遠端 Debian 12 主機上安裝的多個套件受到 dsa-5812 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5812-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package：postgresql-15 CVE ID：CVE-2024-10976 CVE-2024-10977 CVE-2024-10978 CVE-2024-10979

    在 PostgreSQL 中發現多個安全性問題，可能會導致執行任意程式碼、權限提升或日誌操控。

    針對穩定的發行版本 (bookworm)，已在第 15.9-0+deb12u1 版中修正這些問題。

    建議您升級 postgresql-15 套件。

    如需有關 postgresql-15 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3953 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3953-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：icinga2 版本：2.12.3-1+deb11u1 CVE ID： CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369 Debian 錯誤：991494 1087384

    Icinga 2 是一種通用型監控應用程式，可滿足任何規模的網路需求。

    CVE-2021-32739

        2.4.0 版至 2.12.4] 版中有一個弱點，經驗證的 API 使用者可藉此提升權限。攻擊者可利用唯讀使用者的認證，檢視所有組態物件 (包括「ApiListener」的「ticket_salt」) 的大多數屬性。此 salt 足以計算每個可能的通用名稱 (CN) 的票證。票證、主節點的憑證和自我簽署的憑證足以成功從 Icinga 要求所需的憑證，而該憑證可能進而用於竊取端點或 API 使用者的身分。

    CVE-2021-32743

        在 2.11.10 之前版本以及 2.12.0 至 2.12.4 版的 Icinga 2 中，有些需要外部服務認證的功能會透過 API 將這些認證公開給具有對應物件類型讀取權限經驗證的 API 使用者。取得這些認證的攻擊者可冒充 Icinga 存取這些服務，並新增、修改和刪除其中的資訊。

    CVE-2021-37698

        在 2.5.0 至 2.13.0 版中，儘管已指定憑證授權單位，但 ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 並未驗證伺服器的憑證。若 Icinga 2 執行個體在可偽造的基礎結構上使用 TLS 連線至任何上述時間序列資料庫 (TSDB)，應該變更 TSDB 寫入器功能針對 TSDB 進行驗證所使用的認證 (若有)。

    CVE-2024-49369

        從 2.4.0 開始的所有 Icinga 2 版本中的 TLS 憑證驗證皆存有瑕疵，可允許攻擊者假冒受信任的叢集節點，以及使用 TLS 用戶端憑證進行驗證的任何 API 使用者 (具有 client_cn 屬性集的 ApiUser 物件)。

    針對 Debian 11 Bullseye，這些問題已在 2.12.3-1+deb11u1 版本中修正。

    建議您升級 icinga2 套件。

    如需有關 icinga2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/icinga2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5813 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5813-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：symfony CVE ID：CVE-2024-51996

    Moritz Rauch 發現，執行的 Symfony PHP 架構未正確持續 remember-me Cookie，此情況可能導致驗證繞過。

    針對穩定的發行版本 (bookworm)，已在 5.4.23+dfsg-1+deb12u4 版本中修正此問題。

    建議您升級 symfony 套件。

    如需有關 symfony 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/symfony

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3956 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3956-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 11 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：smarty3 版本：3.1.39-2+deb11u2 CVE ID：CVE-2018-25047 CVE-2023-28447 CVE-2024-35226 Debian 錯誤： 1019897 1033964 1072530

    發現廣泛使用的 PHP 範本引擎 smarty3 有多個弱點，可能允許攻擊者執行 XSS (例如 JavaScript 或 PHP 程式碼插入)。

    CVE-2018-25047

        在 Smarty 3.1.47 之前版本和 4.x 之前的 4.2.1 版中，libs/plugins/function.mailto.php 允許 XSS。使用 smarty_function_mailto 並且可使用 GET 或 POST 輸入參數設定參數的網頁允許使用者插入 JavaScript 程式碼。

    CVE-2023-28447

        在受影響的版本中，smarty 未正確逸出 javascript 程式碼。
        攻擊者可惡意利用此弱點，在使用者的瀏覽器工作階段中執行任意 JavaScript 程式碼。這可能導致攻擊者未經授權存取敏感使用者資料、操控 Web 應用程式的行為，或代表使用者執行未經授權的動作。建議使用者升級至 3.1.48 或 4.3.1 版以解決此問題。目前沒有任何因應措施可解決此弱點。

    CVE-2024-35226

        在受影響的版本中，範本作者可透過為延伸標籤選取惡意檔案名稱以插入 php 程式碼。應盡快更新無法完全信任範本作者的網站。建議所有使用者進行更新。v3 分支上沒有供使用者使用的修補程式。
        目前沒有任何因應措施可解決此弱點。

    針對 Debian 11 Bullseye，這些問題已在 3.1.39-2+deb11u2 版本中修正。

    我們建議您升級 smarty3 套件。

    請注意，安裝更新後，您必須清除預設在 templates_c 目錄中的所有 smarty 產生的檔案。

    如需有關 smarty3 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/smarty3

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3955 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3955-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 16 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：waitress 版本：1.4.4-1.1+deb11u2 CVE ID：CVE-2024-49769 Debian 錯誤：1086468

