已修正 mupdf 中數個小問題，mupdf 是一種輕量型 PDF 檢視器，專門用於顯示高品質的抗鋸齒圖形。CVE-2018-5686 在 MuPDF 中，由於未考慮 EOF，因此 pdf_parse_array 函式 (pdf/pdf-parse.c) 中存在無限迴圈弱點和應用程式懸置。遠端攻擊者可利用此弱點，透過特製的 PDF 檔案，造成拒絕服務。CVE-2019-6130 MuPDF 在 fitz/document.c 檔案的 fz_load_page 函式中具有 SEGV，如 mutool 所示範。這與在 cbz/mucbz.c、cbz/muimg.c 和 svg/svg-doc.c 中未正確處理 page-number 有關。CVE-2018-6192 在 MuPDF 中，pdf/pdf-xref.c 中的 pdf_read_new_xref 函式可讓遠端攻擊者透過特製的 PDF 檔案導致拒絕服務 (分割違規和應用程式損毀)。針對 Debian 8「Jessie」，這些問題已在 1.5-1+deb8u6 版本中修正。建議您升級 mupdf 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發佈為 1.8.6-0 + deb8u1 的 rdesktop 更新引入迴歸，進而損毀 RDP 通訊協定交涉。現已提供更新的 rdesktop 套件，可更正此問題。針對 Debian 8「Jessie」，此問題已在 1.8.6-0+deb8u2 版本中修正。建議您升級 rdesktop 套件。欲知更多 rdesktop 的詳細安全性狀態，請參閱其安全追蹤頁面：https://security-tracker.debian.org/tracker/rdesktop 請注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，若讀取格式錯誤的電子郵件訊息可能會導致執行任意程式碼。針對 Debian 8「Jessie」，這些問題已在 1:60.7.2-1~deb8u1 版本中修正。建議您升級 thunderbird 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，若讀取格式錯誤的電子郵件訊息可能會導致執行任意程式碼。

此更新發佈為 DLA-1835-1，造成了 Python 3.4 的 http.client 程式庫回歸，被試圖修正 CVE-2019-9740 和 CVE-2019-9947 的修補程式破壞。針對 Debian 8「Jessie」，此問題已在 3.4.2-1+deb8u4 版本中修正。我們建議您升級 python3.4 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Python 這個互動式高階物件導向語言中發現多個弱點，包括 CVE-2018-14647 Python 的 elementtree C 加速器在初始化期間無法初始化 Expat 的雜湊 salt。這可以透過建構 XML 文件，輕鬆對 Expat 發動拒絕服務攻擊，此文件將會在 Expat 的內部資料結構中造成病態的雜湊衝突，進而消耗大量的 CPU 和 RAM。CVE-2019-5010 使用特製的 X509 認證造成 NULL 指標解除參照。CVE-2019-9636 在 NFKC 正規化期間不當處理 Unicode 編碼 (具有錯誤的 netloc)，造成資訊洩漏 (針對給定主機名稱快取的認證、cookie 等)。可藉由未正確剖析的特製 URL 找到 cookie 或驗證資料，並將該資訊傳送至與正確剖析時不同的主機。CVE-2019-9740 在 urllib2 中發現一個問題，若攻擊者控制了 url 參數便可能發生 CRLF 插入，具有 \r\n 的 urllib.request.urlopen 首位引數 (特別是在 ? 字元後的查詢字串中)，隨後是 HTTP 標頭或 Redis 命令即為一例。CVE-2019-9947 在 urllib2 中發現一個問題，若攻擊者控制了 url 參數便可能發生 CRLF 插入，具有 \r\n 的 urllib.request.urlopen 首位引數 (特別是在缺少 ? 字元之 URL 的 path 元件中)，隨後是 HTTP 標頭或 Redis 命令即為一例。此問題與 CVE-2019-9740 的查詢字串問題類似。CVE-2019-9948 urllib 支援 local_file: scheme，這讓遠端攻擊者更容易繞過黑名單檔案：URI 的保護機制，觸發 urllib.urlopen(「local_file:///etc/passwd」) 呼叫即為一例。CVE-2019-10160 發現 CVE-2019-9636 安全性迴歸問題，它仍然允許攻擊者濫用 URL 使用者和密碼部分來惡意利用 CVE-2019-9636。應用程式剖析使用者提供的 URL 來儲存 cookie、驗證認證或其他類資訊時，有可能使攻擊者提供特製 URL 讓應用程式找到主機相關資訊 (例如，cookie 和驗證資料) 並將它們傳送至不同於正確主機的主機，除非 URL 已經過正確剖析。攻擊的結果可能因應用程式而有不同。針對 Debian 8「Jessie」，這些問題已在 2.7.9-2+deb8u3 版本中修正。我們建議您升級 python2.7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

