在 Wordpress 的 Debian squeeze-lts 版本中，已解決多個安全性問題：

遠端攻擊者可...

- ... 上傳含有無效或不安全名稱的檔案

- ... 發動社交工程攻擊

- ... 透過跨網站指令碼入侵網站

- ... 插入 SQL 命令

- ... 造成拒絕服務或資訊洩漏

CVE-2014-9031

Jouko Pynnonen 在 wptexturize() 中發現一個未經驗證的跨網站指令碼弱點 (XSS)，該弱點可透過註解或貼文加以惡意利用。

CVE-2014-9033

密碼變更處理程序中有跨網站要求偽造 (CSRF) 弱點，可遭攻擊者利用來誘騙使用者變更其密碼。

CVE-2014-9034

Javier Nieto Arevalo 和 Andres Rojas Guerrero 報告，phpass 程式庫用來處理密碼的方式中可能有拒絕服務弱點，因其未設定密碼長度上限。

CVE-2014-9035

John Blackbourn 報告 ‘Press This’ 函式 (用於使用瀏覽器 ‘bookmarklet’ 進行快速發佈) 中有一個 XSS 問題。

CVE-2014-9036

Robert Chapin 報告，貼文中 CSS 的 HTML 篩選過程有一個 XSS 問題。

CVE-2014-9037

David Anderson 報告，使用舊式 MD5 配置儲存的密碼有一個雜湊比較弱點。雖然可能性不大，不過如果使用者在 Wordpress 2.5 更新 (2008 年 4 月 2 日上傳至 Debian) 後尚未登入，則這點會遭到惡意利用而危及帳戶，而且因為 PHP 動態比較，密碼 MD5 雜湊可能發生衝突。

CVE-2014-9038

Ben Bidner 報告，核心 HTTP 層中有一個伺服器端要求偽造 (SSRF) 問題，導致不充分封鎖迴路 IP 位址空間。

CVE-2014-9039

Momen Bassel、Tanoy Bose 和 Bojan Slavkovic 報告密碼重設處理程序中有一個弱點：電子郵件變更無法使先前的密碼重設電子郵件無效。

CVE-2015-3438

Cedric Van Bockhaven 報告了一個跨網站指令碼弱點 (該弱點會允許匿名使用者入侵網站)，且已由 WordPress 安全性團隊的 Gary Pendergast、Mike Adams 和 Andrew Nacin 修正。

CVE-2015-3439

Jakub Zoczek 發現一個非常受限的跨網站指令碼弱點，可遭利用來作為社交工程攻擊的一部分。

CVE-2015-3440

Jouko Pynnonen 發現了一個跨網站指令碼弱點，會允許評論者入侵網站。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Ansgar Burchardt 發現，FusionForge (web 型專案管理和協作軟體) 的 Git 外掛程式未充分驗證使用者提供的輸入，該輸入是作為建立次要 Git 存放庫的方法參數。遠端攻擊者可利用此瑕疵，透過特製的 URL 以 root 身分執行任意程式碼。

CVE-2011-0188 在 Ruby 1.9.2-p136 及之前版本中，BigDecimal 類別之 bigdecimal.c 內的 VpMemAlloc 函式，如在 Apple Mac OS X 10.6.7 之前版本和其他平台中所使用，未正確配置記憶體，這會允許內容相依的攻擊者透過涉及 64 位元處理程序內較大 BigDecimal 值建立的向量，執行任意程式碼或造成拒絕服務 (應用程式損毀)，與「整數截斷問題」相關。

CVE-2011-2705 使用上游 SVN r32050 修改 PRNG 狀態，防止在具有相同 pid 的分歧子處理程序中，發生亂數序列重複的情況。報告者：Eric Wong。

CVE-2012-4522 在 patchlevel 286 之前的 Ruby 1.9.3 版本以及 r37163 之前的 Ruby 2.0.0 版本中，file.c 內的 rb_get_path_check 函式可讓內容相依的攻擊者，透過檔案路徑中的 NUL 位元組，在非預期的位置或使用非預期的名稱建立檔案。