    已在 waitress (Python Web 伺服器閘道介面) 中修正因資源耗盡而導致的 DoS。

    針對 Debian 11 Bullseye，此問題已在 1.4.4-1.1+deb11u2 版本中修正。

    建議您升級 waitress 套件。

    如需有關 waitress 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/waitress

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3954 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3954-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 21 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：postgresql-13 版本：13.18-0+deb11u1 CVE ID： CVE-2024-10978

    修正 CVE-2024-10978 時意外造成來自非互動來源 (包括之前的 ALTER {ROLE|DATABASE} 命令和 PGOPTIONS 環境變數) 的角色設定無法套用。

    針對 Debian 11 Bullseye，此問題已在版本 13.18-0+deb11u1 中修正。

    建議您升級 postgresql-13 套件。

    如需有關 postgresql-13 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/postgresql-13

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3952 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3952-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：unbound 版本：1.13.1-1+deb11u4 CVE ID：CVE-2024-8508 Debian 錯誤：1083282

    在 unbound (一種驗證、遞回、快取 DNS 解析器) 中已經發現一個弱點。具有非常大 RRset 的惡意上游回應可導致 Unbound 花費大量時間，將名稱壓縮套用至下游回覆。這可導致效能降低，並最終在精心策劃的攻擊中造成拒絕服務。惡意執行者可利用此弱點，向 Unbound 查詢具有極大 RRset 之惡意區域的特製內容。

    針對 Debian 11 Bullseye，此問題已在版本 1.13.1-1+deb11u4 中修正。

    建議您升級 unbound 套件。

    如需有關 unbound 安全性狀態的詳細資訊，請參閱相關安全追蹤工具頁面：
    https://security-tracker.debian.org/tracker/unbound

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：這是經數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3951 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3951-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：curl 版本：7.74.0-1.3+deb11u14 CVE ID： CVE-2024-8096


    用於以 URL 語法傳輸資料的命令行工具 curl 受到 CVE-2024-8096 影響。當 TLS 後端為 GnuTLS 時，curl 可能未正確處理 OCSP 裝訂。如果 OCSP 狀態報告的錯誤不是已撤銷 (例如未經授權)，則不會將其視為錯誤的憑證，進而可能允許將無效的憑證視為有效。

    針對 Debian 11 Bullseye，此問題已在版本 7.74.0-1.3+deb11u14 中修正。

    建議您升級 curl 套件。

    如需有關 curl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/curl

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3950 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3950-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libarchive 版本：3.4.3-2+deb11u2 CVE ID： CVE-2021-36976 CVE-2022-26280 CVE-2022-36227 CVE-2024-20696 Debian 錯誤： 991442 1008953 1024669 1086155

    已在多重格式封存與壓縮程式庫 libarchive 中修正多個弱點。

    CVE-2021-36976

        RAR 讀取器釋放後使用

    CVE-2022-26280

        ZIP 讀取器超出邊界讀取

    CVE-2022-36227

        archive_write NULL 解除參照

    CVE-2024-20696

        RAR 讀取器超出邊界寫入

    針對 Debian 11 Bullseye，這些問題已在 3.4.3-2+deb11u2 版本中修正。

    建議您升級 libarchive 套件。

    如需有關 libarchive 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libarchive

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5811 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5811-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：mpg123 CVE ID： CVE-2024-10573 Debian 錯誤：1086443

    在 mpg123 (適用於第 1、2 和 3 層的即時 MPEG 1.0/2.0/2.5 音訊播放程式/解碼器) 中處理特製資料流時，發現超出邊界寫入弱點，可能導致執行任意程式碼。

    針對穩定的發行版本 (bookworm)，已在 1.31.2-1+deb12u1 版本中修正此問題。

    建議您升級 mpg123 套件。

    如需有關 mpg123 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mpg123

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5810 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5810-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2024-10826 CVE-2024-10827

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在第 130.0.6723.116-1~deb12u1 版中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5809 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5809-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：symfony CVE ID：CVE-2024-50340 CVE-2024-50342 CVE-2024-50343 CVE-2024-50345

    在 Symfony PHP 架構中發現多個弱點，這些弱點可導致特權提升、資訊洩漏、錯誤驗證或開放重新導向。

    針對穩定的發行版本 (bookworm)，已在 5.4.23+dfsg-1+deb12u3 版中修正這些問題。

    建議您升級 symfony 套件。

    如需有關 symfony 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/symfony

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3949 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3949-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：ruby-saml 版本：1.11.0-1+deb11u1 CVE ID：CVE-2024-45409


    據發現，ruby-saml (實作 SAML 授權用戶端的程式庫) 未正確驗證 SAML 回應的簽章。能夠存取任何已簽署 saml 文件 (由 IdP 簽署) 的未經驗證攻擊者可因此偽造具有任意內容的 SAML 回應/宣告。如此會允許攻擊者在有弱點的系統中以任意使用者身分登入。

