M. Lucinskij 和 P. Tumenas 在用於處理 Modplug 追蹤器音樂庫中 S3M 追蹤器檔案的程式碼中發現一個緩衝區溢位問題，其可能導致任意程式碼執行。

在 Open Source PBX 和電話語音工具組 Asterisk 中發現數個弱點。

- CVE-2011-1147 Matthew Nicholson 發現不正確處理 UDPTL 封包可能導致拒絕服務或執行任意程式碼。

- CVE-2011-1174 Blake Cornell 發現，在管理員介面中不正確處理連線可能導致拒絕服務。

- CVE-2011-1175 Blake Cornell 和 Chris May 發現不正確處理 TCP 連線可能導致拒絕服務。

- CVE-2011-1507 Tzafrir Cohen 發現，數個 TCP 型服務中的連線要求限制不充分，可能導致拒絕服務。請參閱 AST-2011-005 瞭解詳細資料。

- CVE-2011-1599 Matthew Nicholson 發現管理員介面中有一個權限提升弱點。

在 Java 平台的實作 OpenJDK 中發現數個安全性弱點。

- CVE-2010-4351 JNLP SecurityManager 在某些情況下會從 checkPermission 方法傳回，而非擲回例外狀況，這可允許內容相依的攻擊者建立 ClassLoader 的執行個體，藉此繞過預定的安全性原則。

- CVE-2010-4448 惡意的 applet 可發動 DNS 快取毒害攻擊。

- CVE-2010-4450 一個空 (但已設定) LD_LIBRARY_PATH 環境變數導致錯誤構建的程式庫搜尋路徑，進而導致執行來自可能不受信任的來源之程式碼。

- CVE-2010-4465 惡意的 applet 可濫用 Swing 計時器，藉此延伸其權限。

- CVE-2010-4469 Hotspot just-in-time 編譯器錯誤編譯了特製的位元組序列，進而導致堆積損毀。

- CVE-2010-4470 不受信任的程式碼可惡意利用 JAXP 來提升權限。

- CVE-2010-4471 不受信任的程式碼可惡意利用 Java2D 來提升權限。

- CVE-2010-4472 不受信任的程式碼可取代 XML DSIG 實作。

- CVE-2011-0025 未正確驗證 JAR 檔案的簽章，其可允許遠端攻擊者誘騙使用者執行似乎來自受信任來源的程式碼。

- CVE-2011-0706 JNLPClassLoader 類別允許遠端攻擊者透過與多個簽署者及不當安全性描述符號指派相關的不明向量取得權限。

此外，此安全性更新也包含穩定性修正，例如針對此 OpenJDK 特定版本改用建議的 Hotspot 版本 (hs14)。

據發現，一種用於實作物件持續性的 PHP 程式庫 Doctrine 具有多個 SQL 插入弱點。實際影響視使用 Doctrine 程式庫的應用程式而定。

Christoph Martin 發現 TinyProxy (輕量型、非快取的選用匿名 HTTP 代理伺服器) 中不正確的 ACL 處理可導致非預定的網路存取權。

舊的穩定發行版本 (lenny) 未受影響。

Viacheslav Tykhanovskyi 在 Mojolicious (Perl Web 應用程式架構) 中發現一個目錄遊走弱點。

舊的穩定發行版本 (lenny) 不包含 libmojolicious-perl。

在要求追蹤器 (一種問題追蹤系統) 中發現數個弱點。

- CVE-2011-1685 如果啟用外部自訂欄位功能，要求追蹤器允許經驗證的使用者以 Web 伺服器的權限執行任意程式碼，其可能由一個跨網站要求偽造攻擊觸發。
 (外部自訂欄位預設為停用。)