bzip2 (一種高品質的區塊排序檔案壓縮器) 中的 CVE-2019-12900 原始修正在解壓縮某些使用錯誤的 libzip2 建立的 lbzip2 檔案時引入迴歸。如需詳細資訊，請參閱 https://bugs.debian.org/931278。針對 Debian 8「Jessie」，此問題已在 1.0.6-4+deb7u2 版本中修正。我們建議您升級 bzip2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libvirt 中發現兩個弱點，它是一個針對核心等所提供的不同基礎虛擬化機制的抽象 API。- CVE-2019-10161：防止隨機用戶端可使用 API 指定任意路徑 (可使用 libvirtd 處理程序權限存取) 的弱點。能夠存取 libvirtd 通訊端的攻擊者可利用此弱點探測任意檔案的存在、造成拒絕服務或造成 libvirtd 執行任意程式。- CVE-2019-10167：透過 API 防止任意程式碼執行弱點，其中使用者指定的二進位是用於探測網域功能。唯讀用戶端可針對引數指定任意路徑，造成 libvirtd 以自己的權限執行特製的可執行檔。針對 Debian 8「Jessie」，這些問題已在 libvirt 的 1.2.9-9+deb8u7 版本中修正。建議您升級 libvirt 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在授權 DNS 伺服器 pdns 中發現兩個弱點，可透過主/從設定中格式錯誤的區域記錄和過多的 NOTIFY 封包導致拒絕服務。

在虛擬化抽像程式庫 Libvirt 中發現兩個弱點，可讓具有唯讀權限的 API 用戶端透過 virConnectGetDomainCapabilities API 執行任意命令，或者透過 virDomainSaveImageGetXMLDesc API 讀取或執行任意檔案。此外，libvirt 的 cpu 對映已更新以輕鬆解決 CVE-2018-3639、CVE-2017-5753、CVE-2017-5715、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130 和 CVE-2019-11091，透過在選擇 CPU 型號時支援 md-clear、ssbd、spec-ctrl 和 ibpb CPU 功能，而不必備援到 host-passthrough。

在 php-horde-form (一種為 Horde 應用程式架構提供表單轉譯、驗證和其他功能的套件) 中發現由於未清理的 POST 參數而導致的路徑遊走弱點。攻擊者可利用此缺陷執行遠端程式碼。

在 jackson-databind 中發現其他多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 或 logback-core jar 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。針對 Debian 8「Jessie」，這些問題已在 2.4.2-2~deb8u7 版本中修正。建議您升級 jackson-databind 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 ZNC IRC bouncer 中發現一個弱點，可導致遠端程式碼執行。針對 Debian 8「Jessie」，此問題已在 1.4-2+deb8u2 版本中修正。建議您升級 znc 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Samuel Gross 在 Mozilla Firefox 網頁瀏覽器的 JavaScript 引擎中發現一個類型混淆錯誤，當瀏覽惡意網站時，該錯誤可能導致執行任意程式碼。針對 Debian 8「Jessie」，此問題已在 60.7.1esr-1~deb8u1 版本中修正。建議您升級 firefox-esr 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 python-urllib3 (具安全執行緒連線集區的 HTTP 程式庫) 中發現一個弱點，攻擊者可利用此弱點在要求參數中插入 CRLF 字元。針對 Debian 8「Jessie」，此問題已在 1.9.1-3+deb8u1 版本中修正。建議您升級 python-urllib3 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Simon McVittie 在 Gnome 虛擬檔案系統 gvfs 中發現一個缺陷。gvfsd 程序在未設定授權規則的情況下開啟私人 D-Bus 伺服器通訊端。本機攻擊者可連線至此伺服器通訊端並發出 D-Bus 方法呼叫。(請注意，伺服器通訊端僅接受單一連線，因此攻擊者將必須在伺服器擁有者之前，先探索伺服器並連線到通訊端。)針對 Debian 8「Jessie」，此問題已在 1.22.2-1+deb8u1 版本中修正。建議您升級 gvfs 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