    針對 Debian 11 Bullseye，此問題已在版本 1.11.0-1+deb11u1 中修正。

    建議您升級 ruby-saml 套件。

    如需有關 ruby-saml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-saml

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5808 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5808-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ghostscript CVE ID：CVE-2024-46951 CVE-2024-46952 CVE-2024-46953 CVE-2024-46955 CVE-2024-46956

    在 Ghostscript (GPL PostScript/PDF 解譯器) 中發現數個安全性弱點，如果處理格式錯誤的文件檔案，這些弱點可導致拒絕服務，並可能造成任意程式碼執行。

    針對穩定的發行版本 (bookworm)，這些問題已在 10.0.0~dfsg-11+deb12u6 版本中修正。

    建議您升級 ghostscript 套件。

    如需有關 ghostscript 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ghostscript

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5807 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5807-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 10 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：nss CVE ID：CVE-2024-0743 CVE-2024-6602 CVE-2024-6609

    在 NSS (一組密碼編譯程式庫) 中發現數個弱點，可能導致拒絕服務或執行任意程式碼。

    針對穩定的發行版本 (bookworm)，已在第 2:3.87.1-1+deb12u1 版中修正這些問題。

    建議您升級 nss 套件。

    如需有關 nss 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/nss

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5806 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5806-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 9 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libarchive CVE ID：CVE-2024-20696 Debian 錯誤：1086155

    在多格式封存和壓縮程式庫 libarchive 中發現一個堆積型超出邊界寫入弱點，如果處理特製的 RAR 封存，可能會導致執行任意程式碼。

    針對穩定的發行版本 (bookworm)，已在 3.6.2-1+deb12u2 版本中修正此問題。

    建議您升級 libarchive 套件。

    如需有關 libarchive 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libarchive

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的一個套件受到 dsa-5805 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5805-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 8 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：guix CVE ID：尚未提供

    據發現，GNU Guix 功能套件管理員的程序容易受到特權提升影響。如需其他資訊，請參閱 https://guix.gnu.org/en/blog/2024/build-user-takeover-vulnerability/

    針對穩定的發行版本 (bookworm)，已在 1.4.0-3+deb12u2 版本中修正此問題。

    建議您升級 guix 套件。

    如需有關 guix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/guix

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5804 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5804-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2024 年 11 月 7 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：webkit2gtk CVE ID：CVE-2024-44244 CVE-2024-44296

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2024-44244

        匿名研究人員 Q1IQ (@q1iqF) 和 P1umer 發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2024-44296

        Narendra Bhati 發現，處理惡意特製的 Web 內容可能會使內容安全性原則無法執行。

    針對穩定的發行版本 (bookworm)，已在 2.46.3-1~deb12u1 版中修正這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3948 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3948-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2024 年 11 月 7 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：pypy3 版本：7.3.5+dfsg-2+deb11u3 CVE ID：CVE-2023-6597 CVE-2023-24329 CVE-2023-40217 CVE-2024-0450 Debian 錯誤：

    簡介

    CVE-2023-6597

        在 CPython 的「tempfile.TemporaryDirectory」類別中發現一個問題，此問題會影響 3.12.1、3.11.7、3.10.13、3.9.18、3.8.18 及更舊版本。tempfile.TemporaryDirectory 類別會在清理權限相關錯誤期間解除參照符號連結。這表示可執行特權程式的使用者在某些情況下，可能修改符號連結所參照之檔案的權限。

    CVE-2023-24329

        在 Python 3.11.4 之前的版本中，urllib.parse 元件中有一個問題，攻擊者可藉此提供以空白字元開頭的 URL，從而繞過封鎖清單方法。

    CVE-2023-40217

        在 Python 3.8.18 之前的版本，3.9.18 之前的 3.9.x 版、3.10.13 之前的 3.10.x 版、3.11.5 之前的 3.11.x 版中發現一個問題。該弱點主要影響使用 TLS 用戶端驗證的伺服器 (例如 HTTP 伺服器)。如果建立了 TLS 伺服器端通訊端，將資料接收到通訊端緩衝區，然後快速關閉，則有一個短暫的視窗，SSLSocket 執行個體會將通訊端偵測為「未連線」，且不會發起交握，但攻擊者仍可從通訊端緩衝區讀取緩衝的資料。如果伺服器端 TLS 對等端預期收到用戶端憑證驗證，則此資料將不會經過驗證，且無法與有效的 TLS 資料流資料區別開來。資料大小限制為緩衝區可容納的數量。(TLS 連線無法直接用於資料洩漏，因為有弱點的程式碼路徑要求在 SSLSocket 初始化時關閉連線。)

