在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行。

在 libemail-address-list-perl 發現一個拒絕服務問題，該問題透過在剖析電子郵件地址時發動演算法複雜性攻擊而造成。

針對 Debian 8「Jessie」，已在 0.05-1+deb8u1 版本中修正此問題。

建議您升級 libemail-address-list-perl 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據報告，libexif (用於剖析 exif 檔案的程式庫) 中存在因整數溢位而導致的超出邊界寫入弱點。遠端攻擊者可能會利用此缺陷造成拒絕服務，或可能透過建構的影像檔案執行任意程式碼。

針對 Debian 8「Jessie」，已在 0.6.21-2+deb8u1 版本中修正此問題。

建議您升級 libexif 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Snyk 的安全性研究人員發現 CVE-2019-9658 的修正不完整。Checkstyle 是一款可協助程式設計人員撰寫符合編碼標準之 Java 程式碼的開發工具，目前仍容易受到 XML 外部實體 (XXE) 插入攻擊的影響。

針對 Debian 8「Jessie」，已在 5.9-1+deb8u2 版本中修正此問題。

建議您升級 checkstyle 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Christopher Ertl 發現， ipmitool 中有多個函式未正確檢查從遠端 LAN 方接收的資料，這可能造成緩衝區溢位，並可能導致在 ipmitool 端執行遠端程式碼。

針對 Debian 8「Jessie」，已在 1.8.14-4+deb8u1 版本中修正此問題。

建議您升級 ipmitool 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Ilja Van Sprundel 在 ppp (點對點通訊協定程序) 中發現一個緩衝區溢位弱點。在用戶端模式下接收 EAP 要求訊息時，攻擊者可透過提供極長的名稱來造成 rhostname 陣列溢位。Debian 的強化版本旗標也緩解了此問題的影響。

針對 Debian 8「Jessie」，已在 2.4.6-3.1+deb8u1 版本中修正此問題。

建議您升級 ppp 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guillaume Teissier 報告，libxmlrpc3-java (Java 的 XML-RPC 實作) 中的 XMLRPC 用戶端確實對在 XMLRPC 錯誤回應訊息的 faultCause 屬性中序列化的伺服器端例外情況執行了還原序列化。惡意的 XMLRPC 伺服器可利用此缺陷，以使用 Apache XMLRPC 用戶端程式庫之應用程式的權限執行任意程式碼。

請注意，希望取得伺服器端例外狀況的用戶端必須明確設定 enabledForExceptions 內容。

據報告，libexif (剖析 EXIF 檔案的程式庫) 中存在因整數溢位而導致的超出邊界寫入弱點，如果處理特別建構的影響檔案，該弱點可造成拒絕服務或可能執行任意程式碼。

此套件允許攻擊者透過 ../ 目錄遊走來存取私人資源，這是因為資源比對無法確保路徑名稱採用規範格式。

針對 Debian 8「Jessie」，已在 0.2.9-1+deb8u1 版本中修正此問題。

建議您升級 ruby-rack-cors 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 3.5 及之前的 storeBackup 中，storeBackup.pl 仰賴 /tmp/storeBackup.lock 路徑名稱，這會造成符號連結攻擊，進而可能導致權限提升。

本機使用者也可建立名為 /tmp/storeBackup.lock 的純檔案來封鎖 storeBackup 的使用，直到系統管理員手動刪除該檔案為止。

針對 Debian 8「Jessie」，已在 3.2.1-1+deb8u1 版本中修正此問題。

建議您升級 storebackup 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Qt 程式庫中發現兩個安全性問題，可導致從目前的工作目錄載入外掛程式和程式庫，進而可能導致程式碼執行。

在 QEMU (快速處理器模擬器) 的 SLiRP 網路實作中發現兩個安全性問題，可導致執行任意程式碼或拒絕服務。

在 spamassassin (使用文字分析的 Perl 型垃圾郵件篩選器) 中發現兩個弱點。(可能是從更新伺服器下載的)惡意規則或設定檔可在多種狀況下執行任意命令。

