debian-security-support (Debian 安全性支援涵蓋範圍檢查程式) 已在 jessie-security 中更新。

由於授權不相容，這標誌著 stretch 中的 mongodb 套件被淘汰。

如需詳細資訊，另請參閱 https://lists.debian.org/debian-lts/2020/11/msg00058.html 和 https://bugs.debian.org/915537。

針對 Debian 9 stretch，已在 1:9+2020.12.04 版 debian-security-support 套件中記錄此問題。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在輕量型目錄存取通訊協定的免費實作 OpenLDAP 中，在憑證清單語法驗證和 CSN 正規化處理中發現兩個弱點。未經驗證的遠端攻擊者可利用這些瑕疵，透過特製的封包造成拒絕服務 (slapd 程序損毀)。

針對 Debian 9 Stretch，已在 2.4.44+dfsg-5+deb9u6 版本中修正這些問題。

建議您升級 openldap 套件。

如需有關 openldap 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/openldap

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Salt (一種遠端執行管理器) 過去的安全性更新引入了已發布後續修正程式的回歸：

CVE 2020-16846 回歸

無法初始化「salt-ssh」主金鑰

CVE 2021-3197 回歸

捨棄 SSHClient 的有效參數

CVE 2020-28243 跟進

防止在 restartcheck 中插入引數

CVE 2021-25282 回歸

column_roots.write 無法寫入子目錄

CVE 2021-25284 回歸

如果傳遞 tuple 引數，「cmd.run」函式將損毀

針對 Debian 9「Stretch」，已在 2016.11.2+ds-1+deb9u10 版本中修正此問題。

建議您升級 salt 套件。

如需有關 salt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/salt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Chiaki Ishikawa 在 SMTP 伺服器狀態處理中發現堆疊溢位問題，可能導致任意程式碼執行。

Jan-Niklas Sohn 發現 Xorg X 伺服器的 XKB 延伸模組執行了不完整的輸入驗證，這可導致權限提升。

在 Xen hypervisor 中發現多個弱點，可造成拒絕服務、權限提升或資訊洩漏。

在 PostgreSQL 資料庫系統中發現數個弱點。

CVE-2020-25694

Peter Eisentraut 發現，資料庫重新連線可能會中斷原始連線的選項 (如加密)，進而導致資訊洩漏或攔截式攻擊。

CVE-2020-25695

Etienne Stalmans 報告，有權在配置中建立非暫時物件的使用者可以超級使用者的身分執行任意 SQL 函式。

CVE-2020-25696

Nick Cleaton 發現 \gset 命令修改了控制 psql 行為的變數，這可導致遭入侵或惡意伺服器在使用者工作階段中執行任意程式碼。

針對 Debian 9 Stretch，已在 9.6.20-0+deb9u1 版本中修正這些問題。

建議您升級 postgresql-9.6 套件。

如需有關 postgresql-9.6 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/postgresql-9.6

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在「jupyter-notebook」互動式筆記本系統中發現一個問題，其中惡意構建的連結可將瀏覽器重新導向至惡意/偽造的網站。

針對 Debian 9「Stretch」，已在 4.2.3-4+deb9u2 版本中修正此問題。

建議您升級 jupyter-notebook 套件。

如需有關 jupyter-notebook 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jupyter-notebook

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 pdfresurrect (一種用於分析和操控 PDF 文件修訂版本的工具) 中發現若干弱點。

CVE-2019-14934

pdf.c 中的 pdf_load_pages_kids 未驗證特定大小值，這可導致 malloc 失敗和超出邊界寫入

CVE-2020-20740

缺少標頭驗證檢查會造成 pdf_get_version() 中發生堆積型緩衝區溢位

針對 Debian 9 Stretch，已在 0.12-6+deb9u1 版本中修正這些問題。

建議您升級 pdfresurrect 套件。

如需有關 pdfresurrect 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/pdfresurrect

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Brotli (一個通用型無損壓縮套件) 中發現緩衝區溢位弱點。

