遠端 Debian 12 主機上安裝的多個套件受到 dsa-5896 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5896-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 5 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：trafficserver CVE ID ：CVE-2024-38311 CVE-2024-38479 CVE-2024-50305 CVE-2024-50306 CVE-2024-56195 CVE-2024-56202

    在 Apache Traffic Server (一種反向和轉送代理伺服器) 中發現數個弱點，可導致拒絕服務、HTTP 要求走私攻擊、快取中毒或是不完整的特權捨棄。

    針對穩定的發行版本 (bookworm)，已在 9.2.5+ds-0+deb12u2 版本中修正這些問題。

    建議您升級 trafficserver 套件。

    如需有關 trafficserver 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/trafficserver

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4115 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4115-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 4 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：ruby-saml 版本：1.11.0-1+deb11u2 CVE ID：CVE-2025-25291 CVE-2025-25292 CVE-2025-25293 Debian 錯誤：1100441

    在 ruby-saml (用於實作用戶端 SAML 授權的程式庫) 中偵測到多個弱點。

    CVE-2025-25291 和 CVE-2025-25292

       ruby-saml 容易產生驗證繞過弱點。

    CVE-2025-25293

       ruby-saml 容易受到壓縮 SAML 回應所造成的 Zlib deflate 解壓縮炸彈包和遠端拒絕服務 (DoS) 影響。

    針對 Debian 11 Bullseye，這些問題已在 1.11.0-1+deb11u2 版本中修正。

    建議您升級 ruby-saml 套件。

    如需有關 ruby-saml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-saml

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5894 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5894-1 security@debian.org https://www.debian.org/security/Markus Koschany 2025 年 4 月 5 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：jetty9 CVE ID：CVE-2024-6762 CVE-2024-8184 CVE-2024-9823 Debian 錯誤：1085697

    Jetty 9 是 Java 型 Web 伺服器和 servlet 引擎。發現數個安全性弱點，遠端攻擊者可藉此透過重複傳送可觸發 OutofMemory 錯誤並耗盡伺服器記憶體的特製要求，造成拒絕服務。

    CVE-2024-6762：此外，PushSessionCacheFilter 和 PushCacheFilter 已經過時。這些類別不應再用於生產環境。

    針對穩定的發行版本 (bookworm)，已在 9.4.57-0+deb12u1 版中修正這些問題。

    建議您升級 jetty9 套件。

    如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/jetty9

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5893 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5893-1 security@debian.org https://www.debian.org/security/Markus Koschany 2025 年 4 月 5 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：tomcat10 CVE ID：CVE-2025-24813

    在 Java 型 Web 伺服器和 servlet 引擎 Tomcat 10 中發現一個安全性弱點。當啟用預設 servlet 的寫入 (預設為停用) 並啟用部分 PUT 的支援 (預設啟用) 時，惡意使用者可檢視安全性敏感檔案，和/或將內容插入這些檔案。在某些情況下，根據所使用的應用程式，可能發生遠端程式碼執行。

    針對穩定的發行版本 (bookworm)，已在 10.1.34-0+deb12u2 版本中修正此問題。

    建議您升級 tomcat10 套件。

    如需有關 tomcat10 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tomcat10

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4114 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4114-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 4 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package : zfs-linux Version : 2.0.3-9+deb11u2 CVE ID : CVE-2013-20001 CVE-2023-49298 Debian Bug : 1056752 1059322

    在 Linux 的 OpenZFS 檔案系統 zfs-linux 中發現多個弱點。

    CVE-2013-20001

       透過 sharenfs 功能將 NFS 分享匯出到 IPv6 位址時，會在剖析 IPv6 位址資料時失敗，但系統不會通知，並讓所有人都能存取。未套用設定的 IPv6 限制。透過此修正，可識別 sharenfs 屬性的主機部分是 ipv6 常值的時機，並在不修改的情況下通過該常值。

    CVE-2023-49298

       檢查 dnode 及其資料是否有問題，避免應用程式不慎將檔案內容取代為零值位元組，進而可能停用安全性機制。

    針對 Debian 11 Bullseye，這些問題已在 2.0.3-9+deb11u2 版本中修正。

    建議您升級 zfs-linux 套件。

    如需有關 zfs-linux 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/zfs-linux

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的一個套件受到 dsa-5892 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5892-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 3 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：atop CVE ID：CVE-2025-31160

    據發現，系統資源和處理程序活動的監控工具 Atop 在未充分清理從此連接埠讀取的資料時，一律會嘗試連線至 atopgpud (收集 Debian 未隨附之 GPU 統計資料的額外程序) 的連接埠。

    透過此更新，會新增額外的驗證，同時根據預設，除非透過 -k 明確啟用，否則 atop 不會再嘗試連線至 atopgpud 常駐程式連接埠。

    針對穩定的發行版本 (bookworm)，已在 2.7.1-1+deb12u1 版本中修正此問題。

    建議您升級 atop 套件。

    如需有關 atop 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/atop

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5891 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5891-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 3 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：thunderbird CVE ID：CVE-2025-3028 CVE-2025-3029 CVE-2025-3030

    在 Thunderbird 中發現多個安全性問題，可導致拒絕服務或任意程式碼執行攻擊。

    針對穩定的發行版本 (bookworm)，這些問題已在 1:128.9.0esr-1~deb12u1 版本中修復。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受 dsa-4112 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4112-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 4 月 3 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: php-horde-editor 版本: 2.0.5+debian0-5+deb11u1 Debian 錯誤: 1042715

    Horde Editor 是 Horde 群組軟體平台中的 HTML 編輯器，主要用於其 IMP webmail 元件，其運作依賴於 CKEditor v3。
    然而，CKEditor v3 已進入 EOL，且在不再享有 Debian Bullseye 支援。
    此更新升級至 CKEditor v4，作為過渡至 CKEditor v5 的第一步。

    針對 Debian 11 Bullseye，此問題已在版本 2.0.5+debian0-5+deb11u1 中修正。

    建議您升級 php-horde-editor 套件。

    如需有關 php-horde-editor 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/php-horde-editor