使用者 'Arminius' 在 Vim (一種標準 UNIX 編輯器 Vi (Vi IMproved) 的增強版) 中發現一個弱點。'Common vulnerabilities and exposures' 專案發現下列問題：編輯器通常會提供一種嵌入編輯器組態命令 (又稱 modelines) 的方法，檔案開啟後即會執行該命令，而沙箱機製將會過濾有害命令。據發現，因為未過濾 'source' 命令 (用於包括並執行另一個檔案)，進而允許在 Vim 中開啟特製檔案來執行殼層命令。

Samuel Gross 在 Mozilla Firefox 網頁瀏覽器的 JavaScript 引擎中發現一個類型混淆錯誤，當瀏覽惡意網站時，該錯誤可能導致執行任意程式碼。

據發現，在進行複製作業時，GLib 未正確限制某些檔案權限，而是使用預設權限。針對 Debian 8「Jessie」，此問題已在 2.42.1-1+deb8u1 版本中修正。我們建議您升級 glib2.0 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 kdepim 中發現一個回覆型解密 oracle，它提供 KMail 電子郵件用戶端。擁有 S/MIME 或 PGP 加密電子郵件的攻擊者可以將它們包裝為特製多部分電子郵件中的子部分。然後可以使用 HTML/CSS 或 ASCII 新行字元隱藏已加密的部分。攻擊者可以將此修改後的多部分電子郵件重新傳送給預期的收件者。如果收件者回覆此 (良性的) 電子郵件，他們將在不知情的情況下將加密郵件部分的純文本洩漏給攻擊者。針對 Debian 8「Jessie」，此問題已在 4:4.14.1-1+deb8u2 版本中修正。建議您升級 kdepim 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Linux 核心中發現數個弱點，這些弱點可能會導致權限提升、拒絕服務或資訊洩漏。CVE-2019-3846、CVE-2019-10126 huangwen 報告 Marvell wifi (mwifiex) 驅動程式中發生多個緩衝區溢位，本機使用者可利用來導致拒絕服務或執行任意程式碼。CVE-2019-5489 Daniel Gruss、Erik Kraft、Trishita Tiwari、Michael Schwarz、Ari Trachtenberg、Jason Hennessey、Alex Ionescu 和 Anders Fogh 發現本機使用者可以利用 mincore() 系統呼叫，從存取相同記憶體對映檔案的其他處理程序取得敏感資訊。CVE-2019-9500、CVE-2019-9503 Hugues Anguelkov 在 Broadcom FullMAC wifi 驅動程式 (brcmfmac) 中發現一個緩衝區溢位和遺漏存取驗證，位於相同 wifi 網路上的攻擊者可能會利用此弱點來導致拒絕服務或執行任意程式碼。CVE-2019-11477 Jonathan Looney 報告 TCP 選擇性確認 (SACK) 的特製序列允許遠端觸發核心損毀。CVE-2019-11478 Jonathan Looney 報告 TCP 選擇性確認 (SACK) 的特製序列將分割 TCP 重新傳輸佇列，進而使攻擊者能耗用過多的資源。CVE-2019-11479 Jonathan Looney 報告攻擊者可能會強制 Linux 核心將其回應分割成多個 TCP 片段，每個片段僅包含 8 個位元組資料，進而大幅增加傳遞相同數量資料所需的頻寬。此更新引入了一個新的 sysctl 值來控制最小 MSS (net.ipv4.tcp_min_snd_mss)，依預設會使用以前的硬式編碼值 48。我們建議將此值提高到 536，除非您知道您的網路需要較低的值。CVE-2019-11486 Google 的 Jann Horn 報告 Siemens R3964 行原則中發生數個爭用情形。本機使用者可利用這些爭用情形導致不明的安全性影響。因此，已停用此模組。CVE-2019-11599 Google 的 Jann Horn 報告在核心傾印實作中發生爭用情形，可導致釋放後使用。本機使用者可利用此爭用情形讀取敏感資訊、造成拒絕服務 (記憶體損毀) 或提升權限。