CVE-2013-0256 在 RDoc 2.3.0 到 3.12 版本以及 4.0.0.preview2.1 之前的 4.x 版本中的 darkfish.js，如在 Ruby 中所使用，未正確產生文件，這可讓遠端攻擊者透過特製的 URL，執行跨網站指令碼 (XSS) 攻擊。

CVE-2013-2065 Ruby 1.9.3 patchlevel 426 之前的 1.9 版本，以及 2.0.0 patchlevel 195 之前的 2.0 版本中的 (1) DL 和 (2) Fiddle，未對原生函式執行污染檢查，進而讓內容相依的攻擊者繞過預定的 $SAFE 等級限制。

CVE-2015-1855 OpenSSL 延伸模組主機名稱比對實作違反 RFC 6125 規定

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Javantea 發現，ipsec-tools 的網際網路金鑰交換程序 racoon 中有 NULL 指標解除參照瑕疵。遠端攻擊者可利用此瑕疵，透過特製的 UDP 封包造成 IKE 程序損毀，進而導致拒絕服務。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在相關資料庫伺服器系統 PostgreSQL 中發現多個弱點。8.4 分支為 EOL 的上游，但仍存在於 Debian squeeze 中。此全新的 LTS 次要版本內含套用至上游 9.0.20 版的修正，並反向移植至 8.4.22，其為由 PostgreSQL 開發商官方發行的最新版本。squeeze-lts 的此 LTS 項目是一個由 credativ GmbH 贊助的社群專案。

CVE-2015-3165：遠端當機；SSL 用戶端若剛好在驗證逾時過期前中斷連線，可能會導致伺服器當機。

CVE-2015-3166：資訊洩漏；snprintf() 的取代實作無法檢查基礎系統程式庫呼叫報告的錯誤；可能遺漏的主要情形為記憶體不足。在最糟糕的情況下，這可能會導致資訊洩漏。

CVE-2015-3167：潛在的側通道金鑰暴露；在 contrib/pgcrypto 中，若以不正確的金鑰解密，某些情況下可能會報告其他錯誤訊息文字。已藉由使用萬用訊息來修正。

請注意，下一波 PostgreSQL 次要版本預計於 2015 年 6 月上旬發佈。屆時也會提供對應的 8.4.22lts3 更新。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jason Geffner 發現模擬磁碟機中有一個緩衝區溢位問題，可能會導致權限提升。

上游已發佈版本 0.98.7。此更新會將 sqeeze-lts 更新至最新上游版本，與針對其他 Debian 版本所使用的方式一致。

雖然不一定要變更才能作業，但舊版 Squeeze 的使用者可能無法使用目前的所有病毒碼，並可能收到警告。

此版本所包含的錯誤修正包括與封包或加密檔案相關的安全性修正 (CVE-2014-9328、CVE-2015-1461、CVE-2015-1462、CVE-2015-1463、CVE-2015-2170、CVE-2015-2221、CVE-2015-2222 和 CVE-2015-2668)，以及內嵌 libmspack 程式庫的數個修正，包括 Quantum 解碼器中的潛在無限迴圈 (CVE-2014-9556)。

若您目前使用 clamav，我們強烈建議您升級至此版本。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache Tomcat 6 中發現以下弱點：

CVE-2014-0227

Tomcat 安全性團隊發現，可藉由串流異常資料來發動 HTTP 要求走私攻擊或造成 DoS。

CVE-2014-0230

百度安全性團隊的 AntBean@secdig 發現，可藉由中止上傳來傳送資料，從而造成有限 DoS 攻擊。

CVE-2014-7810

Tomcat security 安全性團隊發現，惡意 Web 應用程式可使用運算式語言來繞過 Security Manager。

針對 Debian 6 'Squeeze'，這些問題已在 tomcat6 的 6.0.41-2+squeeze7 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在 ExactImage 影像處理程式中發現一個弱點。

CVE-2015-3885

Eduardo Castellanos 發現，ExactImage 中所含 dcraw 版本中有一個整數溢位問題。此弱點允許遠端攻擊者透過特製的影像造成拒絕服務 (當機)。