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5890 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5890-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 4 月 3 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 : chromium CVE ID : CVE-2025-3066 CVE-2025-3067 CVE-2025-3068 CVE-2025-3069 CVE-2025-3070 CVE-2025-3071 CVE-2025-3072 CVE-2025-3073 CVE-2025-3074

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 135.0.7049.52-1~deb12u1 版中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受 dsa-4113 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4113-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 4 月 3 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: php-horde-imp 版本: 6.2.27-2+deb11u1 CVE ID: CVE-2025-30349 Debian 錯誤: 1042715

    在 Horde IMP (Horde 群組軟體平台的 webmail 元件) 中發現一個 XSS 弱點。攻擊者可傳送特製的電子郵件給 IMP 使用者，藉此劫持使用者的工作階段。

    此外，系統也針對升級至 CKEditor v4 的改動進行了相應調整 (請參閱 DLA-4112-1)。

    針對 Debian 11 Bullseye，此問題已在 6.2.27-2+deb11u1 版本中修正。

    建議您升級 php-horde-imp 套件。

    如需有關 php-horde-imp 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/php-horde-imp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4111 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4111-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 4 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: commons-vfs 版本: 2.1-2+deb11u1 CVE ID: CVE-2025-27553 Debian 錯誤: 1101204

    Arnout Engelen 在 Commons VFS 中發現一個相對路徑遊走弱點，Commons VFS 是一個 Java 函式庫，提供統一的 API 用以存取各種不同的檔案系統。本機或遠端攻擊者可利用此缺陷，存取 root 資料夾之外的檔案和目錄。

    針對 Debian 11 Bullseye，此問題已在 2.1-2+deb11u1 版本中修正。

    建議您升級 commons-vfs 套件。

    如需有關 commons-vfs 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/commons-vfs

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5889 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5889-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 2 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: firefox-esr CVE ID: CVE-2025-3028 CVE-2025-3029 CVE-2025-3030

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行或偽造。

    針對穩定的發行版本 (bookworm)，這些問題已在 128.9.0esr-1~deb12u1 版本中修復。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4110 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4110-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 4 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: thunderbird 版本: 1:128.9.0esr-1~deb11u1 CVE ID: CVE-2025-3028 CVE-2025-3029 CVE-2025-3030

    在 Thunderbird 中發現多個安全性問題，可能導致偽造或任意程式碼執行攻擊。

    針對 Debian 11 Bullseye，這些問題已在 1:128.9.0esr-1~deb11u1 版本中修復。

    建議您升級 thunderbird 套件。

    如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/thunderbird

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4109 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4109-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 4 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：128.9.0esr-1~deb11u1 CVE ID：CVE-2025-3028 CVE-2025-3029 CVE-2025-3030

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致偽造或任意程式碼執行。

    針對 Debian 11 Bullseye，這些問題已在 128.9.0esr-1~deb11u1 版本中修復。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4108 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4108-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 4 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：tomcat9 版本：9.0.43-2~deb11u12 CVE ID：CVE-2025-24813

    在 Java 型 Web 伺服器和 servlet 引擎 Tomcat 9 中發現一個安全性弱點。當啟用預設 servlet 的寫入 (預設為停用) 並啟用部分 PUT 的支援 (預設啟用) 時，惡意使用者可檢視安全性敏感檔案，和/或將內容插入這些檔案。在某些情況下，根據所使用的應用程式，可能發生遠端程式碼執行。

    針對 Debian 11 Bullseye，已在 9.0.43-2~deb11u12 版本中修正此問題。

    建議您升級 tomcat9 套件。

    如需有關 tomcat9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tomcat9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4105 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4105-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 4 月 1 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: tzdata 版本: 2025b-0+deb11u1

    此更新包含 tzdata 2025b 中的變更。值得注意的變更:

    - - 為智利艾森大地區新增了的「美洲/科伊艾克」時區，其時區將從原本的 -04/-03 改為全年採用 -03 時區。該地區將不再於 2025 年 4 月 5 日調整時鐘。

    針對 Debian 11 Bullseye，此問題已在版本 2025b-0+deb11u1 中修正。

    建議您升級 tzdata 套件。

    如需有關 tzdata 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/tzdata

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4104 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4104-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 1 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: freetype 版本: 2.10.4+dfsg-1+deb11u2 CVE ID: CVE-2025-27363

    在 FreeType 字型繪製函式庫中發現， 處理 subglyph 結構時會發生的超出邊界寫入問題，已經獲得修復。

    針對 Debian 11 Bullseye，此問題已在 2.10.4+dfsg-1+deb11u2 版本中修復。

    建議您升級 freetype 套件。

    如需有關 freetype 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/freetype

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4101 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4101-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 31 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: varnish 版本: 6.5.1-1+deb11u4 CVE ID: CVE-2025-30346

