已對 php5 (一種伺服器端的已嵌入 HTML 指令碼語言) 進行更新。具體來說，如 #805222 中所報告，因為上游的變更 (最早出現在 PHP 5.6.15 中)，阻礙了在 Debian 中，某些較舊版本的 PHP 建置延伸模組的能力。此更新套用一個修正，可恢復為 Debian 8 'jessie' 建置 PHP 延伸模組的能力，進而可以建置和發布即將發布的 PECL 延伸模組更新。針對 Debian 8「Jessie」，此問題已在 5.6.40+dfsg-0+deb8u6 版本中修正。我們建議您升級 php5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，XML 剖析 C 程式庫 Expat 未正確處理關閉 doctype 的內部實體，在處理格式錯誤的 XML 檔案時，可能導致拒絕服務或資訊洩漏。

在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現多個安全性問題：EXIF 延伸模組和 iconv_mime_decode_headers() 函式缺少清理，可會導致資訊洩漏或拒絕服務。

在 php-pecl-http (PHP 5 Extended HTTP 支援的 pecl_http 模組) 中發現一個弱點。merge_param() 函式中的類型混淆弱點可讓攻擊者透過特製的 HTTP 要求損毀 PHP，並可能執行任意程式碼。針對 Debian 8「Jessie」，此問題已在 2.0.4-1+deb8u1 版本中修正。建議您升級 php-pecl-http 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬 QEMU 中發現數個弱點 (特別是 KVM 和 Xen HVM 虛擬化中使用時)。CVE-2016-5126 QEMU 中 block/iscsi.c 的 iscsi_aio_ioctl 函式存在一個堆積型緩衝區溢位問題，可讓本機來賓作業系統使用者透過特製 iSCSI 非同步 I/O ioctl 呼叫導致拒絕服務 (QEMU 處理程序損毀) 或可能執行任意程式碼。CVE-2016-5403 QEMU 中 hw/virtio/virtio.c 的 virtqueue_pop 函式可讓本機來賓作業系統管理員透過提交要求，卻不等候完成導致拒絕服務 (記憶體耗用和 QEMU 處理程序損毀)。CVE-2017-9375 當 QEMU 建置有 USB xHCI 控制器模擬器支援時，可讓本機來賓作業系統的有權使用者透過涉及控制傳輸描述元序列的向量來導致拒絕服務 (無限遞迴呼叫)。CVE-2019-12068 QEMU scsi 磁碟後端：lsi：執行指令碼時結束無限迴圈。CVE-2019-12155 QEMU 中的 hw/display/qxl.c 中 interface_release_resource 具有 NULL 指標解除參照。CVE-2019-13164 QEMU 中的 qemu-bridge-helper.c 未確保將網路介面名稱 (從 bridge.conf 或 --br = bridge 選項獲得) 限制為 IFNAMSIZ 大小，可導致 ACL 繞過。CVE-2019-14378 libslirp 4.0.0 中 ip_input.c 的 ip_reass 因為大型封包導致堆積型緩衝區溢位，因為其未正確處理涉及第一個分割的情況。CVE-2019-15890 用於 QEMU 中的 libslirp 4.0.0 在 ip_input.c 中 ip_reass 存在一個釋放後使用。針對 Debian 8「Jessie」，這些問題已在 1:2.1+dfsg-12+deb8u12 版本中修正。建議您升級 qemu 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Daniel McCarney 發現 BIRD 網際網路路由程序未正確驗證其 BGP 程序中的 RFC 8203 訊息，進而導致堆疊型緩衝區溢位。

據發現，OpenDMARC (DMARC 的 milter 實作) 容易發生帶有多個 From: 地址的簽名繞過弱點。

Simon McVittie 報告在 ibus (智慧型輸入匯流排) 中存在一個缺陷。由於在 Dbus 的安裝過程中組態錯誤，如果能夠探索圖形環境中連線的另一位使用者使用的 UNIX 通訊端，則任何無權的使用者都能監視方法呼叫並將方法呼叫傳送到另一位使用者的 ibus 匯流排。攻擊者可以利用此缺陷，透過 Dbus 方法呼叫來攔截受害使用者的按鍵或修改與輸入有關的組態。