針對舊的穩定發行版本 (squeeze)，這些問題已在 0.8.1-3+deb6u4 版本中修正。

針對穩定的舊發行版本、穩定的發行版本和測試發行版本，這些問題將於近期完成修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Google 安全性團隊的 Ivan Fratric 發現，在存取套件檔案中的 Git 物件時使用的 apply_delta() 函式的 C 實作中有一個緩衝區溢位問題。攻擊者可利用此瑕疵，造成以執行以 Dulwich 為基礎的 Git 伺服器或用戶端之使用者的權限來執行任意程式碼。

針對舊的穩定發行版本 (squeeze)，此問題已在 0.6.1-1+deb6u1 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Red Hat 的 Arjun Shankar 發現，若傳入緩衝區不適當，gethostbyname_r 和相關函式會錯誤地計算輸入緩衝區的大小。這會導致緩衝區溢位。

針對舊的穩定發行版本 (squeeze)，此問題已在 2.11.3-4+deb6u6 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在用於剖析 HTML、XML 和 SAX 的 Ruby gem「Nokogiri」中發現一個 XML 外部實體 (XXE) 瑕疵。遠端攻擊者可利用外部 XML 實體，在特製的 XML 中指定一個 URL，一旦進行剖析，就可造成該 URL 的連線開啟。

此更新預設為啟用「nonet」選項 (並提供新的停用預設選項方式，可視需要採用)。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

William Robinet 與 Michal Zalewski 在 TIFF 程式庫及其工具中發現多個弱點，如果處理格式錯誤的 TIFF 檔案，這可能導致拒絕服務或執行任意程式碼。

針對 ntfs-3g 套用以修正 DLA 226-1 中之 CVE-2015-3202 的修補程式不完整。此更新可更正該問題。原始公告文字如下，僅供參考。

Tavis Ormandy 發現，FUSE 的讀寫 NTFS 驅動程式 NTFS-3G，在利用提升的權限執行掛載或卸載時並未清除環境。本機使用者可利用此瑕疵，透過通常對無權限的使用者不安全的環境，藉由存取除錯功能來覆寫任意檔案，以及取得提升的權限。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Javantea 發現，ipsec-tools 的網際網路金鑰交換程序 racoon 中有 NULL 指標解除參照瑕疵。遠端攻擊者可利用此瑕疵，透過特製的 UDP 封包造成 IKE 程序損毀，進而導致拒絕服務。

Tuomas Räsänen 發現，Network Block Device 通訊協定伺服器 nbd-server 中的不安全訊號處理，會讓遠端攻擊者在伺服器處理程序中造成鎖死，進而引發拒絕服務。

Tuomas Räsänen 也發現，在執行實際用戶端處置程式的分叉之前，modern-style 交涉就已在主伺服器處理程序中進行。這可允許遠端攻擊者查詢不存在的匯出，進而造成拒絕服務 (當機)。此問題只會影響舊的穩定發行版本 (wheezy)。

在 SQL 資料庫系統 PostgreSQL-9.4 中發現多個弱點。

- CVE-2015-3165 (遠端當機) SSL 用戶端若剛好在驗證逾時過期前中斷連線，可能會導致伺服器當機。

- CVE-2015-3166 (資訊洩漏) snprintf() 的取代實作無法檢查基礎系統程式庫呼叫報告的錯誤；可能遺漏的主要情形為記憶體不足。在最糟糕的情況下，這可能會導致資訊洩漏。

- CVE-2015-3167 (潛在側通道金鑰洩漏) 在 contrib/pgcrypto 中，某些情況下若以錯誤金鑰解密，可能會報告其他錯誤訊息文字。
 已藉由使用萬用訊息來修正。

在 SQL 資料庫系統 PostgreSQL-9.1 中發現多個弱點。

- CVE-2015-3165 (遠端當機) SSL 用戶端若剛好在驗證逾時過期前中斷連線，可能會導致伺服器當機。

- CVE-2015-3166 (資訊洩漏) snprintf() 的取代實作無法檢查基礎系統程式庫呼叫報告的錯誤；可能遺漏的主要情形為記憶體不足。在最糟糕的情況下，這可能會導致資訊洩漏。

- CVE-2015-3167 (潛在側通道金鑰洩漏) 在 contrib/pgcrypto 中，某些情況下若以錯誤金鑰解密，可能會報告其他錯誤訊息文字。
 已藉由使用萬用訊息來修正。

