall 使用 PCI 通道裝置時為非搶佔式，這會允許本機 x86 HVM 網域使用者向裝置模型 (qemu-dm) 發出特製要求，從而造成拒絕服務 (主機 CPU 消耗)。

CVE-2015-2756

Xen 3.3.x 到 4.5.x 版使用的 QEMU 未正確限制對 PCI 命令暫存器的存取權，這會讓本機 HVM 來賓使用者在停用 PCI Express 裝置的 (1) 記憶體或 (2) I/O 解碼後存取該裝置，藉此觸發 Unsupported Request (UR) 回應，進而造成拒絕服務 (非遮罩式插斷和主機當機)。

CVE-2015-5165

在 Xen 4.5.x 版及先前版本所用的 QEMU 中，RTL8139 網路卡裝置模型的 C+ 模式卸載模擬允許遠端攻擊者透過不明向量，讀取處理程序堆積記憶體。

CVE-2015-5307

在 4.2.6 版及其之前版本的 Linux 核心，以及 4.3.x 到 4.6.x 版 Xen 中，KVM 子系統允許來賓作業系統使用者透過觸發許多與 svm.c 和 vmx.c 相關的 #AC (又稱為對齊檢查) 例外狀況，造成拒絕服務 (主機作業系統錯誤或懸置)。

CVE-2015-7969

Xen 4.0 到 4.6.x 版有多個記憶體洩漏，其允許本機來賓系統管理員或具有特定權限的網域透過大量終止具有使用 (1) XEN_DOMCTL_max_vcpus hypercall 配置之 vcpu 指標陣列，或使用 (2) XENOPROF_get_buffer 或 (3) XENOPROF_set_passive hypercall 配置之 xenoprofile 狀態 vcpu 指標陣列的網域，進而造成拒絕服務 (記憶體消耗)。

CVE-2015-7970

Xen 3.4.x、3.5.x 和 3.6.x 版中 arch/x86/mm/p2m-pod.c 的 p2m_pod_emergency_sweep 函式為非搶佔式，其允許本機 x86 HVM 來賓系統管理員透過特製的記憶體內容，觸發「耗時的線性掃描」，進而造成拒絕服務 (CPU 消耗及可能重新開機)；此弱點與 Populate-on-Demand 有關。

CVE-2015-7971

Xen 3.2.x 到 4.6.x 版記錄特定 pmu 和設定檔 hypercall 時，並未限制 printk 主控台訊息的數量，其允許本機來賓透過特製的 (1) HYPERCALL_xenoprof_op hypercalls (其在 common/xenoprof.c 的 do_xenoprof_op 函式中未正確處理) 序列；或者 (2) HYPERVISOR_xenpmu_op hypercalls (其在 arch/x86/cpu/vpmu.c 的 do_xenpmu_op function 函式中未正確處理) 序列，造成拒絕服務。

CVE-2015-7972

在 Xen 3.4.x 到 4.6.x 版中，(1) tools/libxl/libxl.c 的 libxl_set_memory_target 函式及 (2) tools/libxl/libxl_dom.c 的 libxl__build_post 函式使用 populate-on-demand (PoD) 系統時，未正確計算 balloon 大小，其允許本機 HVM 來賓使用者透過與「繁重的記憶體壓力」相關的不明向量，造成拒絕服務 (來賓損毀)。

CVE-2015-8104

在 4.2.6 版及其之前版本的 Linux 核心，以及 4.3.x 到 4.6.x 版 Xen 中，KVM 子系統允許來賓作業系統使用者透過觸發許多與 svm.c 相關的 #DB (又稱為除錯) 例外狀況，造成拒絕服務 (主機作業系統錯誤或懸置)。

CVE-2015-8339

Xen 3.2.x 到 4.6.x 版中 common/memory.c 的 memory_exchange 函式未正確將頁面傳回網域，其可能允許來賓作業系統管理員透過與網域終止相關的不明向量，造成拒絕服務 (主機當機)。