- CVE-2011-1686 多個 SQL 插入攻擊允許經驗證的使用者以未經授權的方式從資料庫取得資料。

- CVE-2011-1687 資訊洩漏允許經驗證之有權限的使用者透過搜尋介面取得敏感資訊，例如加密密碼。

- CVE-2011-1688 當在特定 Web 伺服器 (例如 Lighttpd) 下執行時，要求追蹤器容易受到目錄遊走攻擊，進而允許攻擊者讀取 Web 伺服器可存取的任何檔案。在 Apache 或 Nginx 下執行的要求追蹤器執行個體不會受到影響。

- CVE-2011-1689 要求追蹤器包含多個跨網站指令碼弱點。

- CVE-2011-1690 要求追蹤器可讓攻擊者將合法使用者提供的驗證認證重新導向至第三方伺服器。

Nicolas Gregoire 發現，XML 安全性程式庫 xmlsec 允許遠端攻擊者在簽章驗證期間，透過使用 libxslt 輸出延伸和 ds:Transform 元素的特製 XML 檔案，建立或覆寫任意檔案。

Aliz Hammond 發現，多媒體播放程式和串流程式 VLC 的 MP4 解碼器外掛程式容易受到一個堆積型緩衝區溢位問題影響。此問題是由計算大小時所用的錯誤資料類型所引入的。攻擊者可利用此瑕疵，誘騙受害者開啟特製的 MP4 檔案，並且可能執行任意程式碼或損毀 Media Player。

舊的穩定發行版本 (lenny) 未受此問題影響。

Sebastian Krahmer 和 Marius Tomaschewski 發現，dhcp3 的 dhclient (DHCP 用戶端) 未正確篩選 DHCP 伺服器回應中特定選項的 shell 中繼字元。這些選項會以不安全的 dhclient 指令碼執行方式重複使用。這會允許攻擊者傳送特製的 DHCP 選項給使用惡意伺服器的用戶端，進而利用這類程序的權限執行任意命令。

Sebastian Krahmer 和 Marius Tomaschewski 發現，isc-dhcp 的 dhclient (DHCP 用戶端) 未正確篩選 DHCP 伺服器回應中特定選項的 shell 中繼字元。這些選項會以不安全的 dhclient 指令碼執行方式重複使用。這會允許攻擊者傳送特製的 DHCP 選項給使用惡意伺服器的用戶端，進而利用這類程序的權限執行任意命令。

Dylan Simon 發現 Git 存放庫的 SSH 式 gatekeeper，即 gitolite，在限制系統管理員定義的命令 (ADC) 時容易遭受目錄遊走攻擊。這允許攻擊者透過特製命令名稱以 gitolite 伺服器的權限執行任意命令。

請注意，這只會影響已啟用 ADC 的安裝 (非 Debian 預設)。

舊的穩定發行版本 (lenny) 未受此問題影響，其並不包含 gitolite。

Tango 發現，wiki 編譯器 ikiwiki 在頁面中新增替代樣式表時，並未驗證頁面中的 htmlscrubber 外掛程式是否已啟用。此可讓能上傳自訂樣式表的攻擊者新增惡意樣式表做為替代樣式表，或取代預設樣式表，進而發動跨網站指令碼攻擊。

Sebastian Krahmer 發現，x11-xserver-utils 的 xrdb 公用程式 (一種 X 伺服器的資源資料庫公用程式) 未正確篩選特製的主機名稱。只要遠端攻擊者可透過 xdmcp 遠端登入，或是將惡意的 DHCP 伺服器放置於受害者的網路中，便可利用此弱點使用 root 權限執行任意程式碼。

Daniel Danner 發現終端多工器 tmux 未正確放置群組權限。由於 Debian 引入了一個修補程式，其以 -S 選項觸發時，tmux 不會放置透過其 setgid 安裝所取得的權限。

舊的穩定發行版本 (lenny) 未受此問題影響，因為該版本未包含 tmux。

Ricardo Narvaja 發現，如果使用者遭到誘騙而開啟格式錯誤的媒體檔案，VLC (一款多媒體播放程式與資料流程式) 中的遺漏輸入清理可導致執行任意程式碼。