在 Brotli (一個通用型無損壓縮套件) 中發現緩衝區溢位弱點。

針對 Debian 9 Stretch，已在 0.5.2+dfsg-2+deb9u1 版本中修正此問題。

建議您升級 brotli 套件。

如需有關 brotli 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/brotli

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在影像處理系統 VIPS 中，可能造成遠端伺服器路徑或堆疊位址洩漏的未初始化變數已經修正。

針對 Debian 9 Stretch，已在 8.4.5-1+deb9u2 版本中修正此問題。

建議您升級 vips 套件。

如需有關 vips 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/vips

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 zsh (功能強大的 shell 和指令碼語言) 中發現數個安全性弱點，現已更正。差一錯誤、錯誤剖析 shebang 行和緩衝區溢位問題均可能導致意外行為。無權限的本機使用者可建立特製的訊息檔案或目錄路徑。如果接收使用者取得權限或遍歷上述路徑，則會導致權限提升。

針對 Debian 9 Stretch，已在 5.3.1-4+deb9u4 版本中修正這些問題。

建議您升級 zsh 套件。

如需有關 zsh 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/zsh

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mutt (一種文字型郵件使用者代理程式) 中，未正確處理無效的 IMAP 伺服器回應，可能導致洩漏驗證認證或攔截式攻擊。

針對 Debian 9 Stretch，已在 1.7.2-1+deb9u4 版本中修正此問題。

建議您升級 mutt 套件。

如需有關 mutt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/mutt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，在 1.2.1 之前的所有 musl libc 版本中，在限制輸入字元計數的情況下，wcsnrtombs 函式在處理目標緩衝區大小時存在多個錯誤，可導致無轉送進度 (無溢位) 的無限迴圈，或在目標緩衝區的結尾後寫入。

針對 Debian 9 Stretch，已在 1.1.16-3+deb9u1 版本中修正此問題。

建議您升級 musl 套件。

如需有關 musl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/musl

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，XStream 容易受到遠端程式碼執行攻擊，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來執行任意 shell 命令。依賴封鎖清單的使用者會受到影響 (Debian 中的預設值)。我們強烈建議您使用 XStream Security Framework 的白名單方法，因為黑名單方法可能無法解決更多類別組合。

針對 Debian 9 Stretch，已在 1.4.9-2+deb9u1 版本中修正此問題。

建議您升級 libxstream-java 套件。

如需有關 libxstream-java 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Drupal 使用的 Archive_Tar PHP 模組中發現兩個弱點，如果允許惡意使用者上傳 tar 封存，則可導致任意程式碼執行。

針對 Debian 9 Stretch，已在 7.52-2+deb9u13 版本中修正這些問題。

我們建議您升級 drupal7 套件。

如需有關 drupal7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/drupal7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，SPIP (用於發佈的網站引擎) 並未正確驗證其輸入。經驗證的使用者可藉此執行任意程式碼。

在 TCP 流量記錄器 tcpflow 中發現一個問題。

由於 handle_80211 函式中存在溢位弱點，可能會發生超出邊界讀取敏感記憶體或拒絕服務情形。

針對 Debian 9 Stretch，已在 1.4.4+repack1-3+deb8u1 版本中修正此問題。

建議您升級 tcpflow 套件。

如需有關 tcpflow 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/tcpflow

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guenal Davalan 報告，VNC 伺服器 x11vnc 中有一個瑕疵，允許遠端存取現有的 X 工作階段。x11vnc 會以 0777 模式建立共用記憶體區段。本機攻擊者可利用此缺陷，造成資訊洩漏、拒絕服務或干擾主機上其他使用者的 VNC 工作階段。

在自動 proxy 組態管理程式庫 libproxy 中發現兩個弱點，可導致拒絕服務或可能執行任意程式碼。

CVE-2018-19787

據發現，在用於 Python 的 LXML HTML/XSS 操控程式庫中存在一個 XSS 插入弱點。

CVE-2020-27783

JavaScript 透過 <noscript> 和 <style> 組合逸出。

針對 Debian 9 Stretch，已在 3.7.1-1+deb9u1 版本中修正這些問題。

建議您升級 lxml 套件。

如需有關 lxml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/lxml

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬器 qemu 中發現一些問題。

所有問題都與宣告失敗、超出邊界存取失敗或錯誤處理傳回碼有關。

針對 Debian 9 Stretch，已在 1:2.8+dfsg-6+deb9u12 版本中修正這些問題。

建議您升級 qemu 套件。

如需有關 qemu 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/qemu

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 webkit2gtk Web 引擎中發現下列弱點：

  - CVE-2020-9948 Brendan Draper 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-9951 Marcin Noga 發現，處理惡意建構的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-9983 zhunki 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-13584 Cisco 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