    已修復快取型 HTTP 反向代理伺服器 Varnish 中的一個 HTTP/1 用戶端取消同步弱點。

    針對 Debian 11 Bullseye，此問題已在版本 6.5.1-1+deb11u4 中修正。

    建議您升級 varnish 套件。

    如需有關 varnish 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/varnish

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4102 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4102-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2025 年 3 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: linux-6.1 版本: 6.1.129-1~deb11u1 CVE ID: CVE-2024-26596 CVE-2024-40945 CVE-2024-42069 CVE-2024-42122 CVE-2024-45001 CVE-2024-47726 CVE-2024-49989 CVE-2024-50061 CVE-2024-54458 CVE-2024-56549 CVE-2024-57834 CVE-2024-57973 CVE-2024-57978 CVE-2024-57979 CVE-2024-57980 CVE-2024-57981 CVE-2024-57986 CVE-2024-57993 CVE-2024-57996 CVE-2024-57997 CVE-2024-57998 CVE-2024-58001 CVE-2024-58007 CVE-2024-58009 CVE-2024-58010 CVE-2024-58011 CVE-2024-58013 CVE-2024-58014 CVE-2024-58016 CVE-2024-58017 CVE-2024-58020 CVE-2024-58034 CVE-2024-58051 CVE-2024-58052 CVE-2024-58054 CVE-2024-58055 CVE-2024-58056 CVE-2024-58058 CVE-2024-58061 CVE-2024-58063 CVE-2024-58068 CVE-2024-58069 CVE-2024-58071 CVE-2024-58072 CVE-2024-58076 CVE-2024-58077 CVE-2024-58080 CVE-2024-58083 CVE-2024-58085 CVE-2024-58086 CVE-2025-21684 CVE-2025-21700 CVE-2025-21701 CVE-2025-21703 CVE-2025-21704 CVE-2025-21705 CVE-2025-21706 CVE-2025-21707 CVE-2025-21708 CVE-2025-21711 CVE-2025-21715 CVE-2025-21716 CVE-2025-21718 CVE-2025-21719 CVE-2025-21722 CVE-2025-21724 CVE-2025-21725 CVE-2025-21726 CVE-2025-21727 CVE-2025-21728 CVE-2025-21731 CVE-2025-21734 CVE-2025-21735 CVE-2025-21736 CVE-2025-21738 CVE-2025-21744 CVE-2025-21745 CVE-2025-21748 CVE-2025-21749 CVE-2025-21750 CVE-2025-21753 CVE-2025-21758 CVE-2025-21760 CVE-2025-21761 CVE-2025-21762 CVE-2025-21763 CVE-2025-21764 CVE-2025-21765 CVE-2025-21766 CVE-2025-21767 CVE-2025-21772 CVE-2025-21775 CVE-2025-21776 CVE-2025-21779 CVE-2025-21780 CVE-2025-21781 CVE-2025-21782 CVE-2025-21785 CVE-2025-21787 CVE-2025-21790 CVE-2025-21791 CVE-2025-21792 CVE-2025-21794 CVE-2025-21795 CVE-2025-21796 CVE-2025-21799 CVE-2025-21802 CVE-2025-21804 CVE-2025-21806 CVE-2025-21811 CVE-2025-21812 CVE-2025-21814 CVE-2025-21819 CVE-2025-21820 CVE-2025-21821 CVE-2025-21823 CVE-2025-21826 CVE-2025-21829 CVE-2025-21830 CVE-2025-21832 CVE-2025-21835 Debian 錯誤: 1071562 1087807 1088159 1091517 1091858 1093371 1095435 1095745 1095764 1098250 1098354 1099138

    在 Linux 核心中發現數個弱點，這些弱點可能會導致特權提升、拒絕服務或資訊洩漏。

    針對 Debian 11 bullseye，已在 6.1.129-1~deb11u1 版本中修正這些問題。此外，這也包含來自穩定版更新 6.1.129的更多錯誤修正，以及針對某些 Rockchip SoC 回歸問題所做的修復。

    建議您升級 linux-6.1 套件。

    如需有關 linux-6.1 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/linux-6.1

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4103 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4103-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 3 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: suricata 版本: 1:6.0.1-3+deb11u1 CVE ID: CVE-2021-45098 CVE-2023-35852 CVE-2024-32663 CVE-2024-37151 CVE-2024-45796 CVE-2024-55626 CVE-2025-29918


    在 Suricata 這款次世代入侵偵測與防護工具中，發現了數個問題。 這些問題與繞過 HTTP 型簽章、不當處理多個片段封包、邏輯錯誤、無限迴圈、緩衝區溢位、非預期檔案存取和使用大量記憶體有關。



    針對 Debian 11 bullseye，已在 1:6.0.1-3+deb11u1 版本中修正這些問題。

    建議您升級 suricata 套件。

    如需有關 suricata 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/suricata

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4099 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4099-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 31 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: flatpak 版本: 1.10.8-0+deb11u3 CVE ID: CVE-2024-42472 Debian 錯誤: 1082927

    用於桌面應用程式的部署框架 Flatpak 已修復可存取沙箱外部檔案的問題。

    為配合此修復作業，bubblewrap 套件也已更新。 

    針對 Debian 11 Bullseye，此問題已在版本 1.10.8-0+deb11u3 中修正。

    建議您升級 flatpak 套件。

    如需有關 flatpak 安全性狀態的詳細資訊，請參閱其安全性追蹤頁面:
    https://security-tracker.debian.org/tracker/flatpak

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4100 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4100-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 31 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: libdata-entropy-perl 版本: 0.007-3.1+deb11u1 CVE ID: CVE-2025-1860 Debian 錯誤: 1101503

    perl 模組 Data::Entropy 原先使用密碼編譯方式不安全的 rand() 函式作為預設的熵來源。

    針對 Debian 11 Bullseye，此問題已在版本 0.007-3.1+deb11u1 中修正。

    建議您升級 libdata-entropy-perl 套件。

    如需有關 libdata-entropy-perl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/libdata-entropy-perl

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4098 公告中提及的一個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4098-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 3 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: amd64-microcode 版本: 3.20250311.1~deb11u1 CVE ID: CVE-2024-56161 Debian 錯誤: 1095470

    在特定 AMD 平台中發現一項潛在弱點，可能會造成機密運算弱點。

    AMD 已發行更新版微碼，以防止攻擊者載入經竄改的微碼。

    此外，某些平台若需支援 SEV-SNP 證明，可能需要更新 SEV 韌體及 BIOS。

    如需詳細資訊，請參閱 AMD 安全性公告 AMD-SB-3019。

    CVE-2024-56161 (AMD-SB-3019):

        AMD CPU ROM 微碼修補程式載入器中的簽章驗證機制不當，具有本機管理員權限的攻擊者可能藉此載入惡意 CPU 微碼，導致在 AMD SEV-SNP 下執行的機密來賓系統失去機密性和完整性。

    針對 Debian 11 Bullseye，此問題已在版本 3.20250311.1~deb11u1 中修正。

    建議您升級 amd64-microcode 套件。

    如需有關 amd64-microcode 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/amd64-microcode