    CVE-2024-0450

        在 CPython 的 `zipfile` 模組中發現一個問題，此問題會影響 3.12.1、3.11.7、3.10.13、3.9.18、3.8.18 及更舊版本。zipfile 模組容易受到重疊引用的 zip 炸彈攻擊，此攻擊可利用 zip 格式建立高壓縮率 zip 炸彈。在修正後的 CPython 版本中，zipfile 模組會拒絕與封存中項目重疊的 zip 封存。

    針對 Debian 11 Bullseye，這些問題已在 7.3.5+dfsg-2+deb11u3 版本中修正。

    我們建議您升級 pypy3 套件。

    如需有關 pypy3 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pypy3

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3947 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3947-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 6 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：puredata 版本：0.51.4-1+deb11u1 CVE ID：CVE-2024-21647 CVE-2024-45614


    已修正 puma (適用於 Ruby/Rack 應用程式的執行緒 HTTP 伺服器) 中的兩個弱點。

    CVE-2024-21647

        在剖析區塊傳輸編碼內文時，會出現允許 HTTP 要求走私的錯誤行為。修正的版本會限制區塊延伸模組的大小。若無此限制，攻擊者可造成無限制的資源 (CPU、網路頻寬) 消耗。

    CVE-2024-45614

        用戶端可藉由提供相同標頭 (X-Forwarded_For) 的底線版本來破壞中繼 Proxy (例如 X-Forwarded-For) 設定的值。任何依賴 Proxy 集變數的使用者都會受到影響。

    針對 Debian 11 Bullseye，這些問題已在 4.3.8-1+deb11u3 版本中修正。

    建議您升級 puma 套件。

    如需有關 puma 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/puma

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3946 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3946-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 5 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：context 版本：2020.03.10.20200331-1+deb11u1

    一般用途文件處理器受到 CVE-2023-32700 修正影響的內容，該修正預設為停用 luasocket。

    此錯誤修正版本可修正在安裝內容 (postinst) 時所使用的 mtxrun 程式中遭 CVE-2023-32700 修補程式損毀的問題。

    針對 Debian 11 Bullseye，此問題已在版本 2020.03.10.20200331-1+deb11u1 中修正。

    建議您升級內容套件。

    如需有關內容安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/context

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3945 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3945-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 11 月 5 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libheif 版本：1.11.0-1+deb11u2 CVE ID： CVE-2023-0996 CVE-2023-29659 Debian 錯誤： 1032101 1035607

    據發現，libheif (HEIF 和 AVIF 影像格式的解碼器和編碼器) 中有兩個問題，可遭特製影像檔案惡意利用。

    針對 Debian 11 Bullseye，這些問題已在 1.11.0-1+deb11u2 版本中修正。

    建議您升級 libheif 套件。

    如需有關 libheif 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libheif

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5803 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5803-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2024-10458 CVE-2024-10459 CVE-2024-10460 CVE-2024-10461 CVE-2024-10462 CVE-2024-10463 CVE-2024-10464 CVE-2024-10465 CVE-2024-10466 CVE-2024-10467

    在 Thunderbird 中發現多個安全性問題，可導致拒絕服務或任意程式碼執行攻擊。

    Debian 遵守 Thunderbird 上游版本。已停止支援 115.x 系列，自此更新開始，我們將遵循 128.x 系列。

    針對穩定的發行版本 (bookworm)，已在版本 1:128.4.0esr-1~deb12u1 中修正這些問題。此版本尚未適用於 i386 架構。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3944 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3944-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 3 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：thunderbird 版本：1:128.4.0esr-1~deb11u1 CVE ID：CVE-2024-10458 CVE-2024-10459 CVE-2024-10460 CVE-2024-10461 CVE-2024-10462 CVE-2024-10463 CVE-2024-10464 CVE-2024-10465 CVE-2024-10466 CVE-2024-10467

    在 Thunderbird 中發現多個安全性問題，可導致任意程式碼執行攻擊。

    針對 Debian 11 Bullseye，已在 1:128.4.0esr-1~deb11u1 版本中修正這些問題。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5802 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5802-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 11 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2024-10487 CVE-2024-10488

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 130.0.6723.91-1~deb12u1 版中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5801 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5801-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 10 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID：CVE-2024-10458 CVE-2024-10459 CVE-2024-10460 CVE-2024-10461 CVE-2024-10462 CVE-2024-10463 CVE-2024-10464 CVE-2024-10465 CVE-2024-10466 CVE-2024-10467

    在 Mozilla Firefox Web 瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、跨網站指令碼、偽造或資訊洩漏。

    針對穩定的發行版本 (bookworm)，已在版本 128.4.0esr-1~deb12u1 中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3943 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3943-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 10 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：128.4.0esr-1~deb11u1 CVE ID：CVE-2024-10458 CVE-2024-10459 CVE-2024-10460 CVE-2024-10461 CVE-2024-10462 CVE-2024-10463 CVE-2024-10464 CVE-2024-10465 CVE-2024-10466 CVE-2024-10467

    在 Mozilla Firefox Web 瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、跨網站指令碼、偽造或資訊洩漏。