針對已在 Debian 穩定版 (squeeze) 中，於凍結期間或 DSA-2159 中解決的弱點 (CVE-2010-0522、CVE-2010-1441、CVE-2010-1442 與 CVE-2011-0531)，此更新也會提供舊的穩定版本 (lenny) 更新版套件。

在 TIFF 操控和轉換程式庫中發現數個弱點。

- CVE-2011-0191 緩衝區溢位允許透過以 JPEG 編碼的特製 TIFF 影像，執行任意程式碼或造成拒絕服務。此問題僅會影響 Debian 5.0 Lenny 套件。

- CVE-2011-0192 緩衝區溢位允許透過已使用 CCITT Group 4 編碼壓縮之特製 TIFF 網際網路傳真影像檔案，執行任意程式碼或造成拒絕服務。

- CVE-2011-1167 thunder (即 ThunderScan) 解碼器中的堆積型緩衝區溢位允許透過具有非預期 BitsPerSample 值的 TIFF 檔案，執行任意程式碼。

Emmanuel Bouillon 發現，Linux SCSI 目標使用者空間工具 tgt 有一個重複釋放問題，其可導致拒絕服務。

舊的穩定發行版本 (lenny) 不包含 tgt。

據發現，BIND (DNS 伺服器) 在授權伺服器中透過動態 DNS 更新或增量區域傳輸 (IXFR) 處理區域更新時，包含一個爭用情形。這種更新在處理查詢時，可能會導致鎖死和拒絕服務。(CVE-2011-0414)

此外，此安全性更新可解決與透過快取解析器處理新 DNSSEC DS 記錄相關的缺失，進而可能導致已委派區域中的名稱解析失敗。如果啟用 DNSSEC 驗證，將 .COM 的 DS 記錄新增至 2011 年 3 月 31 日的 DNS root 區域時，此問題可能會使結尾為 .COM 的網域無法使用。可以重新啟動受到此問題影響的未修補伺服器，因而重新啟用 .COM 網域的解析。
此因應措施也適用於舊穩定版內的版本。

未使用 DNSSEC 驗證的組態不會受到這個第二個問題的影響。

在 Tomcat Servlet 和 JSP 引擎中發現多種弱點，可導致拒絕服務、跨網站指令碼、資訊洩漏和 WAR 檔案遊走。如需有關個別安全性問題的進一步詳細資料，請參閱 Apache Tomcat 5 弱點頁面。

在完整功能的電子公事包、網誌、履歷製作工具和社交網路系統 Mahara 中發現兩個安全性弱點：

- CVE-2011-0439 在 Mahara 使用者交付的一個安全性檢閱中發現，Mahara 會處理未清理的輸入，進而可導致跨網站指令碼 (XSS)。

- CVE-2011-0440 Mahara 開發人員發現，Mahara 在某些情況下未檢查工作階段金鑰，其可遭惡意利用作為跨網站要求偽造 (CSRF) 並可導致刪除部落格。

Sebastian Krahmer 發現當操控與登入使用者相關的檔案時，GDM 3，即 GNOME Display Manager，未正確中斷權限。因此，本機使用者可取得 root 權限。

舊的穩定發行版本 (lenny) 不包含 gdm3 套件。
gdm 套件不會受此問題影響。

Moritz Naumann 發現，適用於 Horde 架構的 webmail 元件 IMP 4 遺漏清理特定 Fetchmail 資訊的輸入，因此容易遭受跨網站指令碼攻擊。

此 Network Security Service 程式庫更新將數個偽造的 HTTPS 憑證標記為不受信任。

MPM_ITK 是 Apache HTTPD 的替代多處理模組，隨附於 Debian 的 apache2 套件。

在 MPM_ITK 中發現一個組態剖析瑕疵。如果已設定組態指示詞 NiceValue，但未指定任何 AssignUserID 指示詞，則系統將以使用者和群組的 root 身分處理要求，而非使用預設的 Apache 使用者和群組身分。

