在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、資訊洩漏或 CSS 清理略過。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致任意程式碼執行、資訊洩漏或 CSS 清理略過。

針對 Debian 9 Stretch，已在 78.6.0esr-1~deb9u1 版本中修正這些問題。

建議您升級 firefox-esr 套件。

如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/firefox-esr

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Apache Tomcat 8.5.0 至 8.5.59 版可以將在 HTTP/2 連線上收到的先前資料流中的 HTTP 要求標頭值重複用於與後續資料流相關的要求。雖然這很可能會導致錯誤與 HTTP/2 連線關閉，但也可能會在兩次要求之間造成資訊洩漏。

針對 Debian 9 Stretch，已在 8.5.54-0+deb9u5 版本中修正此問題。

我們建議您升級 tomcat8 套件。

如需有關 tomcat8 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/tomcat8

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Xen Hypervisor 中發現多個弱點：

影響 Xenstore 的數個安全性問題可導致針對 xenstored 的跨網域存取 (拒絕服務、資訊洩漏或權限提升) 或拒絕服務攻擊，

其他弱點可導致客體至主機的拒絕服務。

據發現，XStream (用於將物件序列化為 XML 並再次序列化的 Java 程式庫) 的預設黑名單容易受到任意 shell 命令執行攻擊，藉由操控處理過的輸入資料流可以觸發此攻擊。

如需其他深度防護，建議切換至 XStream 安全性架構的白名單方法。如需其他資訊，請參閱 https://github.com/x-stream/xstream/security/advisories/GHSA-mw36-7c6c
-q4q2

David Benjamin 發現 GENERAL_NAME_cmp() 函式中有一個缺陷，可造成 NULL 指標解除參照，進而導致拒絕服務。

針對 Debian 9 Stretch，已在 1.1.0l-1~deb9u2 版本中修正此問題。

建議您升級 openssl 套件。

如需有關 openssl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/openssl

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

David Benjamin 發現 GENERAL_NAME_cmp() 函式中有一個缺陷，可造成 NULL 指標解除參照，進而導致拒絕服務。

針對 Debian 9 Stretch，已在 1.0.2u-1~deb9u3 版本中修正此問題。

建議您升級 openssl1.0 套件。

如需有關 openssl1.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/openssl1.0

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Yaniv Nizry 發現，lxml (libxml2 和 libxslt 的 Python 繫結) 的 clean 模組可以被略過。

在 openexr 中發現兩個問題，openexr 是一組用於操控 OpenEXR 影像檔案的工具，通常用於電腦圖形行業製作視覺效果和動畫。

針對 Debian 9 Stretch，已在 2.2.0-11+deb9u2 版本中修正這些問題。

建議您升級 openexr 套件。

如需有關 openexr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/openexr

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guenal Davalan 報告，VNC 伺服器 x11vnc 中有一個瑕疵，允許遠端存取現有的 X 工作階段。x11vnc 會以 0777 模式建立共用記憶體區段。本機攻擊者可利用此缺陷，造成資訊洩漏、拒絕服務或干擾主機上其他使用者的 VNC 工作階段。

針對 Debian 9 Stretch，已在 0.9.13-2+deb9u2 版本中修正此問題。

建議您升級 x11vnc 套件。

如需有關 x11vnc 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/x11vnc

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Linux 核心中發現數個弱點，這些弱點可能會導致任意程式碼執行、權限提升、拒絕服務或資訊洩漏。

CVE-2019-19039

「Team bobfuzzer」報告 Btrfs 中有一個錯誤，可導致宣告失敗 (WARN)。若設定 panic_on_warn 核心參數，有權限掛載和存取任意檔案系統的使用者可利用此弱點造成拒絕服務 (當機)。

CVE-2019-19377

「Team bobfuzzer」報告 Btrfs 中有一個錯誤，可導致釋放後使用。有權限掛載和存取任意檔案系統的使用者可利用這些錯誤，造成拒絕服務 (當機或記憶體損毀)，或可能造成權限提升。

CVE-2019-19770

syzbot 工具在區塊 I/O 追蹤器 (blktrace) 中發現可導致系統當機的爭用情形。由於 blktrace 只能由有權限的使用者控制，因此其安全性影響尚不清楚。