    針對 Debian 11 Bullseye，已在版本 128.4.0esr-1~deb11u1 中修正這些問題。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3942 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3942-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2024 年 11 月 3 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：openssl 版本：1.1.1w-0+deb11u2 CVE ID：CVE-2023-5678 CVE-2024-0727 CVE-2024-2511 CVE-2024-4741 CVE-2024-5535 CVE-2024-9143 Debian 錯誤：1055473 1061582 1068658 1072113 1074487 1085378

    在先前針對 Debian Bullseye LTS 的 openssl 更新中，上傳的版本號碼有誤。因此，apt 工具無法在最新的 Bullseye 系統上選取並安裝該更新版套件。此問題現已更正。

    針對 Debian 11 Bullseye，此問題已在 1.1.1w-0+deb11u2 版本中修正。

    建議您升級 openssl 套件。

    如需有關 openssl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/openssl

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3941 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3941-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 10 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：texlive-bin 版本：2020.20200327.54578-7+deb11u2 CVE ID：CVE-2023-32668 CVE-2024-25262 Debian 錯誤：1036470 1064517

    texlive 是 TeX 排版系統的熱門軟體發行版本，包含主要的 TeX 相關程式、巨集套件和字型，其受到兩個弱點影響。

    CVE-2023-32668

        文件 (以預設設定編譯) 可以提出任意網路要求。
        如文件所述，發生此情況的原因是預設允許對通訊端程式庫進行完整存取。

    CVE-2024-25262

        據發現，透過 ttfLoadHDMX:ttfdump 函式存在堆積緩衝區溢位。此弱點允許攻擊者藉由提供特製的 TTF 檔案來造成拒絕服務 (DoS)。

    針對 Debian 11 Bullseye，已在版本 2020.20200327.54578-7+deb11u2 中修正這些問題。

    建議您升級 texlive-bin 套件。

    如需有關 texlive-bin 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/texlive-bin

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5800 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5800-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 10 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：xorg-server CVE ID：CVE-2024-9632 Debian 錯誤：1086244

    Jan-Niklas Sohn 發現了一個堆積型緩衝區溢位弱點，
    此弱點存在於 _X.org X 伺服器的 X Keyboard Extension 中的 _XkbSetCompatMap 函式中，如果 X 伺服器以有權限的方式執行，則可能會導致特權提升。

    針對穩定的發行版本 (bookworm)，已在 2:21.1.7-3+deb12u8 版本中修正此問題。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3940 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3940-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2024 年 10 月 29 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：xorg-server 版本：2:1.20.11-1+deb11u14 CVE ID：CVE-2024-9632


    Jan-Niklas Sohn 與 Trend Micro Zero Day Initiative 合作，在 X.Org 發布的 X 伺服器和 Xwayland 實作中發現一個問題。
    CVE-2024-9632 可透過向 X.Org 伺服器提供修改過的點陣圖來觸發。如果伺服器以 root 身分執行，則可能導致本機特權提升；如果透過 ssh 的 x11 轉發，則可能導致遠端程式碼執行。



    針對 Debian 11 Bullseye，此問題已在版本 2:1.20.11-1+deb11u14 中修正。

    建議您升級 xorg-server 套件。

    如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xorg-server

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3939 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3939-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 10 月 29 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-git 版本：3.1.14-1+deb11u1 CVE ID： CVE-2022-24439 CVE-2023-40267 CVE-2023-41040 Debian 錯誤：1027163 1043503

    GitPython 提供 Git 存放庫的物件模型存取權。

    CVE-2022-24439、CVE-2023-40267 (後續追蹤)

        - 可能會因使用者輸入驗證不當而出現遠端程式碼執行 (RCE) 情形，攻擊者可藉此將惡意特製的遠端 URL 插入複製命令中。此弱點可能遭到惡意利用，這是因為程式庫會在未充分清理輸入引數的情況下，對 git 進行外部呼叫。

    CVE-2023-41040

        GitPython 會從「.git」目錄讀取檔案，在某些情況下，讀取的檔案名稱是由使用者提供，GitPython 不會檢查此檔案是否位於「.git」目錄之外的目錄。
        這會允許攻擊者使 GitPython 從系統讀取任何檔案。

    針對 Debian 11 bullseye，已在 3.1.14-1+deb11u1 版本中修正這些問題。

    建議您升級 python-git 套件。

    如需 python-git 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-git

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS



    附件：
    signature.asc 描述：這是經數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3938 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3938-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2024 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：exim4 版本：4.94.2-7+deb11u4 CVE ID： CVE-2021-38371 CVE-2022-3559 CVE-2023-42117 CVE-2023-42119 Debian 錯誤：992172

    已解決郵件傳輸代理程式 exim4 中的多個潛在安全性弱點。這些問題可能會允許遠端攻擊者洩漏敏感資訊或執行任意程式碼，但前提是 Exim4 是配合未受信任的代理伺服器或 DNS 解析器執行，或在其後方執行。如果您的 proxy-protocol 代理伺服器或 DNS 解析器是可信任的，就不會受到影響。