Tavis Ormandy 發現，FUSE 的讀寫 NTFS 驅動程式 NTFS-3G，在利用提升的權限執行掛載或卸載時並未清除環境。本機使用者可利用此瑕疵，透過通常對無權限的使用者不安全的環境，藉由存取除錯功能來覆寫任意檔案，以及取得提升的權限。

在 Chromium 網頁瀏覽器中發現數個弱點。

- CVE-2015-1251 SkyLined 發現語音辨識中有一個釋放後使用問題。

- CVE-2015-1252 據發現，存在一個超出邊界寫入問題，可用來從沙箱逸出。

- CVE-2015-1253 在 DOM 剖析器中發現一個跨來源繞過問題。

- CVE-2015-1254 在 DOM 編輯功能中發現一個跨來源繞過問題。

- CVE-2015-1255 Khalil Zhani 發現 WebAudio 中有一個釋放後使用問題。

- CVE-2015-1256 Atte Kettunen 發現 SVG 實作中有一個釋放後使用問題。

- CVE-2015-1257 miaubiz 發現 SVG 實作中有一個溢位問題。

- CVE-2015-1258 cloudfuzzer 發現 libvpx 程式庫中使用一個無效的大小參數。

- CVE-2015-1259 Atte Kettunen 在 pdfium 程式庫中發現一個未初始化記憶體問題。

- CVE-2015-1260 Khalil Zhani 發現 WebRTC 程式庫之 chromium 介面中有多個釋放後使用問題。

- CVE-2015-1261 Juho Nurminen 發現一個 URL 列偽造問題。

- CVE-2015-1262 miaubiz 發現在字型處理中使用未初始化類別成員。

- CVE-2015-1263 Mike Ruddy 發現，spellcheck 字典的下載並非透過 HTTPS 執行。

- CVE-2015-1264 K0r3Ph1L 發現一個跨網站指令碼問題，可透過將網站加為書籤來觸發。

- CVE-2015-1265 chrome 43 開發團隊在內部稽核期間發現並修正多個問題。libv8 程式庫 4.3.61.21 版也已修正多個問題。

Tavis Ormandy 發現，USErspace 的檔案系統 FUSE，在利用提升的權限執行掛載或卸載時並未清除環境。本機使用者可利用此瑕疵，透過通常對無權限的使用者不安全的環境，藉由存取除錯功能來覆寫任意檔案，以及取得提升的權限。

在 PHP 架構 Zend Framework 中發現多個弱點。CVE-2015-3154 除外，一開始隨附於 Jessie 的版本已修正所有這些問題。

- CVE-2014-2681 Lukas Reschke 報告，某些函式缺少對 XML 外部實體插入攻擊的防護功能。
 此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2682 Lukas Reschke 報告，未能考慮 libxml_disable_entity_loader 設定在 PHP-FPM 情況下會在執行緒之間共用。此修正擴充了 CVE-2012-5657 的未完成修正。

- CVE-2014-2683 Lukas Reschke 報告，某些函式缺少對 XML 實體擴充攻擊的防護功能。此修正擴充了 CVE-2012-6532 的未完成修正。

- CVE-2014-2684 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告客戶的驗證方式中有一個錯誤，其會導致接受錯誤來源提供的 token。

- CVE-2014-2685 Ruhr-University Bochum 的 Christian Mainka 和 Vladislav Mladenov 報告有一個違反規格的問題，其中簽署單一參數時，系統會不正確將其視為已足夠。

- CVE-2014-4914 Cassiano Dal Pizzol 發現，傳送的查詢字串包含括號時，Zend_Db_Select 的 ORDER BY SQL 陳述式實作可能會有一個 SQL 插入問題。

- CVE-2014-8088 Positive Research Center 的 Yury Dyachenko 發現有潛在的 XML eXternal 實體插入向量問題，此問題是因為使用 PHP DOM 延伸模組的方式不安全所導致。

- CVE-2014-8089 Jonas Sandström 發現，使用 null 位元組手動引用 sqlsrv 延伸模組值時，出現一個 SQL 插入向量問題。