CVE-2019-11815 在可靠資料包通訊端通訊協定中發現一個釋放後使用，可導致拒絕服務和可能的權限提升。此通訊協定模組 (rds) 不會在 Debian 系統上自動載入，所以此問題僅會影響明確載入此模組的系統。CVE-2019-11833 據發現，ext4 檔案系統實作將未初始化的資料從核心記憶體寫入新的延伸區塊。本機使用者能夠寫入 ext4 檔案系統，然後使用如卸除式磁碟來讀取檔案系統映像，也許就能利用此弱點來取得敏感資訊。CVE-2019-11884 據發現，藍牙 HIDP 實作未確定新的連線名稱以 null 終止。具有 CAP_NET_ADMIN 功能的本機使用者可能可以利用此弱點從核心堆疊取得敏感資訊。針對 Debian 8「Jessie」，這些問題已在 4.9.168-1+deb9u3~deb8u1 版本中修正。建議您升級 linux-4.9 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Linux 核心中發現數個弱點，這些弱點可能會導致權限提升、拒絕服務或資訊洩漏。- CVE-2019-3846、CVE-2019-10126 huangwen 報告 Marvell wifi (mwifiex) 驅動程式中發生多個緩衝區溢位，本機使用者可利用來導致拒絕服務或執行任意程式碼。- CVE-2019-5489 Daniel Gruss、Erik Kraft、Trishita Tiwari、Michael Schwarz、Ari Trachtenberg、Jason Hennessey、Alex Ionescu 和 Anders Fogh 發現本機使用者可以利用 mincore() 系統呼叫，從存取相同記憶體對映檔案的其他處理程序取得敏感資訊。- CVE-2019-9500、CVE-2019-9503 Hugues Anguelkov 在 Broadcom FullMAC wifi 驅動程式 (brcmfmac) 中發現一個緩衝區溢位和遺漏存取驗證，位於相同 wifi 網路上的攻擊者可能會利用此弱點來導致拒絕服務或執行任意程式碼。- CVE-2019-11477 Jonathan Looney 報告報告 TCP 選擇性確認 (SACK) 的特製序列允許遠端觸發核心損毀。- CVE-2019-11478 Jonathan Looney 報告 TCP 選擇性確認 (SACK) 的特製序列將分割 TCP 重新傳輸佇列，進而使攻擊者能耗用過多的資源。- CVE-2019-11479 Jonathan Looney 報告攻擊者可能會強制 Linux 核心將其回應分割成多個 TCP 片段，每個片段僅包含 8 個位元組資料，進而大幅增加傳遞相同數量資料所需的頻寬。此更新引入了一個新的 sysctl 值來控制最小 MSS (net.ipv4.tcp_min_snd_mss)，依預設會使用以前的硬式編碼值 48。我們建議將此值提高到 536，除非您知道您的網路需要較低的值。- CVE-2019-11486 Google 的 Jann Horn 報告 Siemens R3964 行原則中發生數個爭用情形。本機使用者可利用這些爭用情形導致不明的安全性影響。因此，已停用此模組。- CVE-2019-11599 Google 的 Jann Horn 報告在核心傾印實作中發生爭用情形，可導致釋放後使用。本機使用者可利用此爭用情形讀取敏感資訊、造成拒絕服務 (記憶體損毀) 或提升權限。- CVE-2019-11815 在可靠資料包通訊端通訊協定中發現一個釋放後使用，可導致拒絕服務和可能的權限提升。此通訊協定模組 (rds) 不會在 Debian 系統上自動載入，所以此問題僅會影響明確載入此模組的系統。- CVE-2019-11833 據發現，ext4 檔案系統實作將未初始化的資料從核心記憶體寫入新的延伸區塊。本機使用者能夠寫入 ext4 檔案系統，然後使用如卸除式磁碟來讀取檔案系統映像，也許就能利用此弱點來取得敏感資訊。- CVE-2019-11884 據發現，藍牙 HIDP 實作未確定新的連線名稱以 null 終止。具有 CAP_NET_ADMIN 功能的本機使用者可能可以利用此弱點從核心堆疊取得敏感資訊。