Joe Vennix 在 sudo (一款專為特定使用者提供有限超級實用這權限的程式) 中發現一個堆疊型緩衝區溢位弱點，此弱點可在啟用「pwfeedback」選項進行設定時觸發。無權限的使用者可利用此缺陷取得完整的 root 權限。

如需詳細資訊，請參閱上游公告：https://www.sudo.ws/alerts/pwfeedback.html。

在 libidn2 (國際化網域名稱 (IDN) 的 GNU 程式庫) 的 idn2_to_ascii_4i() 函式中存在一個堆積型緩衝區溢位弱點，該漏洞可在處理長網域字串時，導致拒絕服務或執行任意程式碼。

據發現，Prosody Jabber/XMPP 伺服器的 LDAP 驗證模組在檢查使用者是否具有管理員存取權時，未正確驗證 XMPP 位址。

sudo (一款專為特定使用者提供有限超級實用這權限的程式) 中存在一個堆疊型緩衝區溢位弱點，此弱點可在啟用 pwfeedback 選項進行設定時觸發。無權限的使用者可利用此缺陷取得完整的 root 權限。

針對 Debian 8「Jessie」，已在 1.8.10p3-1+deb8u7 版本中修正此問題。

建議您升級 sudo 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox Web 瀏覽器的 IonMonkey JIT 編譯器中發現一個問題，可導致任意程式碼執行。

針對 Debian 8「Jessie」，已在 68.4.1esr-1~deb8u1 版本中修正此問題。

建議您升級 firefox-esr 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 qtbase-opensource-src 的 Qt5 外掛程式載入器程式碼中，除了系統範圍定義的程式庫路徑外，還可能從「the」本機資料夾 (側向) 載入外掛程式。

針對 Debian 8「Jessie」，已在 5.3.2+dfsg-4+deb8u4 版本中修正此問題。

建議您升級 qtbase-opensource-src 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已修正 libjackson-json-java 中的數個弱點。

CVE-2017-7525

Jackson 還原序列化程式安全性弱點。

CVE-2017-15095

封鎖更多來自多型態還原序列化的 JDK 類型。

CVE-2019-10172

XML 外部實體弱點。

針對 Debian 8「Jessie」，已在 1.9.2-3+deb8u1 版本中修正這些問題。

建議您升級 libjackson-json-java 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在用於 QEMU 4.2.0 的 libslirp 4.1.0 中，tcp_subr.c 中的 tcp_emu 未正確管理記憶體，EMU_IRC 中的 IRC DCC 命令即為一例。
此問題可造成堆積型緩衝區溢位或其他超出邊界存取，進而導致 DoS 或可能執行任意程式碼。

針對 Debian 8「Jessie」，已在 1:2.1+dfsg-12+deb8u13 版本中修正此問題。

建議您升級 qemu 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 OpenJPEG 中，openjp2/t1.c 的 opj_t1_clbl_decode_processor 在 qmfbid==1 情形下會發生堆積型緩衝區溢位，此問題與 CVE-2020-6851 類似但又不同。

針對 Debian 8「Jessie」，已在 2.1.0-2+deb8u10 版本中修正此問題。

建議您升級 openjpeg2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libsolv (相依解算器程式庫) 中，repodata.c 的 repodata_schema2id 中存在堆積型緩衝區過度讀取，攻擊者可透過最後一個配置 (其長度可小於輸入配置的長度) 來造成此問題。

針對 Debian 8「Jessie」，已在 0.6.5-1+deb8u1 版本中修正此問題。

建議您升級 libsolv 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

最近在入侵偵測和防護工具 Suricata 的 stream-tcp 程式碼中發現兩個弱點。

CVE-2019-18625

透過使用惡意伺服器偽造已關閉的 TCP 工作階段，可繞過/規避任何 tcp 型簽章。在 TCP SYN 封包之後，可以透過錯誤的 TCP 時間戳記選項插入 RST ACK 和 FIN ACK 封包。用戶端會因為錯誤的 TCP 時間戳記選項而忽略 RST ACK 和 FIN ACK 封包。