- CVE-2015-3154 Filippo Tessarotto 和 Maks3w 報告，郵件和 HTTP 標頭中有潛在的 CRLF 插入攻擊。

在 dnsmasq 中發現下列弱點：

CVE-2015-3294

遠端攻擊者可透過格式錯誤的 DNS 要求，讀取處理程序記憶體並造成 DoS。

針對 Debian 6 ‘Squeeze’，這些問題已在 dnsmasq 的 2.55-2+deb6u1 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Icedove (Mozilla Thunderbird 郵件用戶端的 Debian 版本) 中發現多個安全性問題：多個記憶體安全錯誤、緩衝區溢位與釋放後使用，可導致任意程式碼執行、權限提升或拒絕服務。

Vadim Melihow 發現，在 FTP 伺服器 proftpd-dfsg 中，mod_copy 模組允許未經驗證的使用者複製伺服器上的檔案，並可能執行任意程式碼。

CVE-2012-5783 和 CVE-2012-6153 Apache Commons HttpClient 3.1 未驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符，這會允許攔截式攻擊者透過任意有效憑證偽造 SSL 伺服器。感謝 Alberto Fernandez Martinez 提供修補程式。

CVE-2014-3577 據發現，CVE-2012-6153 的修正不完整：新增的程式碼具有瑕疵，該程式碼用於檢查伺服器主機名稱是否與 X.509 憑證主體之共用名稱 (CN) 欄位中的網域名稱相符。攔截式攻擊者可利用此瑕疵，使用特製的 X.509 憑證偽造 SSL 伺服器。CVE-2012-6153 修正用於處理不完整的 CVE-2012-5783 修補程式。該問題現已透過此修補程式和一個先前 CVE 的修補程式完全解決。

此上傳是由 Markus Koschany 所準備。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jason Geffner 發現模擬磁碟機中有一個緩衝區溢位問題，可能會導致任意程式碼執行。此問題只影響 HVM 來賓。

發現 Ruby OpenSSL 延伸模組 (Ruby 預言解譯器的一部分) 未正確進行主機名稱比對，違反了 RFC 6125 規定。這會讓遠端攻擊者透過特製的 SSL 憑證，執行攔截式攻擊。

針對舊的穩定發行版本 (squeeze)，此問題已在 1.8.7.302-2squeeze4 版本中修正。

針對舊的穩定發行版本 (wheezy)，此問題已在 1.8.7.358-7.1+deb7u3 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在操控 CPAN SIGNATURE 檔案的 Perl 模組 libmodule-signature-perl 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2015-3406 John Lightsey 發現，Module::Signature 因為錯誤處理 PGP 簽署邊界，因而可能將 SIGNATURE 檔案中未簽署的部分剖析為已簽署的部分。

- CVE-2015-3407 John Lightsey 發現，Module::Signature 未正確處理未列在 SIGNATURE 檔案中的檔案。這包括 t/ 目錄中的某些檔案，這些檔案可在進行測試時執行。

- CVE-2015-3408 John Lightsey 發現，Module::Signature 從已簽署的資訊清單產生總和檢查碼時，使用兩個引數 open() 呼叫讀取檔案。這會允許將任意 shell 命令內嵌至會在簽章驗證處理程序期間執行的 SIGNATURE 檔案。

- CVE-2015-3409 John Lightsey 發現，Module::Signature 未正確處理模組載入，導致允許從 @INC 中的相對路徑載入模組。遠端攻擊者若提供惡意模組，就可利用此問題，在簽章驗證期間執行任意程式碼。

請注意，libtest-signature-perl 會收到一個更新，以便與 libmodule-signature-perl 中的 CVE-2015-3407 修正相容。

在 Linux Network Block Device 伺服器 nbd-server 中發現一個弱點。

CVE-2015-0847

Tuomas Räsänen 發現 nbd-server 中存在不安全訊號處理。遠端用戶端可惡意利用此弱點造成拒絕服務。

針對舊的穩定發行版本 (squeeze)，這些問題已在 1:2.9.16-8+squeeze2 版本中修正。

針對穩定的舊發行版本、穩定的發行版本和測試發行版本，這些問題將於近期完成修正。

建議您升級 nbd-server 套件。

-- Wouter Verhelst

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 LibTIFF 程式庫和標籤影像檔案格式的公用程式中發現數個弱點。這些弱點可導致拒絕服務、資訊洩漏或權限提升。