在 Thunderbird 中發現多個安全性問題，可能會導致任意程式碼執行、跨網站指令碼、資訊洩漏以及使用特製的多部分/替代訊息對 S/MIME 加密進行秘密內容攻擊。針對 Debian 8「Jessie」，這些問題已在 1:60.9.0-1~deb8u1 版本中修正。建議您升級 thunderbird 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Dino XMPP 用戶端中發現多個弱點，可允許偽造訊息、操縱使用者名冊 (連絡人清單) 以及未經授權傳送 message carbons。

在 Python (一種互動式高階物件導向語言) 中發現一個弱點。CVE-2019-16056 電子郵件模組錯誤剖析包含多個 @ 字元的電子郵件地址。使用電子郵件模組並在郵件的「寄件者/收件者」標頭上實作某種檢查的應用程式可能會被誘騙，並接受應該拒絕的電子郵件地址。針對 Debian 8「Jessie」，此問題已在 2.7.9-2+deb8u5 版本中修正。我們建議您升級 python2.7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Python (一種互動式高階物件導向語言) 中發現一個弱點。CVE-2019-16056 電子郵件模組錯誤剖析包含多個 @ 字元的電子郵件地址。使用電子郵件模組並在郵件的「寄件者/收件者」標頭上實作某種檢查的應用程式可能會被誘騙，並接受應該拒絕的電子郵件地址。針對 Debian 8「Jessie」，此問題已在 3.4.2-1+deb8u7 版本中修正。我們建議您升級 python3.4 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Ansible (一種組態管理、部署和工作執行系統) 中發現數個弱點。CVE-2015-3908 與 X.509 認證驗證不充分相關的潛在攔截式攻擊。Ansible 未驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符，可讓攔截式攻擊者透過任意有效憑證偽造 SSL 伺服器。CVE-2015-6240 一種符號連結攻擊，可讓本機使用者透過符號連結攻擊逃脫受限環境 (chroot 或 jail)。CVE-2018-10875 修正因從全域可寫的目前工作目錄中讀取 ansible.cfg 而導致的潛在任意程式碼執行問題。此情況現在會導致 ansible 發出警告，並忽略全域可寫的目前工作目錄中的 ansible.cfg。CVE-2019-10156 因為非預期的變數替換，導致資訊洩漏。針對 Debian 8「Jessie」，這些問題已在 1.7.2+dfsg-2+deb8u2 版本中修正。建議您升級 ansible 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

hostapd (和控制 AP 模式時的 wpa_supplicant) 未對某些接收到的管理框架執行足夠的來源位址驗證，可導致最後傳送一個框架，進而造成相關聯的工作站誤認為它們已與網路中斷連線，即使已為該關聯交涉管理框架保護 (也稱為 PMF)。可以將其視為拒絕服務弱點，因為 PMF 應該可以避免此類問題。針對 Debian 8「Jessie」，此問題已在 2.3-1+deb8u9 版本中修正。建議您升級 wpa 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，可能會導致任意程式碼執行、跨網站指令碼、資訊洩漏以及使用特製的多部分/替代訊息對 S/MIME 加密進行秘密內容攻擊。