CVE-2019-18792

可以透過將 TCP 區段與假 FIN 封包重疊來繞過/規避任何 tcp 型簽章。假 FIN 封包必須在我們要繞過的 PUSH ACK 封包之前插入。PUSH ACK 封包 (包含資料) 會被 Suricata 忽略，因為該封包會與 FIN 封包重疊 (兩個封包中的序列和 ack 編號相同)。由於不會設定 ACK 旗標，用戶端會忽略假的 FIN 封包。

針對 Debian 8「Jessie」，已在 2.0.7-2+deb8u5 版本中修正這些問題。

建議您升級 suricata 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache XML-RPC (即 ws-xmlrpc) 程式庫的 org.apache.xmlrpc.parser.XmlRpcResponseParser: addResult 方法中發現一個未受信任的還原序列化。惡意的 XML-RPC 伺服器可鎖定 XML-RPC 用戶端，導致其執行任意程式碼。

希望取得伺服器端例外狀況的用戶端必須將 enabledForExceptions 內容設定為 true，才能再次處理序列化的例外狀況訊息。

針對 Debian 8「Jessie」，已在 3.1.3-7+deb8u1 版本中修正此問題。

建議您升級 libxmlrpc3-java 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Qualys 發現，OpenSMTPD SMTP 伺服器未充分驗證電子郵件位址，這可導致以 root 身分執行任意命令。此外，此更新還透過觸發隨機 TLS 降級來修正拒絕服務。

在 webkit2gtk Web 引擎中發現下列弱點：

  - CVE-2019-8835 一位匿名研究人員發現，處理惡意建構的 Web 內容可能會導致任意程式碼執行。

  - CVE-2019-8844 William Bowling 發現，惡意建構的 Web 內容可能會導致任意程式碼執行。

  - CVE-2019-8846 Cisco Talos 的 Marcin Towalski 發現，惡意建構的 Web 內容可能會導致任意程式碼執行。

在 wget (從 Web 擷取檔案的工具) 中發現一個問題。在 HTTP 連線期間，當被存取清單拒絕的檔案保留在磁碟上時，可能會發生爭用情形。

針對 Debian 8「Jessie」，已在 1.16-1+deb8u7 版本中修正此問題。

建議您升級 wget 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 zlib (壓縮程式庫) 中發現數個問題。這些問題基本上與不正確的 big-endian CRC 計算、不正確的負整數左移和不正確的指標算術有關。

針對 Debian 8「Jessie」，已在 1:1.2.8.dfsg-2+deb8u1 版本中修正這些問題。

建議您升級 zlib 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 graphicsmagick (影像處理工具集合) 中發現三個問題。這些問題主要是不同函式中的堆積型緩衝區過度讀取、堆積型緩衝區溢位和釋放後使用。

針對 Debian 8「Jessie」，已在 1.3.20-3+deb8u8 版本中修正這些問題。

建議您升級 graphicsmagick 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現存在大量 NULL 指標解除參照，這是未檢查來自 hiredis (一種極簡的 C 用戶端程式庫) 中 malloc 和 friends 的傳回值所致。

針對 Debian 8「Jessie」，已在 hiredis 的 0.11.0-4+deb8u1 版本中修正這些問題。

建議您升級 hiredis 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 unzip (.zip 檔案的解封存工具) 中發現一個問題。在處理受密碼保護的封存時，可能會發生堆積型緩衝區溢位，攻擊者可利用此弱點執行拒絕服務，或可能執行程式碼。

針對 Debian 8「Jessie」，已在 6.0-16+deb8u6 版本中修正此問題。

建議您升級 unzip 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 OpenJPEG 中，libopenjp2.so 的 opj_t1_clbl_decode_processor 中存在堆積型緩衝區溢位。

針對 Debian 8「Jessie」，已在 2.1.0-2+deb8u9 版本中修正此問題。

建議您升級 openjpeg2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 otrs2 套件中發現數個弱點，可能會導致未經授權的存取、遠端程式碼執行和偽造。

CVE-2020-1765

對參數控制不當可允許偽造下列畫面的 from 欄位：AgentTicketCompose、AgentTicketForward、AgentTicketBounce。

CVE-2020-1766

由於未正確處理上傳的影像，在極不可能發生的罕見情況下，可能會強制代理瀏覽器從特別建構的 SVG 檔案 (轉譯為內嵌 jpg 檔案) 執行惡意 JavaScript。