CVE-2014-8128

William Robinet 發現，處理特製 TIFF 檔時，數個 LibTIFF 公用程式中會觸發超出邊界寫入。
其他使用 LibTIFF 的應用程式亦可能受到相同影響。

CVE-2014-8129

William Robinet 發現，處理特製 TIFF 檔時，tiff2pdf 中會觸發超出邊界讀取和寫入。其他使用 LibTIFF 的應用程式亦可能受到相同影響。

CVE-2014-9330

Paris Zoumpouloglou 發現，處理特製 BMP 檔時，bmp2tiff 中會觸發超出邊界讀取和寫入。

CVE-2014-9655

Michal Zalewski 發現，處理特製 TIFF 檔時，LibTIFF 中會觸發超出邊界讀取和寫入。

針對舊的穩定發行版本 (squeeze)，這些問題已在 3.9.4-5+squeeze12 版本中修正。

針對舊的穩定發行版本 (wheezy)，這些問題將會在短時間內修正。

穩定的發行版本 (jessie) 不會受到這些問題影響，因為其在發行之前便已修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jann Horn 發現，dpkg-source 中的來源套件完整性驗證，可透過特製的 Debian 來源控制檔案 (.dsc) 繞過。請注意，此瑕疵只會影響透過 dpkg-source 的本機 Debian 來源套件擷取，並不會影響 Debian 封存的套件安裝。

針對舊的穩定發行版本 (squeeze)，此問題已在 1.15.12 版本中修正。這也修正了 Ansgar Burchardt 所發現的一個類似錯誤與 Roger Leigh 所發現之一個相同方面的錯誤。

針對舊的穩定發行版本 (wheezy)，此問題已在 1.16.16 版本中修正。

穩定的發行版本 (jessie) 不會受到此問題影響，因為其在發行之前便已修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 International Components for Unicode (ICU) 程式庫中發現多個弱點：

CVE-2013-1569

字符表格問題。

CVE-2013-2383

字符表格問題。

CVE-2013-2384

字型配置問題。

CVE-2013-2419

字型處理問題。

CVE-2014-6585

超出邊界讀取。

CVE-2014-6591

其他超出邊界讀取。

CVE-2014-7923

規則運算式比較中的記憶體損毀。

CVE-2014-7926

規則運算式比較中的記憶體損毀。

CVE-2014-7940

未初始化記憶體。

CVE-2014-9654

更多規則運算式瑕疵。

針對 Debian 6 ‘Squeeze’，這些問題已在 icu 的 4.4.1-8+squeeze3 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Iceweasel (Mozilla Firefox 網頁瀏覽器的 Debian 版本) 中發現多個安全性問題：多個記憶體安全錯誤、緩衝區溢位與釋放後使用等，可導致任意程式碼執行、權限提升或拒絕服務。

在 qemu 虛擬化解決方案中發現數個弱點：

- CVE-2014-9718 據發現，IDE 控制器模擬容易遭受拒絕服務攻擊。

- CVE-2015-1779 Daniel P. Berrange 在 VNC Web 通訊端解碼器中發現一個拒絕服務弱點。

- CVE-2015-2756 Jan Beulich 發現非流量分配 PCI 命令暫存器可導致拒絕服務。

- CVE-2015-3456 Jason Geffner 發現模擬磁碟機中有緩衝區溢位，可能會導致任意程式碼執行。

據發現，發佈的 IRC 用戶端 quassel 中 CVE-2013-4422 的修正不完整。這可允許遠端攻擊者在資料庫重新連線之後插入 SQL 查詢 (例如
當後端 PostgreSQL 伺服器重新啟動時)。

Matasano Security 的 Jesse Hertz 發現，分散式版本控制系統 Mercurial 容易受到一個透過複製命令中特製存放庫名稱引發的命令插入弱點影響。

據發現，libzmq (輕量型傳訊核心) 容易遭受使用 ZMTP v3 通訊協定在通訊端上發動的通訊協定降級攻擊。這可允許遠端攻擊者透過傳送 ZMTP v2 或之前版本標頭，繞過 ZMTP v3 安全性機制。