在 Linux 核心中發現數個弱點，這些弱點可能會導致權限提升、拒絕服務或資訊洩漏。CVE-2019-3846、CVE-2019-10126 huangwen 報告 Marvell wifi (mwifiex) 驅動程式中發生多個緩衝區溢位，本機使用者可利用來導致拒絕服務或執行任意程式碼。CVE-2019-5489 Daniel Gruss、Erik Kraft、Trishita Tiwari、Michael Schwarz、Ari Trachtenberg、Jason Hennessey、Alex Ionescu 和 Anders Fogh 發現本機使用者可以利用 mincore() 系統呼叫，從存取相同記憶體對映檔案的其他處理程序取得敏感資訊。CVE-2019-11477 Jonathan Looney 報告 TCP 選擇性確認 (SACK) 的特製序列允許遠端觸發核心損毀。CVE-2019-11478 Jonathan Looney 報告 TCP 選擇性確認 (SACK) 的特製序列將分割 TCP 重新傳輸佇列，進而使攻擊者能耗用過多的資源。CVE-2019-11479 Jonathan Looney 報告攻擊者可能會強制 Linux 核心將其回應分割成多個 TCP 片段，每個片段僅包含 8 個位元組資料，進而大幅增加傳遞相同數量資料所需的頻寬。此更新引入了一個新的 sysctl 值來控制最小 MSS (net.ipv4.tcp_min_snd_mss)，依預設會使用以前的硬式編碼值 48。我們建議將此值提高到 512，除非您知道您的網路需要較低的值。(此值僅適用於 Linux 3.16。)CVE-2019-11810 據發現，megaraid_sas 驅動程式在初始化期間未正確處理失敗的記憶體配置，可能導致雙重釋放。這可能會產生一些安全性影響，但是無法由無權限的使用者觸發。CVE-2019-11833 據發現，ext4 檔案系統實作將未初始化的資料從核心記憶體寫入新的延伸區塊。本機使用者能夠寫入 ext4 檔案系統，然後使用如卸除式磁碟來讀取檔案系統映像，也許就能利用此弱點來取得敏感資訊。CVE-2019-11884 據發現，藍牙 HIDP 實作未確定新的連線名稱以 null 終止。具有 CAP_NET_ADMIN 功能的本機使用者可能可以利用此弱點從核心堆疊取得敏感資訊。針對 Debian 8「Jessie」，這些問題已在 3.16.68-2 版本中修正。已提供適用於 PC 架構 (amd64 和 i386) 的套件，而適用於 Arm 架構 (armel 和 armhf) 的套件將於近期提供。建議您升級 linux 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 MySQL Web 管理工具 phpmyadmin 中修正了多個安全性弱點，可防止可能的 SQL 插入攻擊、CSRF、使用者限制繞過、資訊洩漏或拒絕服務。針對 Debian 8「Jessie」，這些問題已在 4:4.2.12-2+deb8u6 版本中修正。建議您升級 phpmyadmin 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 中發現多個安全性問題，若讀取格式錯誤的電子郵件訊息可能會導致執行任意程式碼。針對 Debian 8「Jessie」，這些問題已在 1:60.7.1-1~deb8u1 版本中修正。建議您升級 thunderbird 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 ZNC IRC bouncer 中發現兩個弱點，可導致遠端程式碼執行 (CVE-2019-12816) 或透過無效編碼拒絕服務 (CVE-2019-9917)。