CVE-2019-19816

「Team bobfuzzer」報告 Btrfs 中有一個錯誤，可導致超出邊界寫入。有權限掛載和存取任意檔案系統的使用者可利用這些錯誤，造成拒絕服務 (當機或記憶體損毀)，或可能造成權限提升。

CVE-2020-0423

在 Android binder 驅動程式中發現可導致釋放後使用的爭用情形。在使用此驅動程式的系統中，本機使用者可利用此問題造成拒絕服務 (當機或記憶體損毀)，或可能提升權限。

CVE-2020-8694

多個研究人員發現，powercap 子系統預設允許所有使用者讀取 CPU 能量計。在使用 Intel CPU 的系統上，這會提供側通道，在使用者處理程序之間洩漏敏感資訊，或將敏感資訊從核心洩漏至使用者處理程序。能量計現在預設為只能使用 Root 權限讀取。

執行以下命令可減輕此問題的風險：

chmod go-r /sys/devices/virtual/powercap/*/*/energy_uj

每次啓動使用未修正的核心版本的系統時，都需要重複此步驟。

CVE-2020-14351

在效能事件子系統中發現爭用情形，可導致釋放後使用。可存取效能事件的本機使用者可利用此弱點造成拒絕服務 (當機或記憶體損毀)，或可能造成權限提升。

在預設情況下，Debian 核心組態不允許無權的使用者存取效能事件，進而完全緩解了此問題。

CVE-2020-25656

Yuan Ming 和 Bodong Zhao 在虛擬終端機 (vt) 驅動程式中發現可導致釋放後使用的爭用情形。具有 CAP_SYS_TTY_CONFIG 權限的本機使用者可利用此弱點造成拒絕服務 (當機或記憶體損毀) 或可能提升權限。

CVE-2020-25668

Yuan Ming 和 Bodong Zhao 在虛擬終端機 (vt) 驅動程式中發現可導致釋放後使用的爭用情形。具有虛擬終端存取權限的本機使用者可利用此弱點造成拒絕服務 (當機或記憶體損毀) 或可能提升權限。

CVE-2020-25669

Bodong Zhao 在 Sun 鍵盤驅動程式 (sunkbd) 中發現可導致釋放後使用的錯誤。在使用此驅動程式的系統中，本機使用者可利用此問題造成拒絕服務 (當機或記憶體損毀)，或可能提升權限。

CVE-2020-25704

kiyin(尹亮) 在效能事件子系統中發現潛在的記憶體洩漏問題。具有效能事件存取權限的本機使用者可利用此問題引發拒絕服務 (記憶體耗盡)。

在預設情況下，Debian 核心組態不允許無權的使用者存取效能事件，進而完全緩解了此問題。

CVE-2020-25705

Keyu Man 報告，ICMP 封包傳輸的嚴格速率限制提供了一個旁路，可協助網路攻擊者執行封包偽造攻擊。特別是，這會讓路徑外的網路攻擊者透過偽造的回應「毒害」DNS 快取 (即「SAD DNS」攻擊)。

現已透過隨機化是否依據速率限制計算封包來減輕此問題。

據發現，minidlna (一種輕量型 DLNA/UPnP-AV 伺服器) 中遺漏輸入驗證，可導致任意程式碼執行。此外，minidlna 容易受到「CallStranger」UPnP 弱點影響。

針對 Debian 9 Stretch，已在 1.1.6+dfsg-1+deb9u1 版本中修正這些問題。

建議您升級 minidlna 套件。

如需有關 minidlna 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/minidlna

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，在 APT (高階套件管理員) 的 ar/tar 實作中遺漏輸入驗證，在處理格式錯誤的 deb 檔案時可以導致拒絕服務。

在 APT 套件管理執行階段庫的 Python 介面中發現多種記憶體和檔案描述符號洩漏弱點，這些弱點可導致拒絕服務。

據發現，在 APT (高階套件管理員) 的 ar/tar 實作中遺漏輸入驗證，在處理格式錯誤的 deb 檔案時可以導致拒絕服務。

針對 Debian 9 Stretch，已在 1.4.11 版本中修正此問題。

建議您升級 apt 套件。

如需有關 apt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/apt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