在免費軟體進階音訊編碼器 faad2 中發現數個弱點。如果處理特製的 MPEG AAC 檔案，這些弱點可讓遠端攻擊者導致拒絕服務或者可能執行任意程式碼。

Samuel R Lovejoy 在 dnsmasq 中發現一個安全性弱點。DNS 伺服器特製的封包可能會導致超出邊界讀取作業，進而可能導致當機和拒絕服務。針對 Debian 8「Jessie」，此問題已在 2.72-3+deb8u5 版本中修正。建議您升級 dnsmasq 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此套件忽略了 Hash 標頭的值，可讓攻擊者偽造其值。攻擊者不僅可以內嵌任意的 Armor Header，還可以在純文字訊息之前附加任意文字，而不會使簽名無效。針對 Debian 8「Jessie」，此問題已在 0.0~hg190-1+deb8u2 版本中修正。建議您升級 golang-go.crypto 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Linux 核心中發現數個弱點，這些弱點可能會導致權限提升、拒絕服務或資訊洩漏。此更新的公告文字提到了其他非安全性變更，並指出需要安裝新的二進位套件。CVE-2019-0136 據發現， wifi soft-MAC 實作 (mac80211) 未正確驗證 Tunneled Direct Link Setup (TDLS) 訊息。附近的攻擊者可利用此弱點導致拒絕服務 (wifi 連線遺失)。CVE-2019-9506 Daniele Antonioli、Nils Ole Tippenhauer 和 Kasper Rasmussen 在藍牙配對通訊協定中發現一個弱點，叫做「KNOB 攻擊」。配對期間附近的攻擊者可利用此弱點削弱配對裝置之間使用的加密，然後竊聽和/或偽造它們之間的通訊。此更新透過要求 56 位元的最小加密金鑰長度來緩解攻擊。CVE-2019-11487 Jann Horn 發現 FUSE (Filesystem-in-Userspace) 工具可用於導致頁面參照計數中的整數溢位，進而導致釋放後使用。在具有足夠實際記憶體的系統上，允許建立任意 FUSE 裝載的本機使用者可以利用此弱點來提升權限。依預設，無權的使用者只能透過 fusermount 來裝載 FUSE 檔案系統，這會限制建立的裝載數量，應該可以完全緩解該問題。CVE-2019-15211 syzkaller 工具在 radio-raremono 驅動程式中發現一個錯誤，可導致釋放後使用。可新增和移除 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15212 syzkaller 工具發現，如果繫結超過一個裝置，則 rio500 驅動程式將無法正常運作。可新增 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15215 syzkaller 工具在 cpia2_usb 驅動程式中發現一個錯誤，可導致釋放後使用。可新增和移除 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15216 syzkaller 工具在 yurex 驅動程式中發現一個錯誤，可導致釋放後使用。可新增和移除 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15218 syzkaller 工具發現 smsusb 驅動程式未驗證 USB 裝置是否具有預期的端點，進而可能導致 NULL 指標解除參照。能夠新增 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (BUG/oops)。CVE-2019-15219 syzkaller 工具在 sisusbvga 驅動程式中發現一個裝置初始化錯誤，可導致 NULL 指標解除參照。能夠新增 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (BUG/oops)。CVE-2019-15220 syzkaller 工具在 p54usb 驅動程式中發現一個爭用情形，可導致釋放後使用。可新增和移除 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15221 syzkaller 工具發現 line6 驅動程式未驗證 USB 裝置的最大封包大小，進而可能導致堆積緩衝區溢位。可新增 USB 裝置的攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。CVE-2019-15292 Hulk Robot 工具在 Appletalk 通訊協定實作中發現遺漏錯誤檢查，可導致釋放後使用。此弱點的安全性影響不明。CVE-2019-15538 Benjamin Moody 報告說，因為磁碟配額而使 chgrp 命令失敗後，進而導致 XFS 上的作業懸置。使用 XFS 和磁碟配額的系統上的本機使用者可利用此弱點造成拒絕服務。CVE-2019-15666 Hulk Robot 工具在網路轉換 (xfrm) 層中發現不正確的範圍檢查，導致超出邊界記憶體存取。具有 CAP_NET_ADMIN 能力的本機使用者 (位於任何使用者命名空間) 可利用此弱點造成拒絕服務 (記憶體損毀或當機) 或可能提升權限。CVE-2019-15807 Jian Luo 報告，序列附加 SCSI 程式庫 (libsas) 未正確處理探索 SAS 擴展器之外的裝置失敗。這可導致資源洩漏和損毀 (BUG)。此弱點的安全性影響不明。CVE-2019-15924 Hulk Robot 工具在 fm10k 乙太網路驅動程式中發現遺漏錯誤檢查，可導致 NULL 指標解除參照和損毀 (BUG/oops)。此弱點的安全性影響不明。CVE-2019-15926 據發現，ath6kl wifi 驅動程式無法一致地驗證接收到的控制封包中的流量類別數字，進而導致超出邊界記憶體存取。位於相同 wifi 網路的附近攻擊者可利用此弱點造成拒絕服務 (記憶體損毀或當機)，或可能造成權限提升。針對 Debian 8「Jessie」，這些問題已在 4.9.189-3~deb8u1 版本中修正。此版本也包含 Debian 錯誤 #930904　的修正，以及隨附在上游穩定版更新中的其他修正。建議您升級 linux-4.9 和 linux-latest-4.9 套件。當二進位套件名稱變更時，您將需要使用 ‘apt-get upgrade --with-new-pkgs’ 或 ‘apt upgrade’。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