    我們已在 4.94.2-7+deb11u4 版本中修正 Debian 11 bullseye 的這些問題。

    我們建議您升級 exim4 套件。

    如需有關 exim4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/exim4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3937 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3937-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arturo Borrero Gonzalez 2024 年 10 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：nss 版本：2:3.61-1+deb11u4 CVE ID：CVE-2024-0743 CVE-2024-6602 CVE-2024-6609

    nss - Network Security Services 程式庫

    這是一組程式庫，專用於支援跨平台開發啟用安全性的用戶端及伺服器應用程式。它可支援 SSLv2 和 v4、TLS、PKCS #5、#7、#11、#12、S/MIME、X.509 v3 憑證及其他安全性標準。

    除了其他公用程式，此套件還包含：
      * certutil：管理憑證和金鑰資料庫 (cert7.db 和 key3.db)
      * modutil：管理 PKCS11 模組的資料庫 (secmod.db)
      * pk12util：在 cert/key 資料庫和 PKCS12 格式的檔案之間匯入/匯出金鑰和憑證。
      * shlibsign：建立用於 FIPS 模式的 .chk 檔案。
      * signtool：建立含有檔案和/或程式碼的經數位簽署 jar 封存。
      * ssltap：SSL 伺服器的 Proxy 要求，並顯示用戶端和伺服器之間交換的訊息內容。

    CVE-2024-0743

        TLS 交握程式碼中包含未經檢查的傳回值，這可能已造成可遭利用的程式損毀問題。

    CVE-2024-6602

        allocator 與 deallocator 之間的不符可能會導致記憶體損毀。

    CVE-2024-6609

        當記憶體幾乎用盡時，可再次釋放從未分配的橢圓曲線金鑰。

    針對 Debian 11 bullseye，已在 2:3.61-1+deb11u4 版本中修正這些問題。

    建議您升級 nss 套件。

    如需有關 nss 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/nss

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5799 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5799-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 10 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2024-10229 CVE-2024-10230 CVE-2024-10231

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 130.0.6723.69-1~deb12u1 版本中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5798 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5798-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 10 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：activemq CVE ID：CVE-2023-46604

    Christoper L. Shannon 發現 Apache ActiveMQ 中的 OpenWire 通訊協定實作容易受到任意程式碼執行所影響。

    針對穩定的發行版本 (bookworm)，已在版本 5.17.2+dfsg-2+deb12u1 中修正這些問題。

    建議您升級 activemq 套件。

    如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/activemq

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3936 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3936-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2024 年 10 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：activemq 版本：5.16.1-1+deb11u1 CVE ID： CVE-2022-41678 CVE-2023-46604 Debian 錯誤：1054909

    在 Java 型訊息代理人 Apache ActiveMQ 中發現兩個弱點。

    CVE-2022-41678

        Jolokia 上的還原序列化弱點可允許經驗證的使用者執行任意程式碼。

    CVE-2023-46604

        - Java OpenWire 通訊協定封送處理器容易受到遠任意式碼執行影響。出現此弱點時，若遠端攻擊者可透過網路存取操控 OpenWire 通訊協定中的序列化類別類型，在 Java 式 OpenWire 代理人或用戶端來執行任意 shell 命令。

    針對 Debian 11 bullseye，已在 5.16.1-1+deb11u1 版本中修正這些問題。

    建議您升級 activemq 套件。

    如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/activemq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5796 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告DSA-5797-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 10 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：twisted CVE ID：CVE-2023-46137 CVE-2024-41671 CVE-2024-41810

    在適用於網際網路應用程式的事件型架構 Twisted 中發現多個安全性問題，這些問題可能導致 HTTP 要求或跨網站指令碼的錯誤排序。

    針對穩定的發行版本 (bookworm)，已在 22.4.0-4+deb12u1 版中修正這些問題。

    建議您升級 twisted 套件。

    如需有關 Twisted 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/twisted

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5796 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告DSA-5796-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 10 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libheif CVE ID：CVE-2023-29659 CVE-2023-49462 CVE-2024-41311

    在剖析 HEIF 與 AVIF 檔案的資料庫 libheif 中發現多個安全性問題，這些問題會導致拒絕服務，或可能造成任意程式碼執行。

    針對穩定的發行版本 (bookworm)，已在版本 1.15.1-1+deb12u1 中修正這些問題。

    建議您升級 libheif 套件。

    如需有關 libheif 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libheif

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3935 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3935-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Stefano Rivera 2024 年 10 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：distro-info-data 版本： 0.51+deb11u7

    這是 Debian LTS 使用者的 distro-info-data 資料庫的例行更新。

    新增 Ubuntu 25.04。

    針對 Debian 11 Bullseye，此問題已在版本 0.51+deb11u1 中修正。

    建議您升級 distro-info-data 套件。

    如需有關 distro-info-data 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/distro-info-data