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4097 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4097-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 3 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：vim 版本：2:8.2.2434-3+deb11u3 CVE ID：CVE-2021-3872 CVE-2021-4019 CVE-2021-4173 CVE-2021-4187 CVE-2022-0261 CVE-2022-0351 CVE-2022-0359 CVE-2022-0361 CVE-2022-0392 CVE-2022-0417 CVE-2022-0572 CVE-2022-1616 CVE-2022-1785 CVE-2022-1897 CVE-2022-1942 CVE-2022-2000 CVE-2022-2129 CVE-2022-2304 CVE-2022-3099 CVE-2022-3134 CVE-2022-3324 CVE-2022-4141 CVE-2023-0054 CVE-2023-1175 CVE-2023-2610 CVE-2023-4738 CVE-2023-4752 CVE-2023-4781 CVE-2023-5344 CVE-2024-22667 CVE-2024-43802 CVE-2024-47814 Debian 錯誤：1015984 1019590 1027146 1031875 1035955 1053694 1084806

    在增強版 vi 編輯器 vim 中發現多個弱點。

    CVE-2021-3872

        如果緩衝區名稱極長，可能發生堆積型緩衝區溢位。

    CVE-2021-4019

        說明引數極長可能發生堆積型緩衝區溢位。

    CVE-2021-4173

        具有巢狀 :def 函式的 VimScript9 編譯器中發生記憶體重複釋放。

    CVE-2021-4187

        如果巢狀函式在其引數清單中存在有換行符號，則在 VimScript9 編譯器中會發生記憶體重複釋放。

    CVE-2022-0261

        區塊插入中的緩衝區溢位超出行尾。

    CVE-2022-0351

        在命令中，具有許多括號的條件可能會造成毀損，因為先前沒有遞迴限制。

    CVE-2022-0359

        在 Ex 模式中，大型 tabstop 可發生堆積型緩衝區溢位。

    CVE-2022-0361

        在視覺模式中複製程式碼行時發現緩衝區溢位。

    CVE-2022-0392

        在 ex 模式中，於處理括號內貼上的程式碼中發現一個堆積型緩衝區溢位。

    CVE-2022-0417

        :retab 0 命令可能會造成緩衝區溢位，因為將限制設定得太高。

    CVE-2022-0572

        重複使用 :retab 命令可能導致當機。

    CVE-2022-1616

        處理具有撰寫字元的無效命令時，可能發生緩衝區溢位。

    CVE-2022-1785

        可以在替代運算式中變更視窗，此情況可導致超出邊界寫入。

    CVE-2022-1897

        可在替代運算式中使用復原命令，進而導致無效的記憶體覆寫。

    CVE-2022-1942

        可從替代運算式開啟命令行視窗，進而導致堆積型緩衝區溢位。

    CVE-2022-2000

        命令錯誤訊息並未遭到截斷，因此可能會導致超出邊界寫入。

    CVE-2022-2129

        可在替代運算式中切換緩衝區，進而導致堆積型緩衝區溢位。

    CVE-2022-2304

        長字詞可能會造成拼字檢查程式發生緩衝區溢位。

    CVE-2022-3099

        :for 命令中的行號未經驗證，可導致損毀。

    CVE-2022-3134

        如果在搜尋標籤時意外關閉相關視窗，vim 會損毀。

    CVE-2022-3324

        負值視窗寬度造成使用負值陣列索引，亦即無效讀取。

    CVE-2022-4141

        在替代期間造訪其他檔案的函式可造成堆積型緩衝區溢位。

    CVE-2023-0054

        遞迴替代運算式可造成超出邊界寫入。

    CVE-2023-1175

        進行虛擬編輯時，緩衝區大小計算錯誤。

    CVE-2023-2610

        在替代中展開 ~ 時，如果產生的展開非常長，vim 將會損毀。

    CVE-2023-4738

        在 vim_regsub_both() 中發現緩衝區溢位問題。

    CVE-2023-4752

        在 ins_compl_get_exp() 中發現一個釋放後使用問題。

    CVE-2023-4781

        在 vim_regsub_both() 中發現第二個緩衝區溢位問題。

    CVE-2023-5344

        trunc_string() 對特定緩衝區何時可寫入做出錯誤假設。

    CVE-2024-22667

        寫入錯誤訊息的數個呼叫並未檢查是否有足夠的空間容納完整訊息。

    CVE-2024-43802

        清除該緩衝區時，typeahead 緩衝區結束指標可能會被移動超出其結尾，進而導致超出邊界讀取。

    CVE-2024-47814

        分割視窗與編輯新緩衝區時，可以將新緩衝區標記為刪除，進而導致釋放後使用。

    針對 Debian 11 Bullseye，這些問題已在 2:8.2.2434-3+deb11u3 版本中修復。

    建議您升級 vim 套件。

    如需有關 vim 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/vim

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4096 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4096-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 3 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：librabbitmq 版本：0.10.0-1+deb11u1 CVE ID：CVE-2023-35789



    在 librabbitmq (一種以 C 撰寫的 AMQP 用戶端程式庫和工具) 中發現一個問題。此問題與在命令行上使用工具時的認證可見性有關。



    針對 Debian 11 Bullseye，已在 0.10.0-1+deb11u1 版本中修正此問題。

    建議您升級 librabbitmq 套件。

    如需有關 librabbitmq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/librabbitmq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4095 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4095-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 3 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：intel-microcode 版本：3.20250211.1~deb11u1 CVE ID：CVE-2023-34440 CVE-2023-43758 CVE-2024-24582 CVE-2024-28047 CVE-2024-28127 CVE-2024-29214 CVE-2024-31068 CVE-2024-31157 CVE-2024-36293 CVE-2024-37020 CVE-2024-39279 CVE-2024-39355 Debian 錯誤：1095805

    已發布適用於 Intel(R) 處理器的 Microcode 更新，可解決可能會允許本機特權提升、拒絕服務或資訊洩漏等多個潛在弱點。

    CVE-2023-34440 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證，特權使用者可能會藉此透過本機存取權提升特權。

    CVE-2023-43758 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證，特權使用者可能會藉此透過本機存取權提升特權。