在可重複使用的 PHP 元件的發行系統 php-pear 中發現一個檔案名稱清理問題。

針對 Debian 9「Stretch」，已在 1:1.10.1+submodules+notgz-9+deb9u2 版本中修正此問題。

建議您升級 php-pear 套件。

如需有關 php-pear 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/php-pear

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或拒絕服務。

針對 Debian 9 Stretch，已在 1:78.5.0-1~deb9u1 版本中修正這些問題。

建議您升級 thunderbird 套件。

如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Demi Obeneour 發現，libkrb5 的 ASN1 剖析器中存在無限制遞回問題，可導致拒絕服務。

在網路監視解決方案 Zabbix 中發現多個安全性弱點。攻擊者可從遠端在 zabbix 伺服器上執行程式碼，並透過 zabbix Web 前端重新導向至外部連結。

CVE-2016-10742

Zabbix 允許透過要求參數執行開放重新導向。

CVE-2020-11800

Zabbix 允許遠端攻擊者執行任意程式碼。

此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。

針對 Debian 9 Stretch，已在 1:3.0.31+dfsg-0+deb9u1 版本中修正這些問題。

建議您升級 zabbix 套件。

如需有關 zabbix 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或拒絕服務。

在輕量型 PDF 檢視器 MuPDF 中發現一個堆積型緩衝區溢位瑕疵，如果開啟格式錯誤的文件，此瑕疵可能導致拒絕服務或執行任意程式碼。

在 Samba (適用於 Unix 的 SMB/CIFS 檔案、列印及登入伺服器) 中發現多個弱點。

CVE-2020-1472

破壞 Netlogon 密碼編譯而導致未經驗證的網域控制器入侵。此弱點包含 ZeroLogon 和 non-ZeroLogon 變體。

CVE-2020-10704

未經授權的使用者可透過 AD DC LDAP 伺服器中的堆疊溢位問題，觸發拒絕服務。

CVE-2020-10730

具有 ASQ、VLV 和 paged_results 的 Samba AD DC LDAP Server 中存在 NULL 指標解除參照和釋放後使用。

CVE-2020-10745

因濫用 NetBIOS over TCP/IP 名稱解析和 DNS 封包的回覆壓縮而導致 Samba AD DC 上的 CPU 負載過重，進而造成拒絕服務。

CVE-2020-10760

針對 AD DC 上的全域目錄 LDAP 伺服器使用 paged_results 或 VLV 控制項，會造成釋放後使用。

CVE-2020-14303

當 AD DC NBT 伺服器收到傳送至連接埠 137 的空白 (零長度) UDP 封包時，由於 CPU 旋轉和無法處理進一步要求會造成拒絕服務。

CVE-2020-14318

ChangeNotify 中缺失處理權限檢查

CVE-2020-14323

無權限的使用者可透過無效 lookupsids DoS 造成 winbind 損毀

CVE-2020-14383

由未初始化的變數造成無效記錄，進而導致 DNS 伺服器當機

針對 Debian 9 Stretch，已在 2:4.5.16+dfsg-1+deb9u3 版本中修正這些問題。

建議您升級 samba 套件。

如需有關 samba 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/samba

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已修正 CImg (一個用於載入、儲存、處理和顯示影像的 C ++ 工具組) 中的多個堆積緩衝區溢位問題。

針對 Debian 9 Stretch，已在 1.7.9+dfsg-1+deb9u2 版本中修正此問題。

建議您升級 cimg 套件。

如需有關 cimg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/cimg

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 go 程式設計語言編譯器 1.7 版 golang-1.7 中發現兩個問題