此問題不影響標準 Apache HTTPD MPMs prefork、worker 和 event。

舊的穩定發行版本 (lenny) 未受此問題影響。

Huzaifa Sidhpurwala、Joernchen 與 Xiaopeng Zhang 在 Wireshark 網路流量分析器中發現數個弱點。
DCT3、LDAP 與 SMB 解剖器和解析 pcag-ng 檔案之程式碼中的多個弱點可導致拒絕服務或執行任意程式碼。

此 Iceweasel (Firefox 上的網頁瀏覽器) 更新會更新數個偽造 HTTPS 憑證的憑證黑名單。

Tor 專案的 Jacob Appelbaum 所發布的部落格中提供了更多詳情。

Iceape 網際網路套件 (SeaMonkey 的無商標版本) 的此更新，更新了數個偽造 HTTPS 憑證的憑證黑名單。

Tor 專案的 Jacob Appelbaum 所發布的部落格中提供了更多詳情。

舊的穩定發行版本 (lenny) 未受影響。iceape 套件僅提供 XPCOM 程式碼。

Mathias Svensson 發現，tex-common (提供 TeX 所需的一些指令碼與組態檔的套件) 包含「shell_escape_commands」指示詞的不安全設定。根據狀況而定，這可能在受害者遭誘騙而處理惡意 tex-file 時導致執行任意程式碼，或者會以自動化方式執行此操作。

舊的穩定發行版本 (lenny) 未受此問題影響，因為「shell_escape」處於停用狀態。

據發現，Quagga 路由程序在其 BGP 實作中含有兩個拒絕服務弱點：

- CVE-2010-1674 特製的延伸社群屬性觸發一個造成 BGP 程序損毀的 NULL 指標解除參照。網際網路核心未傳播特製的屬性，因此只有明確設定的直接對等能夠惡意利用典型組態中的這個弱點。

- CVE-2010-1675 BGP 程序在遇到格式錯誤的 AS_PATHLIMIT 屬性時會重設 BGP 工作階段，進而引入一個可中斷封包轉送的分散式 BGP 工作階段重設弱點。網際網路核心會傳播這些格式錯誤的屬性，且對此弱點的惡意利用不會限制為直接設定的 BGP 對等。

此安全性更新會從 BGP 實作移除 AS_PATHLIMIT 處理，進而保留回溯相容性的組態陳述式。(此 BGP 延伸模組的標準化在很久之前就遭到放棄)。

Witold Baryluk 發現，簡易型安全性網域名稱系統伺服器 MaraDNS 在處理具有大量標籤的要求時，可能會造成內部緩衝區溢位，進而導致伺服器損毀及隨後的拒絕服務情形。

Stephane Chazelas 發現，Debian 中 PHP 5 套件的 cronjob 受到爭用情形影響，其可用來從系統中移除任意檔案 (CVE-2011-0441)。

當升級 php5-common 套件時，要特別注意接受 /etc/cron.d/php5 檔案的變更。忽略這些變更會造成系統容易受影響。

據發現，可與不同虛擬化系統互動的程式庫 libvirt 未正確檢查唯讀連線。這允許本機攻擊者執行拒絕服務 (檔機) 或可能提升權限。

舊的穩定發行版本 (lenny) 未受此問題影響。

在用於控制和監控控制項群組的程式庫 libcgroup 中發現數個問題：

- CVE-2011-1006 因將指定工作的控制器清單轉換成字串陣列，而造成堆積型緩衝區溢位，可導致本機攻擊者提升權限。

- CVE-2011-1022 libcgroup 未正確檢查 Netlink 訊息的來源，允許本機攻擊者傳送特製的 Netlink 訊息，其可導致權限提升。

舊的穩定發行版本 (lenny) 不包含 libcgroup 套件。

在 Chromium 瀏覽器中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-0779 9.0.597.84 之前的 Google Chrome 未正確處理延伸模組中的遺漏金鑰，這會允許遠端攻擊者透過特製延伸模組而造成拒絕服務 (應用程式損毀)。