常見用於 PHP mbstring 的 Oniguruma 規則運算式容易受到堆疊耗用的影響。特製的規則運算式可損毀處理程序。針對 Debian 8「Jessie」，此問題已在 5.9.5-3.2+deb8u3 版本中修正。建議您升級 libonig 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 curl (透過網際網路傳輸資料的程式庫和命令列工具) 中發現一個堆積緩衝區溢位弱點。針對 Debian 8「Jessie」，此問題已在 curl 的 7.38.0-4+deb8u16 版本中修正。建議您升級 curl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 opensc (可存取支援密碼編譯作業的智慧卡片的一組程式庫和公用程式) 中修正數個安全性弱點。

攻擊者可利用超出邊界讀取、緩衝區溢位和雙重釋放來提供特製的智慧卡片，進而導致拒絕服務 (應用程式損毀) 或可能造成其他不明影響。

針對 Debian 8「Jessie」，這些問題已在 0.16.0-3~deb8u1 版本中修正。

建議您升級 opensc 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Docker 容器執行時期中發現三個安全性弱點：在 'docker cp' 中未安全載入 NSS 程式庫可導致以 root 權限執行程式碼、以偵錯模式記錄敏感資料，以及 'docker build' 命令中發生命令插入弱點。

在 Apache Traffic Server (一種反向和轉送 proxy 伺服器) 的 HTTP/2 程式碼中發現數個弱點，可導致拒絕服務。這些修正侵入性過強，無法向舊的穩定版本 (stretch) 中的版本進行反向移植。建議您改為升級到 Debian 穩定版 (buster)。

據發現，LibreOffice 的程式碼修正無法完整解決 CVE-2019-9852。可在以下位置找到其他資訊。

據發現，Ghostscript (GPL PostScript/PDF 解譯程式) 中不同的程序未正確限制特權呼叫，這可導致繞過 dSAFER 沙箱的檔案系統限制。針對 Debian 8「Jessie」，這些問題已在 9.26a~dfsg-0+deb8u5 版本中修正。建議您升級 ghostscript 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 icedtea-web (一種 Java 網路啟動通訊協定 (JNLP) 的實作) 中發現數個安全性弱點。CVE-2019-10181 據發現，在 icedtea-web 可執行程式碼可插入 JAR 檔案，而不會損害簽名驗證。攻擊者可利用此缺陷在信任的 JAR 中插入程式碼。進而可在沙箱內執行該程式碼。CVE-2019-10182 據發現，icedtea-web 未正確清理 JNLP 檔案中 <jar/> 元素的路徑。攻擊者可誘騙受害者執行特製的應用程式，並利用此缺陷將任意檔案上傳到用戶端內容中的任意位置。CVE-2019-10185 據發現，在自動解壓縮 JAR 檔案期間，icedtea-web 容易受到 zip-slip 攻擊。攻擊者可利用此缺陷將檔案寫入任意位置。也可利用此缺陷來取代正在執行的主要應用程式，並且有可能破解沙盒。針對 Debian 8「Jessie」，這些問題已在 1.5.3-1~deb8u1 版本中修正。建議您升級 icedtea-web 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Ghostscript (GPL PostScript/PDF 解譯程式) 中不同的程序未正確限制特權呼叫，這可導致繞過 dSAFER 沙箱的檔案系統限制。

'Zerons' 和 Qualys 發現 Exim 郵件傳輸代理程式的 TLS 交涉程式碼中可觸發一個緩衝區溢位，進而導致以 root 權限執行任意程式碼。

在 memcached (記憶體內物件快取系統) 中發現一個堆疊型緩衝區過度讀取。針對 Debian 8「Jessie」，此問題已在 memcached 的 1.4.21-1.1+deb8u3 版本中修正。建議您升級 memcached 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 expat (一種 XML 剖析程式庫) 中發現一個堆積型緩衝區過度讀取弱點。一個特製的 XML 輸入可誤導剖析器過早從 DTD 剖析變更成文件剖析；對 XML_GetCurrentLineNumber (或 XML_GetCurrentColumnNumber) 的連續呼叫會導致堆積型緩衝區過度讀取。針對 Debian 8「Jessie」，此問題已在 expat 的 2.1.0-6+deb8u6 版本中修正。建議您升級 expat 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