CVE-2020-15586 在 net/http/Server 收到的 HTTP 標頭中使用 100-continue 會導致資料爭用情形，此問題涉及連線的緩衝寫入器。

CVE-2020-16845 對 ReadUvarint 或 ReadVarint 的某些無效輸入，可造成這些函式在傳回錯誤之前，從 ByteReader 引數讀取無限數量的位元組。

針對 Debian 9「Stretch」，已在 1.7.4-2+deb9u2 版本中修正這些問題。

建議您升級 golang-1.7 套件。

如需有關 golang-1.7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-1.7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 go 程式設計語言編譯器  1.8 版 golang-1.8 中發現三個問題

CVE-2020-15586 在 net/http/Server 收到的 HTTP 標頭中使用 100-continue 會導致資料爭用情形，此問題涉及連線的緩衝寫入器。

CVE-2020-16845 對 ReadUvarint 或 ReadVarint 的某些無效輸入，可造成這些函式在傳回錯誤之前，從 ByteReader 引數讀取無限數量的位元組。

CVE-2020-28367 使用 cgo 時，可能在構建時執行任意程式碼。

針對 Debian 9 Stretch，已在 1.8.1-1+deb9u2 版本中修正這些問題。

建議您升級 golang-1.8 套件。

如需有關 golang-1.8 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-1.8

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在功能完善的內容管理架構 Drupal 中發現兩個弱點。

CVE-2020-13666

Drupal AJAX API 預設未停用 JSONP，這可導致跨網站指令碼攻擊。

針對依賴 Drupal 的 AJAX API 處理 JSONP 要求的設定，必須重新啟用 JSONP，或改為使用 jQuery AJAX API。

請參閱上游公告，瞭解更多詳細資訊：
https://www.drupal.org/sa-core-2020-007

CVE-2020-13671

Drupal 無法清理已上傳檔案的檔案名稱，根據伺服器組態而定，這可導致系統將這些檔案作為錯誤的 MIME 類型提供或執行。

同時，建議您檢查先前上傳的檔案中是否有惡意的延伸模組。請參閱上游公告，瞭解更多詳細資訊： https://www.drupal.org/sa-core-2020-012

針對 Debian 9 Stretch，已在 7.52-2+deb9u12 版本中修正這些問題。

我們建議您升級 drupal7 套件。

如需有關 drupal7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/drupal7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox Web 瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、資訊洩漏、網路釣魚、跨網站指令碼或 DNS 重新繫結攻擊。

針對 Debian 9 Stretch，已在 78.5.0esr-1~deb9u1 版本中修正這些問題。

建議您升級 firefox-esr 套件。

如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/firefox-esr

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox Web 瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、資訊洩漏、網路釣魚、跨網站指令碼或 DNS 重新繫結攻擊。

golang-go.crypto 的最近更新包含對 CVE-2020-9283 的修正。
這反過來需要重新編譯所有使用受影響程式碼的套件，才能選取安全性修正。

CVE-2020-9283

當提供無效的公開金鑰時，SSH 簽章驗證可造成錯誤。

針對 Debian 9 Stretch，已在 0.10.2+dfsg-6+deb9u1 版本中修正此問題。

建議您升級 packer 套件。

如需有關 packer 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/packer

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 jupyter-notebook 中發現若干弱點

CVE-2018-8768

惡意偽造的筆記本檔案可繞過清理，在筆記本內容中執行 JavaScript。具體而言，jQuery 會在清理之後「修正」無效的 HTML，使其變得危險。

CVE-2018-19351

由於 nbconvert 回應被視為與筆記本伺服器具有相同來源，因而攻擊者可透過未受信任的筆記本發動 XSS 攻擊。

CVE-2018-21030

jupyter-notebook 未使用 CSP 標頭將提供的檔案視為屬於個別來源。舉例來講，因而可將 XSS 承載置於 SVG 文件中。

針對 Debian 9 Stretch，已在 4.2.3-4+deb9u1 版本中修正這些問題。

建議您升級 jupyter-notebook 套件。

如需有關 jupyter-notebook 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jupyter-notebook