- CVE-2011-1290 WebKit 中的整數溢位允許遠端攻擊者透過未知向量執行任意程式碼，CanSecWest 2011 中 Pwn2Own 競爭期間的 Vincenzo Iozzo、Willem Pinckaers 與 Ralf-Philipp Weinmann 即為一例。

在多用途虛擬託管 FTP 程序 ProFTPD 中發現數個弱點：

- CVE-2008-7265 不正確地處理 ABOR 命令可透過提升的 CPU 消耗導致拒絕服務。

- CVE-2010-3867 在 mod_site_misc 模組中發現數個目錄遊走弱點。

- CVE-2010-4562 在 mod_sql 模組中發現一個 SQL 插入弱點。

在網誌管理器 WordPress 中發現兩個 XSS 錯誤和一個可能的資訊洩漏問題。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-0700 透過 'post_status'、'comment_status' 和 'ping_status' 參數執行「快速編輯」或「大量編輯」動作時，藉由透過貼文標題傳送的輸入未正確經過清理便使用。透過標籤 meta-box 中的標籤傳遞的某些輸入，未正確經過清理便傳回給使用者。

- CVE-2011-0701 透過媒體上傳器存取貼文時，WordPress 未正確強制執行使用者存取限制，攻擊者可惡意利用此問題洩漏私人或草稿貼文等內容。

舊的穩定發行版本 (lenny) 未受這些問題影響。

在 Chromium 瀏覽器中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-1108 9.0.597.107 之前的 Google Chrome 版本未正確實作 JavaScript 對話方塊，其允許遠端攻擊者透過特製的 HTML 文件，造成拒絕服務 (應用程式損毀) 或可能帶來其他不明影響。

- CVE-2011-1109 9.0.597.107 之前的 Google Chrome 版本未正確處理階層式樣式表 (CSS) 中的節點，其允許遠端攻擊者透過導致「過時指標」的未知向量，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-1113 在 64 位元 Linux 平台上，9.0.597.107 之前的 Google Chrome 版本未正確執行 pickle 還原序列化，其允許遠端攻擊者透過不明向量造成拒絕服務 (超出邊界讀取)。

- CVE-2011-1114 9.0.597.107 之前的 Google Chrome 版本未正確處理表格，其允許遠端攻擊者透過導致「過時節點」的未知向量，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-1115 9.0.597.107 之前的 Google Chrome 版本未正確轉譯表格，其允許遠端攻擊者透過導致「過時指標」的未知向量，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-1121 9.0.597.107 之前的 Google Chrome 版本有一個整數溢位問題，允許遠端攻擊者透過涉及 TEXTAREA 元素的向量，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-1122 在 9.0.597.107 之前的 Google Chrome 版本中，WebGL 實作允許遠端攻擊者透過不明向量造成拒絕服務 (超出邊界讀取)，即問題 71960。

- 此外，此上傳項目也可修正下列問題 (其尚未擁有 CVE id)：

- 搜尋文字時發生超出邊界讀取。[69640]
 - SVG 字型中的記憶體損毀。[72134]

- 計數器節點的記憶體損毀問題。[69628]

- 方塊配置中的過時節點。[70027]

- 背景工作有跨來源錯誤訊息洩漏。[70336]

- 表格繪製中的過時指標。[72028]

- SVG 游標有過時指標。[73746]

在適用於 GTK+ 的 Web 內容引擎程式庫 WebKit 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2010-1783 WebKit 未正確處理文字節點的動態修改，其允許遠端攻擊者透過特製的 HTML 文件，執行任意程式碼或造拒絕服務 (記憶體損毀和應用程式損毀)。

- CVE-2010-2901 WebKit 中的轉譯實作允許遠端攻擊者透過未知向量，造成拒絕服務 (記憶體損毀)，或可能帶來其他不明影響。

- CVE-2010-4199 WebKit 在處理 SVG <use> 元素期間，未正確執行不明變數的轉換，其允許遠端攻擊者透過特製的 SVG 文件，造成拒絕服務或可能帶來其他不明影響。