CVE-2015-8340

Xen 3.2.x 到 4.6.x 版中 common/memory.c 的 memory_exchange 函式未正確釋放鎖定，其可能允許來賓作業系統管理員透過與 XENMEM_exchange 錯誤處理相關的不明向量，造成拒絕服務 (鎖死或主機當機)。

CVE-2015-8550

在提供 PV 後端的系統中使用 Xen 時，其允許本機來賓作業系統管理員寫入前端和後端共用的記憶體，進而造成拒絕服務 (主機作業系統當機) 或取得權限，此又稱為雙重擷取弱點。

CVE-2015-8554

Xen 4.6.x 版及之前版本中的 hw/pt-msi.c 有緩衝區溢位，使用 qemu-xen-traditional (即 qemu-dm) 裝置模型時，允許本機 x86 HVM 來賓系統管理員利用具有傳遞 MSI-X 能力之實體 PCI 裝置以及 MSI-X 表格項目存取權的系統取得權限；此弱點與「寫入路徑」有關。

CVE-2015-8555

Xen 4.6.x、4.5.x、4.4.x、4.3.x 及之前版本在未使用 XSAVE/XRSTOR 管理來賓延伸的暫存器狀態時，並未初始化 x86 FPU 堆疊和 XMM 暫存器，其允許本機來賓網域透過不明向量，從其他網域取得敏感資訊。

CVE-2015-8615

Xen 4.6 版中 arch/x86/hvm/irq.c 的 hvm_set_callback_via 函式記錄新的回呼方法時，並未限制 printk 主控台訊息的數量，其允許本機 HVM 來賓作業系統使用者透過大量變更回呼方法 (HVM_PARAM_CALLBACK_IRQ)，造成拒絕服務。

CVE-2016-1570

在 Xen 3.4.0、3.4.1 版，以及 4.1.x 到 4.6.x 版中，arch/x86/mm.c 的 PV 超級頁面功能允許本機 PV 來賓透過 (1) MMUEXT_MARK_SUPER 或 (2) HYPERVISOR_mmuext_op hypercall 中的 MMUEXT_UNMARK_SUPER sub-op 或 (3) 與頁面表格更新相關之未知向量的特製頁面識別碼 (MFN)，取得敏感資訊、造成拒絕服務、取得權限，或造成其他不明影響。

CVE-2016-1571

在 Xen 3.3.x 到 4.6.x 版中，include/asm-x86/paging.h 的 paging_invlpg 函式使用陰影模式分頁或啟用巢狀虛擬化時，允許本機 HVM 來賓使用者透過 INVVPID 指示中的非正式來賓位址，觸發 hypervisor 錯誤檢查，進而造成拒絕服務 (主機當機)。

CVE-2016-2270

4.6.x 版及之前版本的 Xen 允許本機來賓系統管理員透過與具有不同快取功能設定之 MMIO 頁面的多個對應相關的向量，造成拒絕服務 (主機重新開機)。

CVE-2016-2271

Xen 4.6.x 版及之前版本中的 VMX 使用 Intel 或 Cyrix CPU 時，允許本機 HVM 來賓使用者透過與非正式 RIP 相關的向量造成拒絕服務 (來賓當機)。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

(請注意，CVE-2016-4347 與 CVE-2015-7558 重複)

Gustavo Grieco 發現，librsvg 2.40.2 剖析具有循環定義的 SVG 時 (其會造成堆疊耗盡)，出現兩個 DoS 情形。

wheezy (2.36.1-2+deb7u1) 中的版本也會受弱點影響。

針對 Debian 7「Wheezy」，這些問題已在 2.36.1-2+deb7u2 版本中修正。

建議您升級 librsvg 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Internationalized Domain Names (IDN) 的 GNU 程式庫 libidn 未正確處理無效 UTF-8 輸入，造成超出邊界讀取。此可允許攻擊者從使用 libidn 程式庫的應用程式洩漏敏感資訊。