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Python 中發現多個安全性問題。

CVE-2019-20907

在 Lib/tarfile.py 中，由於 _proc_pax 缺少標頭驗證，攻擊者可以特製 TAR 封存，在 tarfile.open 開啟此封存時造成無限迴圈。

CVE-2020-26116

如果攻擊者控制 HTTP 要求方法，http.client 會允許 CRLF 插入

針對 Debian 9 Stretch，已在 3.5.3-1+deb9u3 版本中修正這些問題。

建議您升級 python3.5 套件。

如需有關 python3.5 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python3.5

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

golang-go.crypto 的最近更新包含對 CVE-2019-11840 的修正。
這反過來需要重新編譯所有使用受影響程式碼的套件，才能選取安全性修正。

CVE-2019-11840

在附加的 Go 密碼編譯程式庫 (亦即 golang-googlecode-go-crypto) 中發現一個問題。如果產生超過 256 GiB 的金鑰串流，或者如果計數器以其他方式成長到超過 32 位元，則 amd64 實作將先產生錯誤的輸出，然後循環回到之前產生的金鑰串流。重複的金鑰串流位元組可導致加密應用程式缺少機密性，或導致 CSPRNG 應用程式具有可預測性。

針對 Debian 9 Stretch，已在 1.35-1+deb8u1 版本中修正此問題。

建議您升級 rclone 套件。

如需有關 rclone 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/rclone

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在輕量型目錄存取通訊協定的免費實作 OpenLDAP 中，在憑證清單語法驗證和 CSN 正規化處理中發現兩個弱點。未經驗證的遠端攻擊者可利用這些瑕疵，透過特製的封包造成拒絕服務 (slapd 程序損毀)。

在 Thunderbird 中發現一個釋放後使用問題，可能會導致任意程式碼執行。

golang-go.crypto 的最近更新包含對 CVE-2020-9283 的修正。
這反過來需要重新編譯所有使用受影響程式碼的套件，才能選取安全性修正。

CVE-2020-9283

當提供無效的公開金鑰時，SSH 簽章驗證可造成錯誤。

針對 Debian 9 Stretch，已在 0.3.3-1+deb9u1 版本中修正此問題。

建議您升級 restic 套件。

如需有關 restic 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/restic

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Li Fei 發現，自動 Proxy 組態管理程式庫 libproxy 在回應中沒有 Content-Length 標頭的情況下收到伺服器發出的大型 PAC 檔案時，容易受到緩衝區溢位弱點影響。

針對 Debian 9 Stretch，已在 0.4.14-2+deb9u2 版本中修正此問題。

建議您升級 libproxy 套件。

如需有關 libproxy 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libproxy

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

2.09-1 + 2020d 意外遺漏了某些檔案的變更，進而導致警告。

針對 Debian 9 Stretch，已在 2.09-1+2020d+1 版本中修正此問題。

建議您升級 libdatetime-time zone-perl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libvncserver (用於寫入自身 VNC 伺服器的 API) 中發現一個問題。由於遺漏部分檢查，可能會發生除以零錯誤，進而導致拒絕服務。

針對 Debian 9 Stretch，已在 0.9.11+dfsg-1.3~deb9u6 版本中修正此問題。

建議您升級 libvncserver 套件。

如需有關 libvncserver 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libvncserver

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Ken Gaillat 在 Pacemaker 叢集資源管理員中發現一個弱點：如果已針對「haclient」群組中的使用者設定 ACL，則可透過未限制的 IPC 通訊繞過 ACL 限制，進而導致在整個叢集內以 root 權限執行任意程式碼。

如果未啟用「enable-acl」叢集選項，「haclient」群組的成員可以無限制地修改 Pacemaker 的叢集資訊庫 (其已經具有這些權限)，因此在此類設定中不會再有其他暴露情況。

在 Thunderbird 中發現一個釋放後使用問題，可能會導致任意程式碼執行。

針對 Debian 9 Stretch，已在 1:78.4.2-1~deb9u1 版本中修正此問題。

建議您升級 thunderbird 套件。

如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，codemirror (在 JavaScript 中實作的瀏覽器型文字編輯器) 容易遭受規則運算式拒絕服務攻擊。