Hanno Boeck 在 Libtasn1 (用來管理 ASN.1 結構的程式庫) 解碼以 DER 編碼的特定輸入時發現一個堆積型緩衝區溢位瑕疵。以 DER 編碼的特製輸入可造成使用 Libtasn1 程式庫的應用程式損毀，或可能執行任意程式碼。

Google 安全性團隊的 Kostya Kortchinsky 在用來解碼 suricata 中 SSL/TLS 憑證的 DER 剖析器中發現一個瑕疵。遠端攻擊者可利用此瑕疵造成 suricata 損毀。

HTTP 反向代理伺服器和負載平衡器 Pound 有數個與安全通訊端層 (SSL) 通訊協定中之弱點相關的問題。

針對 Debian 7 (wheezy)，此更新新增遺失的部分，讓其能實際停用用戶端所啟動的重新交涉，並依預設將其停用 (CVE-2009-3555)。雖然 OpenSSL 系統程式庫通常停用 TLS 壓縮，但仍已將其停用 (CVE-2012-4929)。最後，雖然此更新依預設並不會停用 SSLv3 通訊協定，但其新增功能，以透過新的「DisableSSLv3」組態指示詞完全停用該通訊協定 (CVE-2014-3566)。此外，也已解決重新導向編碼中的一個非安全性敏感問題。

針對 Debian 8 (jessie)，這些問題已在此版本之前獲得修正，但用戶端所啟動的重新交涉除外 (CVE-2009-3555)。此更新可解決 jessie 的這個問題。

Michal Zalewski 在 SQLite 中發現多個弱點，這可能導致拒絕服務或任意程式碼執行。

Nick Sampanis 發現，dnsmasq (一種小型快取 DNS 代理伺服器和 DHCP/TFTP 伺服器) 並未正確檢查在 TCP 連線下呼叫 setup_reply() 函式時的傳回值，這隨後用作函式中的大小引數而在用戶端的連線上寫入資料。遠端攻擊者可惡意利用此問題，透過特製的 DNS 要求造成 dnsmasq 損毀，或可能從處理程序記憶體取得敏感資訊。

在 Wordpress (一種網誌管理器) 中發現多個安全性問題，可允許遠端攻擊者上傳含有無效或不安全名稱的檔案、透過跨網站指令碼掛載社交工程攻擊或入侵網站，以及插入 SQL 命令。

如需詳細資訊，請參閱上游公告

Shadowman131 發現，動態 web 應用程式的 JavaScript UI 程式庫 jqueryui 無法正確清理其「標題」選項。這會允許遠端攻擊者透過跨網站指令碼插入任意程式碼。

據發現，Snoopy (可模擬網頁瀏覽器的 PHP 類別) 中遺漏輸入清理，可導致執行任意命令。

發現 Ruby OpenSSL 延伸模組 (Ruby 預言解譯器的一部分) 未正確進行主機名稱比對，違反了 RFC 6125 規定。這會讓遠端攻擊者透過特製的 SSL 憑證，執行攔截式攻擊。

在 ownCloud 中發現多個弱點；ownCloud 是適用於檔案、音樂、連絡人、行事曆等項目的雲端儲存 Web 服務。

- CVE-2015-3011 Hugh Davenport 發現，ownCloud 隨附的「連絡人」應用程式容易受到多個已存跨網站指令碼攻擊。此弱點在任何瀏覽器中都很容易遭到惡意利用。

- CVE-2015-3012 Roy Jansen 發現，ownCloud 隨附的「文件」應用程式容易受到多個已存跨網站指令碼攻擊。此弱點在支援目前 CSP 標準的瀏覽器中不會遭到惡意利用。

- CVE-2015-3013 Lukas Reschke 發現一個黑名單繞過弱點，其允許經驗證的遠端攻擊者繞過檔案黑名單並上傳諸如 .htaccess 檔案等檔案。如果 /data/ 目錄儲存在 web root 內且使用會解譯 .htaccess 檔案的 web 伺服器，攻擊者可透過上傳 .htaccess 利用此繞過弱點並執行任意 PHP 程式碼。在預設 Debian 安裝上，data 目錄位於 web root 外，因此，預設不會惡意利用此弱點。