    CVE-2024-24582 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體中的 XmlCli 功能存在不當的輸入驗證，有權限的使用者可能會藉此透過本機存取權提升權限。

    CVE-2024-28047 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體存在不當輸入驗證，有權限的使用者或可利用此弱點，透過本機存取權限造成資訊洩漏。

    CVE-2024-28127 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證，特權使用者可能會藉此透過本機存取權提升特權。

    CVE-2024-29214 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體 CseVariableStorageSmm 中存在不當的輸入驗證，特權使用者可能會藉此透過本機存取權提升特權。

    CVE-2024-31068 (INTEL-SA-01166)

        某些 Intel(R) 處理器中硬體邏輯的有限狀態機 (FSM) 不正確，特權使用者可透過本機存取權限造成拒絕服務。

    CVE-2024-31157 (INTEL-SA-01139)

        某些 Intel(R) 處理器的 UEFI 韌體 OutOfBandXML 模組中存在不當初始化，可能會允許特權使用者透過本機存取權限造成資訊洩漏。

    CVE-2024-36293 (INTEL-SA-01213)

        在某些搭載 Intel(R) SGX 的 Intel(R) 處理器的 EDECCSSA user leaf 函式中存在不當存取控制，可能允許經驗證的使用者透過本機存取造成拒絕服務。

    CVE-2024-37020 (INTEL-SA-01194)

        - 某些 Intel(R) Xeon(R) 處理器的 Intel(R) DSA V1.0 中存在會導致意外行為的處理器指令序列，經驗證的使用者可能會透過本機存取權限來造成拒絕服務。

    CVE-2024-39279 (INTEL-SA-01139)

        - 某些 Intel(R) 處理器的 UEFI 韌體中存在存取控制精細程度不足問題，經驗證的使用者可能會透過本機存取權限造成拒絕服務。

    CVE-2024-39355 (INTEL-SA-01228)

        不當處理某些 Intel(R) 處理器中的實體或環境條件，可允許經驗證的使用者透過本機存取造成拒絕服務。

    針對 Debian 11 bullseye，已在 3.20250211.1~deb11u1 版本中修正這些問題。

    建議您升級 intel-microcode 套件。

    如需有關 intel-microcode 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/intel-microcode

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4093 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4093-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 3 月 27 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：opensaml 版本：3.2.0-2+deb11u1 CVE ID：TEMP-1100464-F28DDC Debian 錯誤：1100464

    Alexander Tan 發現 OpenSAML C++ 程式庫容易受到偽造的已簽署 SAML 訊息影響。如需其他詳細資訊，請參閱上游公告：https://shibboleth.net/community/advisories/secadv_20250313.txt

    針對 Debian 11 Bullseye，此問題已在版本 3.2.0-2+deb11u1 中修正。

    我們建議您升級 opensaml 套件。

    如需有關 opensaml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/opensaml

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4094 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4094-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 3 月 27 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：mercurial 版本：5.6.1-4+deb11u1 CVE ID：CVE-2025-2361 Debian 錯誤：1100899

    在 Mercurial 版本控制系統的整合式獨立 Web 介面 hgweb 中發現一個跨網站指令碼弱點。

    也已解決 mercurial 中與 python 中修正的 CVE-2023-27043 相關的問題。

    針對 Debian 11 bullseye，已在 5.6.1-4+deb11u1 版本中修正這些問題。

    建議您升級 mercurial 套件。

    如需有關 mercurial 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mercurial

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5888 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5888-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 3 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ghostscript CVE ID：CVE-2025-27830 CVE-2025-27831 CVE-2025-27832 CVE-2025-27833 CVE-2025-27834 CVE-2025-27835 CVE-2025-27836

    在 Ghostscript (GPL PostScript/PDF 解譯器) 中發現數個安全性弱點，如果處理格式錯誤的文件檔案，這些弱點可導致拒絕服務，並可能造成任意程式碼執行。

    針對穩定的發行版本 (bookworm)，這些問題已在 10.0.0~dfsg-11+deb12u7 版本中修正。

    建議您升級 ghostscript 套件。

    如需有關 ghostscript 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ghostscript

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5887 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5887-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 3 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：exim4 CVE ID : CVE-2025-30232

    據發現，郵件傳輸代理程式 Exim4 中有一個釋放後使用弱點，可能導致本機攻擊者特權提升。

    針對穩定的發行版本 (bookworm)，4.96-15+deb12u7 版本中已經修正此問題。

    我們建議您升級 exim4 套件。

    如需有關 exim4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/exim4

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4092 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4092-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Chris Lamb 2025 年 3 月 26 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libcap2 版本：1:2.44-1+deb11u1 CVE ID：CVE-2023-2602 CVE-2023-2603 CVE-2025-1390 Debian 錯誤：1036114 1098318

    據發現，在 libcap2 (用於管理核心功能的程式庫) 中有三個問題；也就是將功能強大的單一 root 特權分割為一組不同的特權，通常用於限制以 root 使用者身分執行的處理程序遭到惡意利用時所造成的任何損害。這三個問題如下：

    * CVE-2023-2602：在 pthread_create() 函式中發現一個弱點。此問題可允許惡意執行者耗盡系統的記憶體。

    * CVE-2023-2603：在 _libcap_strdup 函式中發現一個問題，如果輸入字串接近 4GiB，可能導致整數溢位。

    * CVE-2025-1390：pam_cap.so PAM 模組可支援以 @ 開頭的群組名稱，但是在剖析期間，不是以 @ 開頭的設定沒有正確被識別為群組名稱。這種使用者群組混淆可能會導致非預期使用者被授予繼承的功能集，進而可能導致安全風險。攻擊者可惡意利用此弱點，透過建立特定的使用者名稱。在使用 capability.conf 設定使用者繼承的系統中達成本機特權提升。

    針對 Debian 11 Bullseye，這些問題已在 1:2.44-1+deb11u1 版本中修正。

    我們建議您升級 libcap2 套件。

    如需有關 libcap2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libcap2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的一個套件受到 dsa-5886 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5886-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 25 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ruby-rack CVE ID：CVE-2025-25184 CVE-2025-27111 CVE-2025-27610