ID	名稱	嚴重性
143519	Debian DLA-2482-1：debian-security-support 安全性更新	high
143518	Debian DLA-2481-1：openldap 安全性更新	high
143512	Debian DLA-2480-2：salt 迴歸更新	critical
143509	Debian DSA-4802-1：thunderbird - 安全性更新	high
143505	Debian DSA-4803-1：xorg-server - 安全性更新	high
143500	Debian DSA-4804-1：xen - 安全性更新	high
143461	Debian DLA-2478-1：postgresql-9.6 安全性更新	high
143459	Debian DLA-2477-1：jupyter-notebook 安全性更新	medium
143440	Debian DLA-2475-1：pdfresurrect 安全性更新	high
143439	Debian DSA-4801-1：brotli - 安全性更新	medium
143435	Debian DLA-2476-1：brotli 安全性更新	medium
143410	Debian DLA-2473-1：vips 安全性更新	medium
143401	Debian DLA-2470-1：zsh 安全性更新	critical
143392	Debian DLA-2472-1：mutt 安全性更新	medium
143388	Debian DLA-2474-1：musl 安全性更新	medium
143386	Debian DLA-2471-1：libxstream-java 安全性更新	high
143336	Debian DLA-2466-1：drupal7 安全性更新	high
143332	Debian DSA-4798-1：spip - 安全性更新	critical
143323	Debian DLA-2468-1：tcpflow 安全性更新	critical
143315	Debian DSA-4799-1：x11vnc - 安全性更新	high
143313	Debian DSA-4800-1：libproxy - 安全性更新	critical
143308	Debian DLA-2467-1：lxml 安全性更新	medium
143305	Debian DLA-2469-1：qemu 安全性更新	medium
143260	Debian DSA-4797-1：webkit2gtk - 安全性更新	high
143226	Debian DLA-2465-1：php-pear 安全性更新	high
143224	Debian DLA-2464-1：thunderbird 安全性更新	high
143194	Debian DSA-4795-1：krb5 - 安全性更新	high
143193	Debian DLA-2461-1：zabbix 安全性更新	critical
143191	Debian DSA-4796-1：thunderbird - 安全性更新	high
143187	Debian DSA-4794-1：mupdf - 安全性更新	medium
143186	Debian DLA-2463-1：samba 安全性更新	medium
143185	Debian DLA-2462-1：cimg 安全性更新	high
143170	Debian DLA-2459-1：golang-1.7 安全性更新	high
143169	Debian DLA-2460-1：golang-1.8 安全性更新	high
143138	Debian DLA-2458-1：drupal7 安全性更新	high
143133	Debian DLA-2457-1：firefox-esr 安全性更新	high
143130	Debian DSA-4793-1：firefox-esr - 安全性更新	high
143109	Debian DLA-2455-1：packer 安全性更新	high
143107	Debian DLA-2432-1：jupyter-notebook 安全性更新	high
143104	Debian DLA-2456-1：python3.5 安全性更新	high
143099	Debian DLA-2454-1：rclone 安全性更新	medium
143002	Debian DSA-4792-1：openldap - 安全性更新	high
142951	Debian DSA-4790-1：thunderbird - 安全性更新	high
142936	Debian DLA-2453-1：restic 安全性更新	high
142931	Debian DLA-2450-1：libproxy 安全性更新	critical
142926	Debian DLA-2452-2：libdatetime-timezone-perl 迴歸更新	high
142924	Debian DLA-2451-1：libvncserver 安全性更新	high
142920	Debian DSA-4791-1：pacemaker - 安全性更新	high
142918	Debian DLA-2449-1：thunderbird 安全性更新	high
142885	Debian DSA-4789-1：codemirror-js - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

critical

high

high

high

high

medium

high

medium

medium

medium

critical

medium

medium

high

high

critical

critical

high

critical

medium

medium

high

high

high

high

critical

high

medium

medium

high

high

high

high

high

high

high

high

high

medium

high

high

high

critical

high

high

high

high

high