CVE-2020-1767

在未經授權的情況下檢視草稿，完全變更文字，並以草稿擁有者的名義傳送草稿。客戶將不會知道消息是由其他代理傳送的。

針對 Debian 8「Jessie」，已在 3.3.18-1+deb8u13 版本中修正這些問題。

建議您升級 otrs2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 iperf3 (一種網際網路通訊協定頻寬測量工具) 中發現一個問題。對內嵌程式庫中的 UTF8/16 字串處理不當，可導致通過在 JSON 字串中放置特殊字元來造成拒絕服務 (當機) 或執行任意程式碼，進而觸發堆積型緩衝區溢位。

針對 Debian 8「Jessie」，已在 3.0.7-1+deb8u1 版本中修正此問題。

建議您升級 iperf3 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在 Tomcat servlet 和 JSP 引擎中修正兩個安全性弱點。

CVE-2019-12418

  以 JMX Remote Lifecycle Listener 設定 Apache Tomcat 時，無法存取 Tomcat 處理程序或組態檔案的本機攻擊者可操控 RMI 登錄來執行中間人攻擊，以擷取用於存取 JMX 介面的使用者名稱和密碼。接著，攻擊者可利用這些憑證存取 JMX 介面，並取得完全掌控 Tomcat 執行個體的能力。

CVE-2019-17563

  使用 Apache Tomcat 的 FORM 驗證時，有一段短暫時間可供攻擊者執行工作階段固定攻擊。這段時間因為過於短暫，所以被認為無法進行實際的惡意利用，但為了謹慎起見，此問題已被視為安全性弱點。

針對 Debian 8「Jessie」，已在 7.0.56-3+really7.0.99-1 版本中修正這些問題。

建議您升級 tomcat7 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 apt 套件管理器的 Python 介面中發現兩個安全性問題：未正確拒絕來自未簽署存放庫的套件下載，且雜湊驗證依賴 MD5。

在 slirp (使用撥號 shell 帳戶的 SLIP/PPP 模擬器) 中發現一個問題。由於對 slirp 中的記憶體處理不當，可能會發生堆積型緩衝區溢位或其他超出邊界存取，進而導致 DoS 或可能執行任意程式碼。

針對 Debian 8「Jessie」，已在 1:1.0.17-7+deb8u1 版本中修正此問題。

建議您升級 slirp 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 jsoup (證明真實世界 HTML soup 合理的 Java HTML 剖析器) 中發現一個問題。由於在 EOF 時對遺漏的「>」處理不當，可能會出現跨網站指令碼 (XSS) 弱點。

針對 Debian 8「Jessie」，已在 1.8.1-1+deb8u1 版本中修正此問題。

建議您升級 jsoup 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 python-apt (libapt-pkg 的 python 介面) 中發現數個問題。

CVE-2019-15795

據發現，python-apt 仍然使用 MD5 雜湊驗證某些已下載的套件。如果遠端攻擊者能執行中間人攻擊，可能利用此弱點來安裝修改過的套件。

CVE-2019-15796

據發現，python-apt 可從不受信任的存放庫安裝套件，這與預期行為相反。

針對 Debian 8「Jessie」，已在 0.9.3.13 版本中修正這些問題。

建議您升級 python-apt 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 git (執行速度快且可供擴充的分散式修訂版控制系統) 中發現數個弱點。

CVE-2019-1348

據報告，git fast-import 的 --export-marks 選項也透過 in-stream 命令功能 export-marks=... 受到影響，這可允許覆寫任意路徑。

CVE-2019-1387

發現對子模組名稱的驗證不夠嚴格，從而導致在執行遞迴複製時可透過執行遠端程式碼來發動極有針對性的攻擊。

此外，此更新可解決數個安全性問題，只有當 git 在 NTFS 檔案系統上作業時，這些問題才會造成影響 (CVE-2019-1349、CVE-2019-1352 和 CVE-2019-1353)。

針對 Debian 8「Jessie」，已在 1:2.1.4-2.1+deb8u8 版本中修正這些問題。

建議您升級 git 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libtiff 程式庫和隨附工具中發現多個整數溢位。