- CVE-2010-4040 WebKit 未正確處理動畫 GIF 影像，其允許遠端攻擊者透過特製影像，造成拒絕服務 (記憶體損毀) 或可能帶來其他不明影響。

- CVE-2010-4492 WebKit 中的釋放後使用弱點允許遠端攻擊者透過涉及 SVG 動畫的向量，造成拒絕服務，或可能帶來其他不明影響。

- CVE-2010-4493 WebKit 中的釋放後使用弱點允許遠端攻擊者透過與處理滑鼠拖曳事件相關的向量，造成拒絕服務。

- CVE-2010-4577 在 WebKit 中，WebCore/css/CSSParser.cpp 的 CSSParser::parseFontFaceSrc 函式未正確剖析階層式樣式表 (CSS) token 序列，其允許遠端攻擊者透過特製的本機字型，造成拒絕服務 (超出邊界讀取錯誤)；此問題與「類型混淆」相關。

- CVE-2010-4578 WebKit 未正確執行游標處理，其允許遠端攻擊者透過與「過時指標」相關的未知向量，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-0482 WebKit 在處理錨點期間，未正確執行不明變數的轉換，其允許遠端攻擊者透過特製的 HTML 文件，造成拒絕服務或可能帶來其他不明影響。

- CVE-2011-0778 WebKit 未正確限制拖放作業，其可能允許遠端攻擊者透過不明向量繞過同源原則。

在 Icedove (Thunderbird 郵件/新聞用戶端的無商標版本) 中發現多個弱點。

- CVE-2010-1585 Roberto Suggi Liverani 發現 ParanoidFragmentSink 執行的清理作業不完全。

- CVE-2011-0051 Zach Hoffmann 發現不正確的遞迴 eval() 呼叫剖析可導致攻擊者強迫接受確認對話方塊。

- CVE-2011-0053 配置引擎中的當機事件可能會導致執行任意程式碼。

- CVE-2011-0054、CVE-2010-0056 Christian Holler 發現 JavaScript 引擎中有緩衝區溢位，可允許任意程式碼執行。

- CVE-2011-0055 「regenrecht」和 Igor Bukanov 發現 JSON 實作中有一個釋放後使用錯誤，這可導致執行任意程式碼。

- CVE-2011-0057 Daniel Kozlowski 發現如果是不正確的記憶體處理 Web 背景工作實作，可導致執行任意程式碼。

- CVE-2011-0059 Peleus Uhley 發現外掛程式程式碼中存在跨網站要求偽造風險。

如 Lenny (舊的穩定版) 版本資訊中所述，舊穩定版中的 Icedove 套件安全性支援，必須在正常 Lenny 安全性維護生命週期結束前停止。強烈建議您升級至穩定版，或是切換至其他郵件用戶端。

在 Iceweasel (以 Firefox 為基礎的網頁瀏覽器) 中發現多個弱點。隨附的 XULRunner 程式庫提供其他多個 Debian 所附應用程式的轉譯服務。

- CVE-2010-1585 Roberto Suggi Liverani 發現 ParanoidFragmentSink 執行的清理作業不完全。

- CVE-2011-0051 Zach Hoffmann 發現不正確的遞迴 eval() 呼叫剖析可導致攻擊者強迫接受確認對話方塊。

- CVE-2011-0053 配置引擎中的當機事件可能會導致執行任意程式碼。

- CVE-2011-0054、CVE-2010-0056 Christian Holler 發現 JavaScript 引擎中有緩衝區溢位，可允許任意程式碼執行。