'Zerons' 和 Qualys 發現 Exim 郵件傳輸代理程式的 TLS 交涉程式碼中可觸發一個緩衝區溢位，進而導致以 root 權限執行任意程式碼。針對 Debian 8「Jessie」，此問題已在 4.84.2-2+deb8u6 版本中修正。我們建議您升級 exim4 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼、跨網站指令碼、繞過同源原則、沙箱逸出、資訊洩漏或拒絕服務。針對 Debian 8「Jessie」，這些問題已在 60.9.0esr-1~deb8u1 版本中修正。建議您升級 firefox-esr 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Mozilla Firefox 網頁瀏覽器中發現多個安全性問題，可能會導致執行任意程式碼、跨網站指令碼、繞過同源原則、沙箱逸出、資訊洩漏或拒絕服務。

在 webkit2gtk 網頁引擎中發現數個弱點。- CVE-2019-8644 G. Geshev 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8649 Sergei Glazunov 發現一個問題，可導致通用跨網站指令碼。- CVE-2019-8658 akayn 發現一個問題，可導致通用跨網站指令碼。- CVE-2019-8666 Zongming Wang 和 Zhe Jin 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8669 akayn 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8671 Apple 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8672 Samuel Gross 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8673 Soyeon Park 和 Wen Xu 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8676 Soyeon Park 和 Wen Xu 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8677 Jihui Lu 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8678 匿名研究人員 Anthony Lai、Ken Wong、Jeonghoon Shin、Johnny Yu、Chris Chan、Phil Mok、Alan Ho 和 Byron Wai 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8679 Jihui Lu 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8680 Jihui Lu 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8681 G. Geshev 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8683 lokihardt 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8684 lokihardt 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8686 G. Geshev 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8687 Apple 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8688 Insu Yun 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8689 lokihardt 發現記憶體損毀問題，可導致任意程式碼執行。- CVE-2019-8690 Sergei Glazunov 發現一個問題，可導致通用跨網站指令碼。您可以在 WebKitGTK 和 WPE WebKit 安全性公告 WSA-2019-0004 中查看更多詳細資訊。

Alf-Andre Walla 在 Varnish 網頁加速器中發現一個可遠端觸發的宣告；其會傳送格式錯誤的 HTTP 要求，進而導致拒絕服務。舊的穩定發行版本 (stretch) 未受影響。

已修正 FreeType 2 字型引擎中數個新參照的問題。CVE-2015-9381 在 type1/t1parse.c 的 T1_Get_Private_Dict 中存在堆積型緩衝區過度讀取。CVE-2015-9382 在 psaux/psobjs.c 的 skip_comment 中存在緩衝區過度讀取，因為在 FT_New_Memory_Face 作業中未正確處理 ps_parser_skip_PS_token。CVE-2015-9383 在 sfnt/ttcmap.c 的 tt_cmap14_validate 中存在堆積型緩衝區過度讀取。針對 Debian 8「Jessie」，此問題已在版本 2.5.2-3+deb8u4 中修正。建議您升級 freetype 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Stefan Metzmacher 在 Samba (適用於 Unix 的 SMB/CIFS 檔案、列印及登入伺服器) 中發現一個缺陷。參數和權限的特定組合可讓使用者從共用路徑定義中逸出並查看完整的 '/' 檔案系統。仍會強制執行核心中的 Unix 權限檢查。可在上游公告找到詳細資料：https://www.samba.org/samba/security/CVE-2019-10197.html