在 transfig (XFig 圖形檔案轉換器) 中發現數個問題。

CVE-2018-16140

get_line() 中存在緩衝區向下寫入弱點，攻擊者可藉此透過建構的 .fig 檔案，在緩衝區開始之前進行寫入。

CVE-2019-14275

bound.c 的 calc_arrow 函式中存在堆疊型緩衝區溢位。

CVE-2019-19555

因不正確的 sscanf 而導致堆疊型緩衝區溢位。

針對 Debian 8「Jessie」，已在 1:3.2.5.e-4+deb8u2 版本中修正這些問題。

建議您升級 transfig 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Lukas Kupczyk 報告，在 openconnect (適用於 Cisco AnyConnect、Pulse 和 GlobalProtect VPN 的開放式用戶端) 中處理區塊 HTTP 時存在一個弱點。惡意 HTTP 伺服器 (在接受其身份認證之後) 可以為區塊 HTTP 編碼提供假的區塊長度，並導致堆積型緩衝區溢位。

在 chromium 網頁瀏覽器中發現數個弱點。

  - CVE-2019-13725 Gengming Liu 和 Jianyu Chen 在藍牙實作中發現一個釋放後使用問題。

  - CVE-2019-13726 Sergei Glazunov 發現一個緩衝區溢位問題。

  - CVE-2019-13727 @piochu 發現一個原則強制執行錯誤。

  - CVE-2019-13728 Rong Jian 和 Guang Gong 在 v8 JavaScript 程式庫中發現一個超出邊界寫入錯誤。

  - CVE-2019-13729 Zhe Jin 發現一個釋放後使用問題。

  - CVE-2019-13730 Soyeon Park 和 Wen Xu 發現在 v8 JavaScript 程式庫中使用了錯誤的類型。

  - CVE-2019-13732 Sergei Glazunov 在 WebAudio 實作中發現一個釋放後使用問題。

  - CVE-2019-13734 Wenxiang Qian 在 sqlite 程式庫中發現一個超出邊界寫入問題。

  - CVE-2019-13735 Gengming Liu 和 Zhen Feng 在 v8 JavaScript 程式庫中發現一個超出邊界寫入問題。

  - CVE-2019-13736 在 pdfium 程式庫中發現一個整數溢位問題。

  - CVE-2019-13737 Mark Amery 發現一個原則強制執行錯誤。

  - CVE-2019-13738 Johnathan Norman 和 Daniel Clark 發現一個原則強制執行錯誤。

  - CVE-2019-13739 xisigr 發現一個使用者介面錯誤。

  - CVE-2019-13740 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13741 Michal Bentkowski 發現針對使用者輸入的驗證可能不完整。

  - CVE-2019-13742 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13743 Zhiyang Zeng 發現一個使用者介面錯誤。

  - CVE-2019-13744 Prakash 發現一個原則強制執行錯誤。

  - CVE-2019-13745 Luan Herrera 發現一個原則強制執行錯誤。

  - CVE-2019-13746 David Erceg 發現一個原則強制執行錯誤。

  - CVE-2019-13747 Ivan Popelyshev 和 Andre Bonatti 發現一個未初始化值。

  - CVE-2019-13748 David Erceg 發現一個原則強制執行錯誤。

  - CVE-2019-13749 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13750 Wenxiang Qian 發現 sqlite 程式庫中的資料驗證不足。

  - CVE-2019-13751 Wenxiang Qian 在 sqlite 程式庫中發現一個未初始化值。

  - CVE-2019-13752 Wenxiang Qian 在 sqlite 程式庫中發現一個超出邊界讀取問題。

  - CVE-2019-13753 Wenxiang Qian 在 sqlite 程式庫中發現一個超出邊界讀取問題。

  - CVE-2019-13754 Cody Crews 發現一個原則強制執行錯誤。

  - CVE-2019-13755 Masato Kinugawa 發現一個原則強制執行錯誤。

  - CVE-2019-13756 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13757 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13758 Khalil Zhani 發現一個原則強制執行錯誤。