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3933 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3933-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 10 月 22 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：dmitry 版本：1.3a-1.1+deb11u1 CVE ID：CVE-2017-7938 CVE-2020-14931 CVE-2024-31837 Debian 錯誤：1070370

    已修正 DMitry (用於收集盡可能多的主機資訊的工具) 中的多個弱點。

    CVE-2017-7938

        堆疊型緩衝區溢位

    CVE-2020-14931

        堆疊型緩衝區溢位

    CVE-2024-31837

        format-string 弱點

    針對 Debian 11 bullseye，這些問題已在版本 1.3a-1.1+deb11u1 中修正。

    建議您升級 dmitry 套件。

    如需有關 dmitry 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dmitry

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3934 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3934-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 10 月 22 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: libheif 版本: 1.11.0-1+deb11u1 CVE ID: CVE-2024-41311

    據發現，libheif (用於 HEIF 和 AVIF 影像格式的解碼器和編碼器) 中存在一個潛在的超出邊界讀取弱點。

    ImageOverlay::parse() 中的檢查不足，具有偽造位移的重疊影像可以惡意利用此問題，進而導致未定義的行為。

    針對 Debian 11 Bullseye，此問題已在版本 1.11.0-1+deb11u1 中修正。

    建議您升級 libheif 套件。

    如需有關 libheif 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/libheif

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3932 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3932-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2024 年 10 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-sql 版本：1.2.1-1+deb11u1 CVE ID：CVE-2024-9774

    Cdric Krier 發現，以 python 方式寫入 SQL 查詢的程式庫 python-sql 執行的清理不足，可導致 SQL 插入。

    針對 Debian 11 Bullseye，此問題已在版本 1.2.1-1+deb11u1 中修正。

    建議您升級 python-sql 套件。

    如需 python-sql 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-sql

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3931 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3931-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2024 年 10 月 22 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：ghostscript 版本： 9.53.3~dfsg-7+deb11u8 CVE ID： CVE-2024-29508

    在 PostScript 語言和 PDF 的解譯器 Ghostscript 中發現一個堆積型指標洩漏問題。這可導致資訊洩漏。

    針對 Debian 11 Bullseye，已在版本 9.53.3~dfsg-7+deb11u8 中修正此問題。

    建議您升級 ghostscript 套件。

    如需有關 ghostscript 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ghostscript

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3930 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3930-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2024 年 10 月 22 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：libsepol 版本：3.1-1+deb11u1 CVE ID：CVE-2021-36084 CVE-2021-36085 CVE-2021-36086 CVE-2021-36087 Debian 錯誤：990526

    在 libsepol (一組用於操控 SELinux 原則的使用者空間公用程式和程式庫) 中發現多個弱點。

    CVE-2021-36084, CVE-2021-36085, CVE-2021-36086

        在 CIL 編譯器中發現三個釋放後使用問題。
        這些可導致資料損毀，或可能造成任意程式碼執行。

    CVE-2021-36087

        在 CIL 編譯器中發現堆積型緩衝區過度讀取。
        這可導致機密性或完整性違規或當機。

    針對 Debian 11 bullseye，已在 3.1-1+deb11u1 版本中修正這些問題。

    建議您升級 libsepol 套件。

    如需有關 libsepol 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libsepol

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的一個套件受到 dsa-5795 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5795-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 10 月 21 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：python-sql CVE ID：CVE-2024-9774

    Cedric Krier 發現，以 python 方式寫入 SQL 查詢的程式庫 python-sql 執行的清理不足，可導致 SQL 插入。

    針對穩定的發行版本 (bookworm)，已在 1.4.0-1+deb12u1 版本中修正此問題。

    建議您升級 python-sql 套件。

    如需 python-sql 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-sql

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3928 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3928-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 10 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：ffmpeg 版本：7:4.3.8-0+deb11u1 CVE ID：CVE-2023-49502 CVE-2024-7055 CVE-2024-31578

    在 FFmpeg 多媒體架構中發現數個弱點，如果處理格式錯誤的檔案/串流，會導致拒絕服務或可能執行任意程式碼。

    針對 Debian 11 Bullseye，這些問題已在 7:4.3.8-0+deb11u1 版本中修復。

    建議您升級 ffmpeg 套件。

    如需有關 ffmpeg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5793 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5793-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 10 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID：CVE-2024-9954 CVE-2024-9955 CVE-2024-9956 CVE-2024-9957 CVE-2024-9958 CVE-2024-9959 CVE-2024-9960 CVE-2024-9961 CVE-2024-9962 CVE-2024-9963 CVE-2024-9964 CVE-2024-9965 CVE-2024-9966

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 130.0.6723.58-1~deb12u1 版中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3923 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3923-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 19 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php-horde-turba 版本：4.2.25-5+deb11u2 CVE ID：CVE-2022-30287 Debian 錯誤：1012279