- CVE-2011-0055 「regenrecht」和 Igor Bukanov 發現 JSON 實作中有一個釋放後使用錯誤，這可導致執行任意程式碼。

- CVE-2011-0057 Daniel Kozlowski 發現如果是不正確的記憶體處理 Web 背景工作實作，可導致執行任意程式碼。

- CVE-2011-0059 Peleus Uhley 發現外掛程式程式碼中存在跨網站要求偽造風險。

據發現，ProFTPD 程序的 SFTP 檔案傳輸模組中有一個整數溢位，可導致拒絕服務。

舊的穩定發行版本 (lenny) 未受影響。

據發現，ISC DHCPv6 伺服器無法正確處理來自非預期來源位址的要求，導致宣告失敗及程序損毀。

舊的穩定發行版本 (lenny) 未受此問題影響。

據發現，Network Block Device 伺服器 NBD 有一個緩衝區溢位迴歸 (CVE-2005-3534)，可允許透過大型要求在 NBD 伺服器上執行任意程式碼。

Dominik George 發現，Logwatch 無法避免特製記錄檔名稱 (例如 Samba 所產生的記錄檔名稱) 中出現 shell 中繼字元。因此，攻擊者可能可以在執行 Logwatch 的系統上執行 shell 命令。

Philip Martin 發現，當處理對支援未經驗證讀取存取之存放庫的鎖定要求時，HTTP 型 Subversion 伺服器損毀。

在 Iceape 網際網路套件 (SeaMonkey 的無商標版本) 中發現數個弱點。

- CVE-2010-1585 Roberto Suggi Liverani 發現 ParanoidFragmentSink 執行的清理作業不完全。

- CVE-2011-0051 Zach Hoffmann 發現不正確的遞迴 eval() 呼叫剖析可導致攻擊者強迫接受確認對話方塊。

- CVE-2011-0053 配置引擎中的當機事件可能會導致執行任意程式碼。

- CVE-2011-0054 Christian Holler 發現 JavaScript 引擎中有緩衝區溢位，這可導致執行任意程式碼。

- CVE-2011-0055 「regenrecht」和 Igor Bukanov 發現 JSON 實作中有一個釋放後使用錯誤，這可導致執行任意程式碼。

- CVE-2011-0056 Christian Holler 發現 JavaScript 引擎中有緩衝區溢位，這可導致執行任意程式碼。

- CVE-2011-0057 Daniel Kozlowski 發現如果是不正確的記憶體處理 Web 背景工作實作，可導致執行任意程式碼。

- CVE-2011-0059 Peleus Uhley 發現外掛程式程式碼中存在跨網站要求偽造風險。

舊的穩定發行版本 (lenny) 未受影響。iceape 套件僅提供 XPCOM 程式碼。

Ansgar Burchardt 在一種適用於管理和計量主控服務的 web 控制台 DTC 中發現數個弱點。

- CVE-2011-0434 bw_per_moth.php 圖形包含一個 SQL 插入弱點。

- CVE-2011-0435 bw_per_month.php 中的不充分檢查可導致頻寬使用資訊洩漏。

- CVE-2011-0436 註冊之後，系統會以純文字電子郵件訊息傳送密碼。

- CVE-2011-0437 經驗證的使用者可利用套件中不正確隨附的過時介面刪除帳戶。

此更新引入了新的組態選項，用來控制純文字密碼在電子郵件訊息中的存在。預設為不包含純文字密碼。

據發現，Pango 未檢查記憶體配置失敗，進而造成可調整的位移發生 NULL 指標解除參照。這可導致應用程式損毀，且可能導致任意程式碼執行。

舊的穩定發行版本 (lenny) 未受此問題影響。

據發現，PyWebDAV (WebDAV 伺服器實作) 在處理使用者認證時含有數個 SQL 插入弱點。

舊的穩定發行版本 (lenny) 不包含 python-webdav 套件。

ID	名稱	嚴重性
53559	Debian DSA-2226-1：libmodplug - 緩衝區溢位	medium
53558	Debian DSA-2225-1 : asterisk - 多個弱點	high
53507	Debian DSA-2224-1 : openjdk-6 - 多個弱點	critical
53506	Debian DSA-2223-1：doctrine - SQL 插入	high
53505	Debian DSA-2222-1：tinyproxy - 不正確的 ACL 處理	low
53496	Debian DSA-2221-1：libmojolicious-perl - 目錄遊走	medium
53495	Debian DSA-2220-1：request-tracker3.6、request-tracker3.8 - 數個弱點	medium
53477	Debian DSA-2219-1：xmlsec1 - 任意檔案覆寫	medium
53393	Debian DSA-2218-1 : vlc - 堆積型緩衝區溢位	medium
53344	Debian DSA-2217-1 : dhcp3 - 遺漏輸入清理	high
53343	Debian DSA-2216-1：isc-dhcp - 遺漏輸入清理	high