針對 Debian 7「Wheezy」，這些問題已在 1.25-2+deb7u1 版本中修正。

建議您升級 libidn 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	嚴重性
91524	Debian DSA-3598-1：vlc - 安全性更新	critical
91523	Debian DLA-508-1：expat 安全性更新	high
91522	Debian DLA-505-1：libpdfbox-java 安全性更新	high
91521	Debian DLA-504-1：libxstream-java 安全性更新	high
91506	Debian DSA-3597-1：expat - 安全性更新	high
91505	Debian DLA-507-1：nss 安全性更新 (Logjam)	low
91490	Debian DSA-3596-1：spice - 安全性更新	critical
91489	Debian DLA-506-1：dhcpcd5 安全性更新	medium
91474	Debian DSA-3595-1：mariadb-10.0 - 安全性更新	medium
91473	Debian DSA-3594-1：chromium-browser - 安全性更新	high
91472	Debian DLA-503-1：libxml2 安全性更新	high
91447	Debian DSA-3593-1：libxml2 - 安全性更新	high
91446	Debian DLA-502-1：graphicsmagick 安全性更新	critical
91445	Debian DLA-501-1：gdk-pixbuf 安全性更新	high
91444	Debian DLA-500-1：imagemagick 安全性更新	critical
91431	Debian DSA-3592-1：nginx - 安全性更新	high
91430	Debian DSA-3591-1：imagemagick - 安全性更新	critical
91429	Debian DSA-3590-1：chromium-browser - 安全性更新	high
91397	Debian DLA-499-1：php5 安全性更新	critical
91396	Debian DLA-498-1：ruby-activemodel-3.2 安全性更新	medium
91395	Debian DLA-497-1：wireshark 安全性更新	medium
91366	Debian DSA-3589-1：gdk-pixbuf - 安全性更新	high
91365	Debian DSA-3588-1：symfony - 安全性更新	high
91364	Debian DSA-3587-1：libgd2 - 安全性更新	high
91363	Debian DLA-496-1：ruby-activerecord-3.2 安全性更新	medium
91362	Debian DLA-495-1：libtasn1-3 安全性更新	medium
91361	Debian DLA-494-1：eglibc 安全性更新	high
91360	Debian DLA-493-1：openafs 安全性更新	high
91359	Debian DLA-492-1：pdns 安全性更新	high
91358	Debian DLA-491-1：postgresql-9.1 錯誤修正更新	high
91326	Debian DLA-490-1：bozohttpd 安全性更新	critical
91325	Debian DLA-489-1：ruby-mail 安全性更新	high
91324	Debian DLA-488-1：xymon 安全性更新	critical
91323	Debian DLA-487-1：debian-security-support - 長期安全性支援更新	high
91300	Debian DSA-3586-1：atheme-services - 安全性更新	high
91299	Debian DLA-484-1：graphicsmagick 安全性更新	high
91288	Debian DSA-3585-1：wireshark - 安全性更新	medium
91287	Debian DLA-486-1：imagemagick 安全性更新	high
91286	Debian DLA-485-1：extplorer 安全性更新	medium
91266	Debian DSA-3584-1：librsvg - 安全性更新	high
91265	Debian DLA-483-1：expat 安全性更新	critical
91264	Debian DLA-482-1：libgd2 安全性更新	high
91244	Debian DSA-3583-1：swift-plugin-s3 - 安全性更新	high
91243	Debian DLA-481-2：phpmyadmin 迴歸更新	high
91242	Debian DLA-480-1：nss 安全性更新	critical
91200	Debian DSA-3582-1：expat - 安全性更新	critical
91199	Debian DSA-3581-1：libndp - 安全性更新	high
91198	Debian DLA-479-1：xen 安全性更新	high
91197	Debian DLA-477-1：librsvg 安全性更新	high
91196	Debian DLA-476-1：libidn 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

critical

high

high

high

high

low

critical

medium

medium

high

high

high

critical

high

critical

high

critical

high

critical

medium

medium

high

high

high

medium

medium

high

high

high

high

critical

high

critical

high

high

high

medium

high

medium

high

critical

high

high

high

critical

critical

high

high

high

high