作爲 2488-1 發佈的 python-apt 更新因爲造成分割錯誤而引入迴歸問題，此更新已修正。

針對 Debian 9 Stretch，已在 1.4.3 版本中修正此問題。

建議您升級 python-apt 套件。

如需有關 python-apt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-apt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jan-Niklas Sohn 發現 Xorg X 伺服器的 XKB 延伸模組執行了不完整的輸入驗證，這可導致權限提升。

針對 Debian 9 Stretch，已在 2:1.19.2-1+deb9u7 版本中修正這些問題。

建議您升級 xorg-server 套件。

如需有關 xorg-server 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/xorg-server

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Let's Encrypt 的 ACMEv1 API 已過時且正在關閉。從 2021 年 1 月開始燈火管制到 2021 年 6 月全面關機，我們將無法使用 Let's Encrypt API。為防止使用者中斷憑證續約，此更新會將切換反向移植至 ACMEv2 API。

針對 Debian 9 Stretch，已在 0.28.0-1~deb9u3 版本中修正此問題。

建議您升級 python-certbot 套件。

如需有關 python-certbot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-certbot

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此套件中的 http2 伺服器支援容易受到某些類型的 DOS 攻擊。

CVE-2019-9512

此程式碼容易受到 ping 氾濫問題影響，可能導致拒絕服務。攻擊者會傳送連續的 ping 到 HTTP/2 對等端，造成對等端建構內部的回應佇列。
根據此資料的佇列效率而定，此狀況可消耗過多 CPU、記憶體或兩者。

CVE-2019-9514

此程式碼容易受到重設氾濫問題影響，可能導致拒絕服務。攻擊者會開啟多個資料流，並透過每個資料流傳送應該從對等端請求 RST_STREAM 框架資料流的無效請求。根據對等端佇列 RST_STREAM 框架的方式而定，這可能會消耗過量的記憶體、CPU 或兩者。

針對 Debian 9 Stretch，已在 1:0.0+git20161013.8b4af36+dfsg-3+deb9u1 版本中修正這些問題。

建議您升級 golang-golang-x-net-dev 套件。

如需有關 golang-golang-x-net-dev 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/golang-golang-x-net-dev

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

David Benjamin 發現 GENERAL_NAME_cmp() 函式中有一個缺陷，可造成 NULL 指標解除參照，進而導致拒絕服務。

如需詳細資訊，請參閱上游公告：
https://www.openssl.org/news/secadv/20201208.txt

在反向和轉送 proxy 伺服器 Apache Traffic Server 中發現兩個弱點：

  - CVE-2020-17508 ESI 外掛程式容易受到記憶體洩漏攻擊。

  - CVE-2020-17509 負快取選項容易受到快取毒害攻擊。

據發現，minidlna (一種輕量型 DLNA/UPnP-AV 伺服器) 中遺漏輸入驗證，可導致任意程式碼執行。此外，minidlna 容易受到「CallStranger」UPnP 弱點影響。

Chiaki Ishikawa 在 SMTP 伺服器狀態處理中發現堆疊溢位問題，可能導致任意程式碼執行。

針對 Debian 9 Stretch，已在 1:78.5.1-1~deb9u1 版本中修正此問題。

建議您升級 thunderbird 套件。

如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

debian-security-support (Debian 安全性支援涵蓋範圍檢查程式) 已在 jessie-security 中更新。

由於授權不相容，這標誌著 stretch 中的 mongodb 套件被淘汰。

如需詳細資訊，另請參閱 https://lists.debian.org/debian-lts/2020/11/msg00058.html 和 https://bugs.debian.org/915537。

針對 Debian 9 stretch，已在 1:9+2020.12.04 版 debian-security-support 套件中記錄此問題。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在輕量型目錄存取通訊協定的免費實作 OpenLDAP 中，在憑證清單語法驗證和 CSN 正規化處理中發現兩個弱點。未經驗證的遠端攻擊者可利用這些瑕疵，透過特製的封包造成拒絕服務 (slapd 程序損毀)。

針對 Debian 9 Stretch，已在 2.4.44+dfsg-5+deb9u6 版本中修正這些問題。

建議您升級 openldap 套件。

如需有關 openldap 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/openldap

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Salt (一種遠端執行管理器) 過去的安全性更新引入了已發布後續修正程式的回歸：