53342	Debian DSA-2215-1：gitolite - 目錄遊走	high
53341	Debian DSA-2214-1：ikiwiki - 遺漏輸入驗證	low
53340	Debian DSA-2213-1：x11-xserver-utils - 遺漏輸入清理	high
53324	Debian DSA-2212-1：tmux - 權限提升	medium
53304	Debian DSA-2211-1 : vlc - 遺漏輸入清理	high
53260	Debian DSA-2210-1 : tiff - 多個弱點	high
53259	Debian DSA-2209-1：tgt - 重複釋放	medium
53224	Debian DSA-2208-1 : bind9 - 拒絕服務	high
53212	Debian DSA-2207-1 : tomcat5.5 - 數個弱點	medium
53211	Debian DSA-2206-1 : mahara - 數個弱點	medium
53198	Debian DSA-2205-1 : gdm3 - 權限提升	medium
52998	Debian DSA-2204-1 : imp4 - 未徹底清理輸入	medium
52997	Debian DSA-2203-1：nss - ssl 憑證黑名單更新	high
52949	Debian DSA-2202-1：apache2 - 無法中斷 root 權限	medium
52948	Debian DSA-2201-1 : wireshark - 數個弱點	medium
52947	Debian DSA-2200-1：iceweasel - ssl 憑證黑名單更新	high
52946	Debian DSA-2199-1：iceape - ssl 憑證黑名單更新	high
52758	Debian DSA-2198-1：tex-common - 未徹底清理輸入	medium
52741	Debian DSA-2197-1 : quagga - 拒絕服務	medium
52720	Debian DSA-2196-1：maradns - 緩衝區溢位	high
52719	Debian DSA-2195-1 : php5 - 數個弱點	medium
52718	Debian DSA-2194-1：libvirt - 不充分的檢查	medium
52691	Debian DSA-2193-1：libcgroup -數個弱點	high
52674	Debian DSA-2192-1 : chromium-browser - 數個弱點	critical
52660	Debian DSA-2191-1 : proftpd-dfsg - 多個弱點	high
52637	Debian DSA-2190-1 : wordpress - 數個弱點	medium
52621	Debian DSA-2189-1 : chromium-browser - 數個弱點	high
52620	Debian DSA-2188-1 : webkit - 數個弱點	critical
52619	Debian DSA-2187-1 : icedove - 數個弱點	critical
52618	Debian DSA-2186-1 : iceweasel - 數個弱點	critical
52600	Debian DSA-2185-1：proftpd-dfsg - 整數溢位	medium
52551	Debian DSA-2184-1 : isc-dhcp - 拒絕服務	high
52550	Debian DSA-2183-1：nbd - 緩衝區溢位	high
52549	Debian DSA-2182-1：logwatch - shell 命令插入	critical
52548	Debian DSA-2181-1：subversion - 拒絕服務	medium
52537	Debian DSA-2180-1 : iceape - 數個弱點	critical
52513	Debian DSA-2179-1：dtc - SQL 插入	high
52512	Debian DSA-2178-1 : pango1.0 - NULL 指標解除參照	medium
52511	Debian DSA-2177-1：pywebdav - SQL 插入	high

偵測

Nessus 的 Debian Local Security Checks 系列

medium

high

critical

high

low

medium

medium

medium

medium

high

high

high

low

high

medium

high

high

medium

high

medium

medium

medium

medium

high

medium

medium

high

high

medium

medium

high

medium

medium

high

critical

high

medium

high

critical

critical

critical

medium

high

high

critical

medium

critical

high

medium

high