ID	名稱	嚴重性
83918	Debian DLA-236-1：wordpress 安全性更新	medium
83908	Debian DSA-3275-1：fusionforge - 安全性更新	critical
83907	Debian DLA-235-1：ruby1.9.1 安全性更新	medium
83906	Debian DLA-234-1：ipsec-tools 安全性更新	high
83905	Debian DLA-227-1：postgresql-8.4 安全性更新	critical
83889	Debian DSA-3274-1：virtualbox - 安全性更新 (Venom)	high
83888	Debian DLA-233-1：clamav 安全性和上游版本更新	high
83887	Debian DLA-232-1：tomcat6 安全性更新	high
83886	Debian DLA-228-1：exactimage 安全性更新	medium
83866	Debian DLA-231-1：dulwich 安全性更新	high
83865	Debian DLA-230-1：eglibc 安全性更新	medium
83864	Debian DLA-229-1：libnokogiri-ruby 安全性更新	high
83820	Debian DSA-3273-1：tiff - 安全性更新	high
83819	Debian DLA-226-2：ntfs-3g 迴歸更新	low
83789	Debian DSA-3272-1：ipsec-tools - 安全性更新	high
83788	Debian DSA-3271-1：nbd - 安全性更新	high
83787	Debian DSA-3270-1：postgresql-9.4 - 安全性更新	critical
83786	Debian DSA-3269-1：postgresql-9.1 - 安全性更新	critical
83785	Debian DSA-3268-1：ntfs-3g - 安全性更新	low
83784	Debian DSA-3267-1：chromium-browser - 安全性更新	high
83775	Debian DSA-3266-1：fuse - 安全性更新	low
83748	Debian DSA-3265-1：zendframework - 安全性更新	critical
83747	Debian DLA-225-1：dnsmasq 安全性更新	medium
83547	Debian DSA-3264-1：icedove - 安全性更新	high
83546	Debian DSA-3263-1：proftpd-dfsg - 安全性更新	critical
83545	Debian DLA-222-1：commons-httpclient 安全性更新	medium
83532	Debian DSA-3262-1：xen - 安全性更新 (Venom)	high
83531	Debian DLA-224-1：ruby1.8 安全性更新	medium
83501	Debian DSA-3261-1：libmodule-signature-perl - 安全性更新	high
83500	Debian DLA-223-1：nbd 安全性更新	high
83499	Debian DLA-221-1：tiff 安全性更新	high
83498	Debian DLA-220-1：dpkg 安全性更新	medium
83476	Debian DLA-219-1：icu 安全性更新	critical
83423	Debian DSA-3260-1：iceweasel - 安全性更新	critical
83422	Debian DSA-3259-1：qemu - 安全性更新 (Venom)	high
83381	Debian DSA-3258-1：quassel - 安全性更新	high
83336	Debian DSA-3257-1：mercurial - 安全性更新	high
83335	Debian DSA-3255-1：zeromq3 - 安全性更新	medium
83308	Debian DSA-3256-1：libtasn1-6 - 安全性更新	medium
83307	Debian DSA-3254-1：suricata - 安全性更新	medium
83306	Debian DSA-3253-1：pound - 安全性更新 (POODLE)	low
83273	Debian DSA-3252-1：sqlite3 - 安全性更新	high
83253	Debian DSA-3251-1：dnsmasq - 安全性更新	medium
83236	Debian DSA-3250-1：wordpress - 安全性更新	medium
83235	Debian DSA-3249-1：jqueryui - 安全性更新	medium
83234	Debian DSA-3248-1：libphp-snoopy - 安全性更新	critical
83233	Debian DSA-3247-1：ruby2.1 - 安全性更新	medium
83232	Debian DSA-3246-1：ruby1.9.1 - 安全性更新	medium
83231	Debian DSA-3245-1：ruby1.8 - 安全性更新	medium
83193	Debian DSA-3244-1：owncloud - 安全性更新	medium

偵測

Nessus 的 Debian Local Security Checks 系列

medium

critical

medium

high

critical

high

high

high

medium

high

medium

high

high

low

high

high

critical

critical

low

high

low

critical

medium

high

critical

medium

high

medium

high

high

high

medium

critical

critical

high

high

high

medium

medium

medium

low

high

medium

medium

medium

critical

medium

medium

medium

medium