    Rack (在 Ruby 中開發 Web 應用程式的介面) 中有多個安全性問題可導致記錄插入或資訊洩漏。

    針對穩定的發行版本 (bookworm)，已在 2.2.13-1~deb12u1 版中修正這些問題。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4091 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4091-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Andrej Shadura 2025 年 3 月 25 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: nginx 版本: 1.18.0-6.1+deb11u4 CVE ID: CVE-2024-7347 CVE-2025-23419

    本次上傳修復了 Bullseye 隨附之 nginx 版本中的兩個安全性問題。

    CVE-2024-7347

        Nginx 的 ngx_http_mp4_module 中存在一個弱點，可能允許攻擊者使用特製的 mp4 檔案過度讀取 nginx 背景工作記憶體，進而導致其終止。此問題只會影響以 ngx_http_mp4_module 構建且設定檔中使用 mp4 指令的 nginx。此外，只有在攻擊者能夠使用 ngx_http_mp4_module 觸發程式處理特製的 mp4 檔案時，才有可能發生此攻擊。

    CVE-2025-23419

        當多個伺服器區塊設定為共用相同的 IP 位址和連接埠時，攻擊者可利用工作階段恢復來繞過這些伺服器上的用戶端憑證驗證要求。當預設伺服器中使用 TLS 工作階段工單和/或 SSL 工作階段快取，且預設伺服器正在執行用戶端憑證驗證時，會出現此弱點。
        此問題並未影響 Bullseye 中的 ngx_stream_ssl_module，因為串流虛擬伺服器功能是在之後的版本中才新增的。

    針對 Debian 11 Bullseye，這些問題已在 1.18.0-6.1+deb11u4 版本中修正。

    建議您升級 nginx 套件。

    如需有關 nginx 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/nginx

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4090 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4090-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 24 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件: ruby-rack 版本: 2.1.4-3+deb11u3 CVE ID: CVE-2025-25184 CVE-2025-27111 CVE-2025-27610 Debian 錯誤: 1098257 1099546 1100444

    已在 ruby-rack (用於在 Ruby 中開發 Web 應用程式的介面) 中修正多個弱點。

    CVE-2025-25184

        Rack::CommonLogger 中的記錄插入

    CVE-2025-27111

        Rack::Sendfile 中的記錄插入

    CVE-2025-27610

        Rack::Static 中的本機檔案包含

    針對 Debian 11 Bullseye，這些問題已在 2.1.4-3+deb11u3 版本中修復。

    建議您升級 ruby-rack 套件。

    如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/ruby-rack

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4089 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4089-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Adrian Bunk 2025 年 3 月 24 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：libxslt 版本：1.1.34-4+deb11u2 CVE ID：CVE-2024-55549 CVE-2025-24855 Debian 錯誤：1100565 1100566

    已修正 XSLT 處理程式庫 libxslt 中的兩個釋放後使用弱點。

    CVE-2024-55549

        與排除的命名空間相關的釋放後使用

    CVE-2025-24855

        XPath 內容節點的釋放後使用

    針對 Debian 11 Bullseye，這些問題已在 1.1.34-4+deb11u2 版本中修正。

    建議您升級 libxslt 套件。

    如需有關 libxslt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libxslt

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5885 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5885-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2025 年 3 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：webkit2gtk CVE ID：CVE-2024-44192 CVE-2024-54467 CVE-2025-24201

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2024-44192

        Tashita Software Security 發現，處理惡意特製的 Web 內容可能導致處理程序意外損毀。

    CVE-2024-54467

        Narendra Bhati 發現惡意網站可能會洩露跨來源資料。

    CVE-2025-24201

        Apple 發現惡意特製的 Web 內容或可破解 Web 內容沙箱。

    針對穩定的發行版本 (bookworm)，已在 2.48.0-1~deb12u1 版中修正這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5884 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5884-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 3 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libxslt CVE ID：CVE-2024-55549 CVE-2025-24855 Debian 錯誤：1100565 1100566

    Ivan Fratric 在 XSLT 處理執行階段程式庫 libxslt 中發現兩個釋放後使用弱點，如果處理特製的檔案，可能會導致任意程式碼執行。

    針對穩定的發行版本 (bookworm)，已在版本 1.1.35-1+deb12u1 中修正這些問題。

    建議您升級 libxslt 套件。

    如需有關 libxslt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libxslt

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5883 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5883-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 22 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：mercurial CVE ID ：CVE-2025-2361

    在 Mercurial 版本控制系統的整合式獨立 Web 介面 hgweb 中發現一個跨網站指令碼弱點。

    針對穩定的發行版本 (bookworm)，已在 6.3.2-1+deb12u1 版本中修正此問題。

    建議您升級 mercurial 套件。

    如需有關 mercurial 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mercurial

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5882 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5882-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 3 月 20 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 : chromium CVE ID : CVE-2025-2476

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 134.0.6998.117-1~deb12u1 版本中修正此問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4088 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4088-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 3 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php7.4 版本：7.4.33-1+deb11u8 CVE ID：CVE-2025-1217 CVE-2025-1219 CVE-2025-1734 CVE-2025-1736 CVE-2025-1861

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題，可能導致 HTTP 請求走私、驗證繞過或拒絕服務。

    CVE-2025-1217

        Tim Dsterhus 發現，「http」資料流包裝函式的標頭剖析器未處理摺疊的標頭，並將錯誤的 MIME 類型傳送至附加的資料流通知程式。

    CVE-2025-1219

        Tim Dsterhus 發現，使用 DOM 或 SimpleXML 延伸模組要求 HTTP 資源時，所要求的資源執行重新導向時，會使用錯誤的 `content-type` 標頭來判斷字元集。