  - CVE-2019-13759 Wenxu Wu 發現一個使用者介面錯誤。

  - CVE-2019-13761 Khalil Zhani 發現一個使用者介面錯誤。

  - CVE-2019-13762 csanuragjain 發現一個原則強制執行錯誤。

  - CVE-2019-13763 weiwangpp93 發現一個原則強制執行錯誤。

  - CVE-2019-13764 Soyeon Park 和 Wen Xu 發現在 v8 JavaScript 程式庫中使用了錯誤的類型。

  - CVE-2019-13767 Sergei Glazunov 發現一個釋放後使用問題。

  - CVE-2020-6377 Zhe Jin 發現一個釋放後使用問題。

  - CVE-2020-6378 Antti Levomaki 和 Christian Jalio 發現一個釋放後使用問題。

  - CVE-2020-6379 Guang Gong 發現一個釋放後使用問題。

  - CVE-2020-6380 Sergei Glazunov 發現一個驗證延伸模組訊息的錯誤。

在 OpenJDK Java 執行階段中發現數個弱點，可導致拒絕服務，不正確的 Kerberos GSSAPI 和 TGS 要求實作，或不正確的 TLS 交握。

在 cacti (伺服器監控系統) 中發現多個問題，可能導致經驗證的使用者執行 SQL 程式碼或洩漏資訊。

  - CVE-2019-16723 經驗證的使用者可透過提交含有修改過的 local_graph_id 參數的要求，來繞過檢視圖形的授權檢查。

  - CVE-2019-17357 圖形管理介面未充分清理 template_id 參數，可能導致 SQL 插入。經驗證的攻擊者可能會利用此弱點，在資料庫上執行未經授權的 SQL 程式碼。

  - CVE-2019-17358 sanitize_unserialize_selected_items 函式 (lib/functions.php) 未充分清理使用者輸入便將其還原序列化，可能導致使用者控制的資料進行不安全的還原序列化。經驗證的攻擊者可能會利用此弱點影響程式控制流程或造成記憶體損毀。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或資訊洩漏。

在 gpac (一種使用 MP4Box 多工器的多媒體架構) 中發現多個問題。

CVE-2018-21015

isomedia/avc_ext.c 中的 AVC_DuplicateConfig() 允許遠端攻擊者透過建構的檔案造成拒絕服務 (NULL 指標解除參照和程序當機)。

CVE-2018-21016

isomedia/box_code_base.c 中的 audio_sample_entry_AddBox() 允許遠端攻擊者透過建構的檔案造成拒絕服務 (堆積型緩衝區過度讀取和應用程式當機)。

CVE-2019-13618

libgpac.a 的 isomedia/isom_read.c 中存在堆積型緩衝區過度讀取，media_tools/mpegts.c 中的 gf_m2ts_sync 損毀即為一例。