在快速處理器模擬器 QEMU 中發現多個安全性問題，可導致拒絕服務、任意程式碼執行或繞過 ACL。

在 nghttp2 HTTP 伺服器 的 HTTP/2 程式碼中發現兩個弱點，可導致拒絕服務。

據發現，pump BOOTP 和 DHCP 用戶端中存在一個任意程式碼執行弱點。複製伺服器回應的本文時，乙太網路封包長度可能會遭到偽造，進而導致能夠覆寫堆疊記憶體的 'ETH_FRAME_LEN - sizeof(*ipHdr) - sizeof(*udpHdr) - sizeof(*bresp)' 位元組。感謝 <ltspro2@secmail.pro> 報告並修補此問題。針對 Debian 8「Jessie」，此問題已在 pump 的版本 0.8.24-7+deb8u1 中修正。建議您升級 pump 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已更正 Libav 多媒體程式庫中多個 demuxer 和解碼器的數個安全性問題。CVE-2017-9987 在 Libav 中 mpegvideo_motion.c 的 hpel_motion 函式存在一個堆積型緩衝區溢位。特製的輸入可導致遠端拒絕服務攻擊。CVE-2018-5766 在 Libav 中 ibavcodec/avpacket.c 的 av_packet_ref 函式存在一個無效 memcpy。遠端攻擊者可利用此弱點，透過特製的 avi 檔案造成拒絕服務 (分割錯誤)。CVE-2018-11102 如 avconv 所示，libavformat/mov.c 的 mov_probe 函式中的讀取存取違規可讓遠端攻擊者導致拒絕服務 (應用程式損毀)。CVE-2019-14372 在 Libav 中 wvdec.c 檔案的 wv_read_block_header() 函式存在一個無限迴圈。CVE-2019-14442 在 libavformat/mpc8.c 中的 mpc8_read_header 中，輸入檔案可能會導致 avio_seek 無限迴圈並懸置，且 CPU 耗用為 100％。攻擊者可利用此弱點，透過特製的檔案造成拒絕服務。針對 Debian 8「Jessie」，這些問題已在 6:11.12-1~deb8u8 版本中修正。建議您升級 libav 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Python (一種互動式高階物件導向語言) 中發現一個與 cookie 處理有關的弱點。透過使用惡意伺服器，攻擊者可竊取用於其他網域的 cookie。針對 Debian 8「Jessie」，此問題已在 2.7.9-2+deb8u4 版本中修正。我們建議您升級 python2.7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Gosa² 使用未序列化從 cookie 還原篩選設定。因為此 cookie 是由用戶端提供，因此經驗證的使用者可以將任意內容傳遞給未序列化，進而使 Gosa² 受到 PHP 物件插入的影響。針對 Debian 8「Jessie」，此問題已在 2.7.4+reloaded2-1+deb8u5 版本中修正。建議您升級 gosa 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

jianglin 在 libextractor (一種用於從任意類型的檔案中擷取中繼資料的程式庫) 中發現一個問題。特製檔案可在 dvi_extractor.c 的 EXTRACTOR_dvi_extract_method 函式中造成堆積緩衝區溢位弱點。針對 Debian 8「Jessie」，此問題已在 1:1.3-2+deb8u5 版本中修正。建議您升級 libextractor 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Subversion (版本控制系統) 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：CVE-2018-11782 Ace Olszowka 報告當格式正確的唯讀要求產生特定答案時，Subversion 的 svnserve 伺服器處理程序可能會結束，進而導致拒絕服務。CVE-2019-0203 Tomas Bortoli 報告當用戶端傳送某些通訊協定命令序列時，Subversion 的 svnserve 伺服器處理程序可能會結束。如果伺服器設定為啟用匿名存取，則可能導致遠端未經驗證的拒絕服務。針對 Debian 8「Jessie」，這些問題已在 1.8.10-6~deb8u7 版本中修正。建議您升級 subversion 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Hongxu Chen 在 djvulibre (用於處理 DjVu 格式影像圖像的程式庫和一組工具) 中發現數個問題。這些問題是將特製檔案用作輸入時發生的堆積緩衝區溢位、堆疊溢位、無限迴圈和無效讀取。針對 Debian 8「Jessie」，這些問題已在 3.5.25.4-4+deb8u1 版本中修正。建議您升級 djvulibre 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Nick Roessler 和 Rafi Rubin 發現 Dovecot 電子郵件伺服器中的 IMAP 和 ManageSieve 通訊協定剖析器無法正確驗證輸入 (登入前和登入後)。遠端攻擊者可以利用此缺陷來觸發超出邊界堆積記憶體寫入，進而導致資訊洩漏或可能導致執行任意程式碼。針對 Debian 8「Jessie」，此問題已在 1:2.2.13-12~deb8u7 版本中修正。建議您升級 dovecot 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Nick Roessler 和 Rafi Rubin 發現 Dovecot 電子郵件伺服器中的 IMAP 和 ManageSieve 通訊協定剖析器無法正確驗證輸入 (登入前和登入後)。遠端攻擊者可以利用此缺陷來觸發超出邊界堆積記憶體寫入，進而導致資訊洩漏或可能導致執行任意程式碼。