CVE 2020-16846 回歸

無法初始化「salt-ssh」主金鑰

CVE 2021-3197 回歸

捨棄 SSHClient 的有效參數

CVE 2020-28243 跟進

防止在 restartcheck 中插入引數

CVE 2021-25282 回歸

column_roots.write 無法寫入子目錄

CVE 2021-25284 回歸

如果傳遞 tuple 引數，「cmd.run」函式將損毀

針對 Debian 9「Stretch」，已在 2016.11.2+ds-1+deb9u10 版本中修正此問題。

建議您升級 salt 套件。

如需有關 salt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/salt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Chiaki Ishikawa 在 SMTP 伺服器狀態處理中發現堆疊溢位問題，可能導致任意程式碼執行。

Jan-Niklas Sohn 發現 Xorg X 伺服器的 XKB 延伸模組執行了不完整的輸入驗證，這可導致權限提升。

在 Xen hypervisor 中發現多個弱點，可造成拒絕服務、權限提升或資訊洩漏。

在 PostgreSQL 資料庫系統中發現數個弱點。

CVE-2020-25694

Peter Eisentraut 發現，資料庫重新連線可能會中斷原始連線的選項 (如加密)，進而導致資訊洩漏或攔截式攻擊。

CVE-2020-25695

Etienne Stalmans 報告，有權在配置中建立非暫時物件的使用者可以超級使用者的身分執行任意 SQL 函式。

CVE-2020-25696

Nick Cleaton 發現 \gset 命令修改了控制 psql 行為的變數，這可導致遭入侵或惡意伺服器在使用者工作階段中執行任意程式碼。

針對 Debian 9 Stretch，已在 9.6.20-0+deb9u1 版本中修正這些問題。

建議您升級 postgresql-9.6 套件。

如需有關 postgresql-9.6 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/postgresql-9.6

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在「jupyter-notebook」互動式筆記本系統中發現一個問題，其中惡意構建的連結可將瀏覽器重新導向至惡意/偽造的網站。

針對 Debian 9「Stretch」，已在 4.2.3-4+deb9u2 版本中修正此問題。

建議您升級 jupyter-notebook 套件。

如需有關 jupyter-notebook 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jupyter-notebook

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 pdfresurrect (一種用於分析和操控 PDF 文件修訂版本的工具) 中發現若干弱點。

CVE-2019-14934

pdf.c 中的 pdf_load_pages_kids 未驗證特定大小值，這可導致 malloc 失敗和超出邊界寫入

CVE-2020-20740

缺少標頭驗證檢查會造成 pdf_get_version() 中發生堆積型緩衝區溢位

針對 Debian 9 Stretch，已在 0.12-6+deb9u1 版本中修正這些問題。

建議您升級 pdfresurrect 套件。

如需有關 pdfresurrect 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/pdfresurrect

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Brotli (一個通用型無損壓縮套件) 中發現緩衝區溢位弱點。

在 Brotli (一個通用型無損壓縮套件) 中發現緩衝區溢位弱點。

針對 Debian 9 Stretch，已在 0.5.2+dfsg-2+deb9u1 版本中修正此問題。

建議您升級 brotli 套件。

如需有關 brotli 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/brotli

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在影像處理系統 VIPS 中，可能造成遠端伺服器路徑或堆疊位址洩漏的未初始化變數已經修正。

針對 Debian 9 Stretch，已在 8.4.5-1+deb9u2 版本中修正此問題。

建議您升級 vips 套件。

如需有關 vips 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/vips

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 zsh (功能強大的 shell 和指令碼語言) 中發現數個安全性弱點，現已更正。差一錯誤、錯誤剖析 shebang 行和緩衝區溢位問題均可能導致意外行為。無權限的本機使用者可建立特製的訊息檔案或目錄路徑。如果接收使用者取得權限或遍歷上述路徑，則會導致權限提升。

針對 Debian 9 Stretch，已在 5.3.1-4+deb9u4 版本中修正這些問題。

建議您升級 zsh 套件。

如需有關 zsh 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/zsh

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mutt (一種文字型郵件使用者代理程式) 中，未正確處理無效的 IMAP 伺服器回應，可能導致洩漏驗證認證或攔截式攻擊。