    CVE-2025-1734

        據發現，對於名稱無效且無冒號的標頭，資料流 HTTP 包裝函式不會失敗，違反了 RFC 規定的行為。

    CVE-2025-1736

        據發現，在某些情況下，資料流 HTTP 包裝函式標頭檢查可能會省略基本驗證標頭。

    CVE-2025-1861

        據發現，資料流 HTTP 包裝函式會將重新導向位置截斷為 1024 個位元組，而 RFC 建議的長度為 8000，而瀏覽器通常限制為 2048 左右。

    GHSA-wg4p-4hqh-c3g9

        當「XML_OPTION_SKIP_TAGSTART」設定為高值，且 XML 文件的標籤名稱比預期短時，在 XML 剖析邏輯中發現超出邊界讀取。

    針對 Debian 11 Bullseye，已在版本 7.4.33-1+deb11u8 中修正這些問題。

    建議您升級 php7.4 套件。

    如需有關 php7.4 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php7.4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4087 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4087-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 3 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python3.9 版本：3.9.2-1+deb11u3 CVE ID：CVE-2022-0391 CVE-2025-0938 CVE-2025-1795

    在 Python 程式設計語言的主要解譯器 cpython 3.9隨附的模組中發現多個弱點。

    CVE-2022-0391

        urllib.parse 模組中的函式未清理 URL 以移除新行字元，這可能會導致插入攻擊。

    CVE-2025-0938

        urllib.parse 和 urlparse 模組中的函式接受包含無效方括號的網域名稱。這些分隔符號只允許用於 IPv6 和 IPvFuture 主機。此問題可導致 Python URL 剖析器和其他符合規格的 URL 剖析器之間發生差異剖析。

    CVE-2025-1795

        電子郵件標頭剖析和摺疊的實作會對用於分隔清單項目的逗號進行編碼，這可能導致接收應用程式將清單中的兩個項目視為一個項目解譯。

    針對 Debian 11 Bullseye，這些問題已在版本 3.9.2-1+deb11u3 中修正。

    建議您升級 python3.9 套件。

    如需 python3.9 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python3.9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4086 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4086-1 debian-lts@lists.debian.orghttps://www.debian.org/lts/security/Chris Lamb 2025 年 3 月 19 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：python-django 版本：2:2.2.28-1~deb11u6 CVE ID：CVE-2025-26699 Debian 錯誤：1099682

    據發現，Django (Python 型 Web 開發架構) 中存在潛在的拒絕服務 (DoS) 弱點。

    問題位於 django.utils.text 模組的 wrap() 方法中。搭配超長字串使用時，此方法和 wordwrap 範本篩選器可能會遭受 DoS 攻擊。

    針對 Debian 11 Bullseye，此問題已在版本 2:2.2.28-1~deb11u6 中修正。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4085 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4085-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 3 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：tzdata 版本：2025a-0+deb11u1

    此更新包含 tzdata 2025a 中的變更。值得注意的變更：

    - - 巴拉圭將於 2024 年春季開始採用永久性 -03。
    - - 已更新閏秒清單，設定於 6 月底到期。

    針對 Debian 11 Bullseye，此問題已在版本 2025a-0+deb11u1 中修正。

    建議您升級 tzdata 套件。

    如需有關 tzdata 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/tzdata

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5881 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5881-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 17 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：rails CVE ID：CVE-2023-28362 CVE-2023-38037 CVE-2024-26144 CVE-2024-28103 CVE-2024-41128 CVE-2024-47887 CVE-2024-47888 CVE-2024-47889 CVE-2024-54133

    在 Rails 網路框架中發現多個安全性問題，其可能導致跨網站指令碼、資訊洩漏、拒絕服務或繞過內容安全策略。

    針對穩定的發行版本 (bookworm)，已在版本 2:6.1.7.10+dfsg-1~deb12u1 中修正這些問題。

    建議您升級 rails 套件。

    如需有關 rails 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/rails

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5880 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5880-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 3 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：freetype CVE ID : CVE-2025-27363

    在 FreeType 中嘗試剖析與 TrueType GX 和變數字型檔案相關的字型 subglyph 結構時發現存在有超出邊界寫入弱點，可能會導致在處理特製字型時執行任意程式碼。

    針對穩定的發行版本 (bookworm)，已在 2.12.1+dfsg-5+deb12u4 版本中修正此問題。

    建議您升級 freetype 套件。

    如需有關 freetype 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/freetype

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5879 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5879-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 16 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：opensaml CVE ID：尚未提供

    Alexander Tan 發現 OpenSAML C++ 程式庫容易受到偽造的已簽署 SAML 訊息影響。如需其他詳細資訊，請參閱上游公告：https://shibboleth.net/community/advisories/secadv_20250313.txt

    針對穩定的發行版本 (bookworm)，已在 3.2.1-3+deb12u1 版本中修正此問題。

    我們建議您升級 opensaml 套件。

    如需有關 opensaml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/opensaml

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5878 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5878-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 3 月 14 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：php8.2 CVE ID：CVE-2025-1217 CVE-2025-1219 CVE-2025-1734 CVE-2025-1736 CVE-2025-1861

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題，可導致拒絕服務或是 HTTP 請求走私。

    針對穩定的發行版本 (bookworm)，已在版本 8.2.28-1~deb12u1 中修正這些問題。

    我們建議您升級 php8.2 套件。

    如需有關 php8.2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php8.2

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5877 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian 安全公告 DSA-5877-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 3 月 12 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件: chromium CVE ID : CVE-2025-1920 CVE-2025-2135 CVE-2025-2136 CVE-2025-2137 CVE-2025-24201

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    針對穩定的發行版本 (bookworm)，已在 134.0.6998.88-1~deb12u1 版本中修正這些問題。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面 :
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單: debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4084 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4084-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 3 月 11 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: libmodbus 版本: 3.1.6-2+deb11u1 CVE ID : CVE-2022-0367 CVE-2024-10918 CVE-2024-36843 CVE-2024-36844 CVE-2024-36845 Debian 錯誤: 1074422