ID	名稱	嚴重性
129304	Debian DLA-1928-1：php5 安全性更新	high
129108	Debian DSA-4530-1：expat - 安全性更新	high
129107	Debian DSA-4529-1：php7.0 - 安全性更新	critical
129106	Debian DLA-1929-1：php-pecl-http 安全性更新	critical
129105	Debian DLA-1927-1：qemu 安全性更新	high
129074	Debian DSA-4528-1：bird - 安全性更新	high
129073	Debian DSA-4527-1：php7.3 - 安全性更新	critical
129072	Debian DSA-4526-1：opendmarc - 安全性更新	critical
129026	Debian DSA-4525-1：ibus - 安全性更新	high
129025	Debian DLA-1926-1：thunderbird 安全性更新	high
128884	Debian DSA-4524-1：dino-im - 安全性更新	high
128883	Debian DLA-1925-1：python2.7 安全性更新	high
128882	Debian DLA-1924-1：python3.4 安全性更新	high
128881	Debian DLA-1923-1：ansible 安全性更新	high
128880	Debian DLA-1922-1：wpa 安全性更新	medium
128783	Debian DSA-4523-1：thunderbird - 安全性更新	high
128782	Debian DSA-4522-1：faad2 - 安全性更新	high
128781	Debian DLA-1921-1：dnsmasq 安全性更新	high
128780	Debian DLA-1920-1：golang-go.crypto 安全性更新	medium
128779	Debian DLA-1919-2：linux-4.9 安全性更新	critical
128778	Debian DLA-1918-1：libonig 安全性更新	high
128777	Debian DLA-1917-1：curl 安全性更新	critical
128743	Debian DLA-1916-1 : opensc 安全性更新	medium
128622	Debian DSA-4521-1：docker.io - 安全性更新	critical
128621	Debian DSA-4520-1：trafficserver - 安全性更新 (空白框架氾濫) (Ping 氾濫) (重設氾濫) (設定氾濫)	high
128620	Debian DSA-4519-1：libreoffice - 安全性更新	high
128619	Debian DLA-1915-1：ghostscript 安全性更新	critical
128618	Debian DLA-1914-1：icedtea-web 安全性更新	high
128560	Debian DSA-4518-1：ghostscript - 安全性更新	critical
128559	Debian DSA-4517-1：exim4 - 安全性更新	critical
128558	Debian DLA-1913-1：memcached 安全性更新	high
128557	Debian DLA-1912-1：expat 安全性更新	high
128556	Debian DLA-1911-1：exim4 安全性更新	critical
128555	Debian DLA-1910-1：firefox-esr 安全性更新	critical
128534	Debian DSA-4516-1：firefox-esr - 安全性更新	critical
128511	Debian DSA-4515-1：webkit2gtk - 安全性更新	high
128510	Debian DSA-4514-1：varnish - 安全性更新	high
128509	Debian DLA-1909-1：freetype 安全性更新	high
128479	Debian DSA-4513-1：samba - 安全性更新	critical
128430	Debian DSA-4512-1：qemu - 安全性更新	high
128429	Debian DSA-4511-1：nghttp2 - 安全性更新 (Data Dribble) (資源迴圈)	high
128428	Debian DLA-1908-1：pump 安全性更新	high
128427	Debian DLA-1907-1：libav 安全性更新	high
128426	Debian DLA-1906-1：python2.7 安全性更新	medium
128425	Debian DLA-1905-1：gosa 安全性更新	medium
128424	Debian DLA-1904-1：libextractor 安全性更新	medium
128395	Debian DLA-1903-1：subversion 安全性更新	high
128394	Debian DLA-1902-1：djvulibre 安全性更新	medium
128393	Debian DLA-1901-1：dovecot 安全性升級	critical
128307	Debian DSA-4510-1：dovecot - 安全性更新	critical

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

critical

critical

high

high

critical

critical

high

high

high

high

high

high

medium

high

high

high

medium

critical

high

critical

medium

critical

high

high

critical

high

critical

critical

high

high

critical

critical

critical

high

high

high

critical

high

high

high

high

medium

medium

medium

high

medium

critical

critical