針對 Debian 9 Stretch，已在 1.7.2-1+deb9u4 版本中修正此問題。

建議您升級 mutt 套件。

如需有關 mutt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/mutt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，在 1.2.1 之前的所有 musl libc 版本中，在限制輸入字元計數的情況下，wcsnrtombs 函式在處理目標緩衝區大小時存在多個錯誤，可導致無轉送進度 (無溢位) 的無限迴圈，或在目標緩衝區的結尾後寫入。

針對 Debian 9 Stretch，已在 1.1.16-3+deb9u1 版本中修正此問題。

建議您升級 musl 套件。

如需有關 musl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/musl

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，XStream 容易受到遠端程式碼執行攻擊，此弱點可能會允許遠端攻擊者僅透過操控已處理的輸入資料流來執行任意 shell 命令。依賴封鎖清單的使用者會受到影響 (Debian 中的預設值)。我們強烈建議您使用 XStream Security Framework 的白名單方法，因為黑名單方法可能無法解決更多類別組合。

針對 Debian 9 Stretch，已在 1.4.9-2+deb9u1 版本中修正此問題。

建議您升級 libxstream-java 套件。

如需有關 libxstream-java 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Drupal 使用的 Archive_Tar PHP 模組中發現兩個弱點，如果允許惡意使用者上傳 tar 封存，則可導致任意程式碼執行。

針對 Debian 9 Stretch，已在 7.52-2+deb9u13 版本中修正這些問題。

我們建議您升級 drupal7 套件。

如需有關 drupal7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/drupal7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，SPIP (用於發佈的網站引擎) 並未正確驗證其輸入。經驗證的使用者可藉此執行任意程式碼。

在 TCP 流量記錄器 tcpflow 中發現一個問題。

由於 handle_80211 函式中存在溢位弱點，可能會發生超出邊界讀取敏感記憶體或拒絕服務情形。

針對 Debian 9 Stretch，已在 1.4.4+repack1-3+deb8u1 版本中修正此問題。

建議您升級 tcpflow 套件。

如需有關 tcpflow 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/tcpflow

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Guenal Davalan 報告，VNC 伺服器 x11vnc 中有一個瑕疵，允許遠端存取現有的 X 工作階段。x11vnc 會以 0777 模式建立共用記憶體區段。本機攻擊者可利用此缺陷，造成資訊洩漏、拒絕服務或干擾主機上其他使用者的 VNC 工作階段。

在自動 proxy 組態管理程式庫 libproxy 中發現兩個弱點，可導致拒絕服務或可能執行任意程式碼。

CVE-2018-19787

據發現，在用於 Python 的 LXML HTML/XSS 操控程式庫中存在一個 XSS 插入弱點。

CVE-2020-27783

JavaScript 透過 <noscript> 和 <style> 組合逸出。

針對 Debian 9 Stretch，已在 3.7.1-1+deb9u1 版本中修正這些問題。

建議您升級 lxml 套件。

如需有關 lxml 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/lxml

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬器 qemu 中發現一些問題。

所有問題都與宣告失敗、超出邊界存取失敗或錯誤處理傳回碼有關。

針對 Debian 9 Stretch，已在 1:2.8+dfsg-6+deb9u12 版本中修正這些問題。

建議您升級 qemu 套件。

如需有關 qemu 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/qemu

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 webkit2gtk Web 引擎中發現下列弱點：

  - CVE-2020-9948 Brendan Draper 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-9951 Marcin Noga 發現，處理惡意建構的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-9983 zhunki 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

  - CVE-2020-13584 Cisco 發現，處理惡意特製的 Web 內容可能會導致任意程式碼執行。

在可重複使用的 PHP 元件的發行系統 php-pear 中發現一個檔案名稱清理問題。

針對 Debian 9「Stretch」，已在 1:1.10.1+submodules+notgz-9+deb9u2 版本中修正此問題。

建議您升級 php-pear 套件。

如需有關 php-pear 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/php-pear

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致執行任意程式碼或拒絕服務。

針對 Debian 9 Stretch，已在 1:78.5.0-1~deb9u1 版本中修正這些問題。

建議您升級 thunderbird 套件。

如需有關 thunderbird 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Demi Obeneour 發現，libkrb5 的 ASN1 剖析器中存在無限制遞回問題，可導致拒絕服務。