CVE-2019-20161

odf/ipmpx_code.c 的函式 ReadGF_IPMPX_WatermarkingInit() 中發生堆積型緩衝區溢位。

CVE-2019-20162

isomedia/box_funcs.c 的函式 gf_isom_box_parse_ex() 中發生堆積型緩衝區溢位。

CVE-2019-20163

odf/descriptors.c 的函式 gf_odf_avc_cfg_write_bs() 中發生 NULL 指標解除參照。

CVE-2019-20165

isomedia/box_code_apple.c 的函式 ilst_item_Read() 中發生 NULL 指標解除參照。

CVE-2019-20170

odf/ipmpx_code.c 的函式 GF_IPMPX_AUTH_Delete() 中發生無效的指標解除參照。

CVE-2019-20171

isomedia/box_code_adobe.c 的 isomedia/box_code_base.c 和 abst_Read 中發生記憶體洩漏。

CVE-2019-20208

GPAC 0.8.0 的 isomedia/box_code_3gpp.c 的 dimC_Read 中存在堆疊型緩衝區溢位。

針對 Debian 8「Jessie」，已在 0.5.0+svn5324~dfsg1-1+deb8u5 版本中修正這些問題。

建議您升級 gpac 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或資訊洩漏。

針對 Debian 8「Jessie」，已在 1:68.4.1-1~deb8u1 版本中修正這些問題。

建議您升級 thunderbird 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	嚴重性
133657	Debian DSA-4620-1：firefox-esr - 安全性更新	high
133656	Debian DLA-2101-1：libemail-address-list-perl 安全性更新	high
133655	Debian DLA-2100-1：libexif 安全性更新	high
133654	Debian DLA-2099-1：checkstyle 安全性更新	medium
133562	Debian DLA-2098-1：ipmitool 安全性更新	high
133561	Debian DLA-2097-1：ppp 安全性更新	critical
133534	Debian DSA-4619-1：libxmlrpc3-java - 安全性更新	critical
133533	Debian DSA-4618-1：libexif - 安全性更新	high
133532	Debian DLA-2096-1：ruby-rack-cors 安全性更新	medium
133509	Debian DLA-2095-1：storebackup 安全性更新	high
133475	Debian DSA-4617-1：qtbase-opensource-src - 安全性更新	high
133419	Debian DSA-4616-1：qemu - 安全性更新	medium
133418	Debian DSA-4615-1：spamassassin - 安全性更新	high
133417	Debian DSA-4614-1：sudo - 安全性更新	high
133416	Debian DSA-4613-1：libidn2 - 安全性更新	critical
133415	Debian DSA-4612-1：prosody-modules - 安全性更新	critical
133414	Debian DLA-2094-1：sudo 安全性更新	high
133413	Debian DLA-2093-1：firefox-esr 安全性更新	high
133412	Debian DLA-2092-1：qtbase-opensource-src 安全性更新	medium
133411	Debian DLA-2091-1：libjackson-json-java 安全性更新	critical
133366	Debian DLA-2090-1：qemu 安全性更新	medium
133365	Debian DLA-2089-1：openjpeg2 安全性更新	high
133364	Debian DLA-2088-1：libsolv 安全性更新	high
133363	Debian DLA-2087-1：suricata 安全性更新	critical
133362	Debian DLA-2078-1：libxmlrpc3-java 安全性更新	critical
133326	Debian DSA-4611-1：opensmtpd - 安全性更新	critical
133325	Debian DSA-4610-1：webkit2gtk - 安全性更新	high
133324	Debian DLA-2086-1：wget 安全性更新	high
133323	Debian DLA-2085-1：zlib 安全性更新	critical
133322	Debian DLA-2084-1：graphicsmagick 安全性更新	critical
133321	Debian DLA-2083-1：hiredis 安全性更新	high
133320	Debian DLA-2082-1：unzip 安全性更新	high
133319	Debian DLA-2081-1：openjpeg2 安全性更新	high
133318	Debian DLA-2079-1：otrs2 安全性更新	medium
133277	Debian DLA-2080-1：iperf3 安全性更新	critical
133276	Debian DLA-2077-1：tomcat7 安全性更新	high
133230	Debian DSA-4609-1：python-apt - 安全性更新	medium
133229	Debian DLA-2076-1：slirp 安全性更新	medium
133228	Debian DLA-2075-1：jsoup 安全性更新	medium
133219	Debian DLA-2074-1：python-apt 安全性更新	medium
133218	Debian DLA-2059-1：git 安全性更新	critical
133151	Debian DSA-4608-1：tiff - 安全性更新	high
133150	Debian DLA-2073-1：transfig 安全性更新	high
133110	Debian DSA-4607-1：openconnect - 安全性更新	critical
133109	Debian DSA-4606-1：chromium - 安全性更新	high
133108	Debian DSA-4605-1：openjdk-11 - 安全性更新	high
133107	Debian DSA-4604-1：cacti - 安全性更新	high
133106	Debian DSA-4603-1：thunderbird - 安全性更新	high
133105	Debian DLA-2072-1：gpac 安全性更新	high
133104	Debian DLA-2071-1：thunderbird 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

high

medium

high

critical

critical

high

medium

high

high

medium

high

high

critical

critical

high

high

medium

critical

medium

high

high

critical

critical

critical

high

high

critical

critical

high

high

high

medium

critical

high

medium

medium

medium

medium

critical

high

high

critical

high

high

high

high

high

high