    據發現，Horde groupware 套件的通訊錄元件 php-horde-turba 中存在一個任意物件還原序列化弱點。

    針對 Debian 11 Bullseye，此問題已在 4.2.25-5+deb11u2 版本中修正

    建議您升級 php-horde-turba 套件。

    如需有關 php-horde-turba 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php-horde-turba

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

    注意：
    4.2.25-5+deb11u1 未正確上傳，因此從未達到封存。4.2.25-5+deb11u2 是修正此錯誤的無變更重新上傳。
    附件：
    signature.asc 描述：PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3924 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3924-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 10 月 19 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php-horde-mime-viewer 版本：2.2.4+debian0-2~deb11u1 CVE ID：CVE-2022-26874 Debian 錯誤：

    在適用於 Horde groupware 平台的 MIME 檢視器程式庫 php-horde-mime-viewer 中發現一個潛在的 XSS 弱點。

    針對 Debian 11 Bullseye，此問題已在 2.2.4+debian0-2~deb11u1 版本中修正。

    建議您升級 php-horde-mime-viewer 套件。

    如需有關 php-horde-mime-viewer 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php-horde-mime-viewer

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
211509	Debian dsa-5812：libecpg-compat3 - 安全性更新	high
211508	Debian dla-3953：icinga2 - 安全性更新	high
211507	Debian dsa-5813：php-symfony - 安全性更新	high
211501	Debian dla-3956：smarty3 - 安全性更新	medium
211494	Debian dla-3955：python-waitress-doc - 安全性更新	high
211488	Debian dla-3954：libecpg-compat3 - 安全性更新	medium
211384	Debian dla-3952：libunbound-dev - 安全性更新	medium
210952	Debian dla-3951：curl - 安全性更新	medium
210823	Debian dla-3950：libarchive-dev - 安全性更新	critical
210748	Debian dsa-5811：libmpg123-0 - 安全性更新	medium
210747	Debian dsa-5810：chromium - 安全性更新	high
210744	Debian dsa-5809：php-symfony - 安全性更新	medium
210743	Debian dla-3949：ruby-saml - 安全性更新	critical
210742	Debian dsa-5808：ghostscript - 安全性更新	high
210728	Debian dla-5807：libnss3 - 安全性更新	high
210720	Debian dsa-5806：libarchive-dev - 安全性更新	high
210629	Debian dsa-5805：guix - 安全性更新	high
210545	Debian dsa-5804：gir1.2-javascriptcoregtk-4.0 - 安全性更新	medium
210518	Debian dla-3948：pypy3 - 安全性更新	critical
210422	Debian dla-3947：puma - 安全性更新	medium
210378	Debian dla-3946：內容 - 安全性更新	high
210377	Debian dla-3945：heif-gdk-pixbuf - 安全性更新	high
210370	Debian dsa-5803：thunderbird - 安全性更新	high
210142	Debian dla-3944：thunderbird - 安全性更新	high
210134	Debian dsa-5802：chromium - 安全性更新	high
210012	Debian dsa-5801：firefox-esr - 安全性更新	high
210011	Debian dla-3943：firefox-esr - 安全性更新	high
209978	Debian dla-3942：libcrypto1.1-udeb - 安全性更新	high
209907	Debian dla-3941：libkpathsea-dev - 安全性更新	medium
209888	Debian dsa-5800：xnest - 安全性更新	high
209887	Debian dla-3940：xdmx - 安全性更新	high
209877	Debian dla-3939：python-git-doc - 安全性更新	critical
209857	Debian dla-3938：exim4 - 安全性更新	critical
209846	Debian dla-3937：libnss3 - 安全性更新	high
209845	Debian dsa-5799：chromium - 安全性更新	high
209827	Debian dsa-5798：activemq - 安全性更新	critical
209676	Debian dla-3936：activemq - 安全性更新	critical
209675	Debian dsa-5795：python3-twisted - 安全性更新	medium
209674	Debian dsa-5796：heif-gdk-pixbuf - 安全性更新	high
209650	Debian dla-3935：distro-info-data - 安全性更新	high
209532	Debian dla-3933：dmitry - 安全性更新	critical
209531	Debian dla-3934: heif-gdk-pixbuf - 安全性更新	high
209526	Debian dla-3932：python3-sql - 安全性更新	medium
209517	Debian dla-3931：ghostscript 安全性更新	low
209513	Debian dla-3930：libsepol1 - 安全性更新	low
209509	Debian dsa-5795：python3-sql - 安全性更新	medium
209442	Debian dla-3928：ffmpeg - 安全性更新	medium
209339	Debian dsa-5793：chromium - 安全性更新	high
209336	Debian dla-3923：php-horde-turba - 安全性更新	high
209335	Debian dla-3924：php-horde-mime-viewer - 安全性更新	medium

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

high

medium

high

medium

medium

medium

critical

medium

high

medium

critical

high

high

high

high

medium

critical

medium

high

high

high

high

high

high

high

high

medium

high

high

critical

critical

high

high

critical

critical

medium

high

high

critical

high

medium

low

low

medium

medium

high

high

medium