ID	名稱	嚴重性
144353	Debian DSA-4813-1：firefox-esr - 安全性更新	high
144350	Debian DLA-2496-1：firefox-esr 安全性更新	high
144343	Debian DLA-2495-1：tomcat8 安全性更新	high
144322	Debian DSA-4812-1：xen - 安全性更新	high
144311	Debian DSA-4811-1：libxstream-java - 安全性更新	high
144264	Debian DLA-2492-1：openssl 安全性更新	medium
144262	Debian DLA-2493-1：openssl1.0 安全性更新	medium
144189	Debian DSA-4810-1：lxml - 安全性更新	medium
144152	Debian DLA-2491-1：openexr 安全性更新	medium
144099	Debian DLA-2490-1：x11vnc 安全性更新	high
144097	Debian DLA-2483-1：linux-4.19 安全性更新	high
144092	Debian DLA-2489-1：minidlna 安全性更新	critical
144043	Debian DSA-4808-1：apt - 安全性更新	medium
144041	Debian DSA-4809-1：python-apt - 安全性更新	low
144029	Debian DLA-2487-1：apt 安全性更新	medium
144023	Debian DLA-2488-2：python-apt 迴歸更新	low
144022	Debian DLA-2486-1：xorg-server 安全性更新	high
143597	Debian DLA-2484-1：python-certbot - 切換爲 ACMEv2 API	high
143594	Debian DLA-2485-1：golang-golang-x-net-dev 安全性更新 (Ping 氾濫) (重設氾濫)	high
143593	Debian DSA-4807-1：openssl - 安全性更新	medium
143551	Debian DSA-4805-1：trafficserver - 安全性更新	high
143544	Debian DSA-4806-1：minidlna - 安全性更新	critical
143527	Debian DLA-2479-1：thunderbird 安全性更新	high
143519	Debian DLA-2482-1：debian-security-support 安全性更新	high
143518	Debian DLA-2481-1：openldap 安全性更新	high
143512	Debian DLA-2480-2：salt 迴歸更新	critical
143509	Debian DSA-4802-1：thunderbird - 安全性更新	high
143505	Debian DSA-4803-1：xorg-server - 安全性更新	high
143500	Debian DSA-4804-1：xen - 安全性更新	high
143461	Debian DLA-2478-1：postgresql-9.6 安全性更新	high
143459	Debian DLA-2477-1：jupyter-notebook 安全性更新	medium
143440	Debian DLA-2475-1：pdfresurrect 安全性更新	high
143439	Debian DSA-4801-1：brotli - 安全性更新	medium
143435	Debian DLA-2476-1：brotli 安全性更新	medium
143410	Debian DLA-2473-1：vips 安全性更新	medium
143401	Debian DLA-2470-1：zsh 安全性更新	critical
143392	Debian DLA-2472-1：mutt 安全性更新	medium
143388	Debian DLA-2474-1：musl 安全性更新	medium
143386	Debian DLA-2471-1：libxstream-java 安全性更新	high
143336	Debian DLA-2466-1：drupal7 安全性更新	high
143332	Debian DSA-4798-1：spip - 安全性更新	critical
143323	Debian DLA-2468-1：tcpflow 安全性更新	critical
143315	Debian DSA-4799-1：x11vnc - 安全性更新	high
143313	Debian DSA-4800-1：libproxy - 安全性更新	critical
143308	Debian DLA-2467-1：lxml 安全性更新	medium
143305	Debian DLA-2469-1：qemu 安全性更新	medium
143260	Debian DSA-4797-1：webkit2gtk - 安全性更新	high
143226	Debian DLA-2465-1：php-pear 安全性更新	high
143224	Debian DLA-2464-1：thunderbird 安全性更新	high
143194	Debian DSA-4795-1：krb5 - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

high

medium

medium

medium

medium

high

high

critical

medium

low

medium

low

high

high

high

medium

high

critical

high

high

high

critical

high

high

high

high

medium

high

medium

medium

medium

critical

medium

medium

high

high

critical

critical

high

critical

medium

medium

high

high

high

high