    在 libmodbus 發現兩個單獨的問題，現已解決。
    對於其中一個問題而言，已為相同問題指派多個 CVE 識別碼，並且所有識別碼都會在下方提及。

    CVE-2022-0367

        在 libmodbus 中，在 src/modbus.c 的 modbus_reply() 函式中發現一個堆積型緩衝區溢位缺陷。

    CVE-2024-10918

        libmodbus v3.1.10 中存在堆疊型緩衝區溢位弱點。如果函式嘗試回覆具有非預期長度的 Modbus 要求，這一弱點便會導致為 Modbus 回應分配的緩衝區發生溢位。

    CVE-2024-36843

        這是 CVE-2022-0367 的複本

    CVE-2024-36844

        這是 CVE-2022-0367 的複本

    CVE-2024-36845

        這是 CVE-2022-0367 的複本

    針對 Debian 11 bullseye，已在 3.1.6-2+deb11u1 版本中修正這些問題。

    建議您升級 libmodbus 套件。

    如需有關 libmodbus 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libmodbus

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4083 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4083-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 3 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：squid 版本：4.13-10+deb11u4 CVE ID：CVE-2024-25111 CVE-2024-37894 CVE-2024-45802 Debian 錯誤：

    在 Squid (一個功能完整的 Web proxy 快取) 中發現數個弱點。

    CVE-2024-25111

        由於不受控制的遞回錯誤，攻擊者可能對 HTTP 區塊解碼器發動拒絕服務攻擊。遠端攻擊者可藉此問題，在傳送特製的區塊編碼 HTTP 訊息時造成拒絕服務。

    CVE-2024-37894

        由於指派 ESI 變數時發生超出邊界寫入錯誤，Squid 容易受到記憶體損毀錯誤的影響。此錯誤可導致拒絕服務攻擊。

    CVE-2024-45802

        停用 ESI 功能支援。
        - 由於輸入驗證、資源在預期存留期過早釋放，以及有效存留期後未釋放資源的錯誤，Squid 容易受到拒絕服務攻擊；受信任的伺服器可以對使用此 Proxy 的所有用戶端發動該攻擊。目前已透過變更版本設定以指定 --disable-esi 選項來修復此問題。

    針對 Debian 11 bullseye，這些問題已在 4.13-10+deb11u4 版本中修復。

    建議您升級 squid 套件。

    如需有關 squid 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/squid

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
233897	Debian dsa-5896：trafficserver - 安全性更新	critical
233876	Debian dla-4115：ruby-saml - 安全性更新	critical
233875	Debian dsa-5894：jetty9 - 安全性更新	medium
233874	Debian dsa-5893：libtomcat10-embed-java - 安全性更新	critical
233873	Debian dla-4114：libnvpair3linux - 安全性更新	high
233828	Debian dsa-5892：atop - 安全性更新	low
233824	Debian dsa-5891：thunderbird - 安全性更新	high
233813	Debian dla-4112: php-horde-editor - 安全性更新	high
233812	Debian dsa-5890: chromium - 安全性更新	high
233811	Debian dla-4113: php-horde-editor - 安全性更新	high
233791	Debian dla-4111: libcommons-vfs-java - 安全性更新	high
233781	Debian dsa-5889: firefox-esr - 安全性更新	high
233780	Debian dla-4110: thunderbird - 安全性更新	high
233772	Debian dla-4109：firefox-esr - 安全性更新	high
233750	Debian dla-4108：libtomcat9-embed-java - 安全性更新	critical
233661	Debian dla-4105: tzdata - 安全性更新	high
233597	Debian dsa-4104: freetype2-demos - 安全性更新	high
233596	Debian dla-4101: libvarnishapi-dev - 安全性更新	medium
233595	Debian dla-4102: linux-config-6.1 - 安全性更新	high
233594	Debian dla-4103: suricata - 安全性更新	high
233560	Debian dla-4099: flatpak - 安全性更新	critical
233559	Debian dla-4100: libdata-entropy-perl - 安全性更新	critical
233550	Debian dla-4098: amd64-microcode - 安全性更新	high
233548	Debian dla-4097：vim - 安全性更新	high
233546	Debian dla-4096：amqp-tools - 安全性更新	medium
233545	Debian dla-4095：intel-microcode - 安全性更新	high
233466	Debian dla-4093：libsaml-dev - 安全性更新	high
233465	Debian dla-4094：mercurial - 安全性更新	critical
233372	Debian dsa-5888：ghostscript - 安全性更新	critical
233361	Debian dsa-5887：exim4 - 安全性更新	critical
233360	Debian dla-4092：libcap-dev - 安全性更新	critical
233339	Debian dsa-5886：ruby-rack - 安全性更新	medium
233322	Debian dla-4091: libnginx-mod-http-auth-pam - 安全性更新	medium
233303	Debian dla-4090: ruby-rack - 安全性更新	medium
233294	Debian dla-4089：libxslt1-dev - 安全性更新	high
233282	Debian dsa-5885：gir1.2-javascriptcoregtk-4.0 - 安全性更新	high
233281	Debian dsa-5884：libxslt1-dev - 安全性更新	high
233214	Debian dsa-5883：mercurial - 安全性更新	medium
233054	Debian dsa-5882：chromium - 安全性更新	high
233010	Debian dla-4088：libapache2-mod-php7.4 - 安全性更新	critical
232991	Debian dla-4087：idle-python3.9 - 安全性更新	medium
232990	Debian dla-4086：python-django-doc - 安全性更新	medium
232977	Debian dla-4085：tzdata - 安全性更新	high
232892	Debian dsa-5881：rails - 安全性更新	high
232845	Debian dsa-5880：freetype2-demos - 安全性更新	high
232827	Debian dsa-5879：libsaml-dev - 安全性更新	high
232748	Debian dsa-5878：libapache2-mod-php8.2 - 安全性更新	critical
232663	Debian dsa-5877 : chromium - 安全性更新	high
232625	Debian dla-4084 : libmodbus-dev - 安全性更新	high
232586	Debian dla-4083：squid - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

critical

critical

medium

critical

high

low

high

high

high

high

high

high

high

high

critical

high

high

medium

high

high

critical

critical

high

high

medium

high

high

critical

critical

critical

critical

medium

medium

medium

high

high

high

medium

high

critical

medium

medium

high

high

high

high

critical

high

high

high