Horde 應用程式架構包含一個遠端程式碼執行弱點。遠端攻擊者可利用此缺陷在表單中使用影像上傳，以在伺服器上的任意可寫位置安裝並執行檔案。針對 Debian 8「Jessie」，此問題已在 2.0.8-2+deb8u1 版本中修正。建議您升級 php-horde-form 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PyXDG (用於尋找 'FreeDesktop.org' configuration/cache/etc. 目錄的程式庫) 中發現一個程式碼插入問題。若缺少清理，將導致內嵌在 .menu 檔案中的 Menu XML 文件的 Category 元素中的任意 Python 程式碼執行。針對 Debian 8「Jessie」，此問題已在 pyxdg 的 0.25-4+deb8u1 版本中修正。建議您升級 pyxdg 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Joe Vennix 在非同步內部處理程序通訊系統 dbus 中發現一個驗證繞過弱點。DBUS_COOKIE_SHA1 驗證機制的實作容易受到符號連結攻擊。本機攻擊者可利用此缺陷來繞過驗證，並以提升的權限連線至 DBusServer。針對 Debian 8「Jessie」，此問題已在 1.8.22-0+deb8u2 版本中修正。建議您升級 dbus 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Joe Vennix 在非同步內部處理程序通訊系統 dbus 中發現一個驗證繞過弱點。DBUS_COOKIE_SHA1 驗證機制的實作容易受到符號連結攻擊。本機攻擊者可利用此缺陷來繞過驗證，並以提升的權限連線至 DBusServer。標準系統和工作階段 dbus-daemons 在其預設組態下不受此弱點影響。已藉由將 dbus 升級至新的上游版本 1.10.28 而修正該弱點，且此新版本包括其他修正。

Harrison Neil 發現 Zookeeper (一種用於維護組態資訊的服務) 中的 getACL() 命令未驗證權限，可導致資訊洩漏。

在 MediaWiki (用於共用作業的網站引擎) 中發現多個安全性弱點，可導致繞過驗證、拒絕服務、跨網站指令碼、資訊洩漏以及繞過反垃圾郵件措施。

在 VLC 媒體播放器中發現多個安全性問題，當處理格式錯誤的檔案/串流時，可導致任意程式碼執行或拒絕服務。

在 libgd2 (一種用於程式設計圖形建立和操作的程式庫) 的 XBM 支援中發現一個未初始化讀取。未初始化讀取可導致資訊洩漏。針對 Debian 8「Jessie」，此問題已在 2.1.0-5+deb8u13 版本中修正。我們建議您升級 libgd2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在開放票證要求系統中發現兩個安全性弱點，可導致資訊洩漏或權限提升。已新增組態選項來解決這些問題。CVE-2019-12248 攻擊者可傳送惡意電子郵件到 OTRS 系統。如果已登入的代理使用者引用了該電子郵件，則電子郵件可能會導致瀏覽器載入外部影像資源。CVE-2019-12497 在客戶或外部前端中，可以在外部附註公開代理使用者的個人資訊，例如姓名和郵件地址。針對 Debian 8「Jessie」，這些問題已在 3.3.18-1~deb8u10 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Cyrus IMAP 伺服器的 httpd 中的 CalDAV 功能發現一個缺陷，可透過特製的 HTTP PUT 作業針對具有長 iCalendar 屬性名稱的事件造成拒絕服務或可能執行任意程式碼。

Hanno Bock 發現 Evolution 容易使用特製的 HTML 電子郵件，偽造任意訊息的 OpenPGP 簽章。將包含加密和簽章資訊的安全列移到訊息標頭上方會減輕此問題。

Qualys 研究實驗室報告在郵件傳輸代理程式 Exim 中存在一個缺陷。未正確驗證 deliver_message () 函式中的收件人地址，可導致任意命令執行。

在 poppler PDF 轉譯程式庫中發現數個弱點，在處理格式錯誤或惡意特製的檔案時，可導致拒絕服務或可能造成其他不明影響。針對 Debian 8「Jessie」，這些問題已在 0.26.5-2~deb8u10 版本中修正。建議您升級 poppler 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Django web 開發架構中發現一個跨網站指令碼 (XSS) 弱點。針對 Debian 8「Jessie」，此問題已在 python-django 的版本 1.7.11-1+deb8u5 中修正。建議您升級 python-django 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Heimdal (一種 Kerberos 5 實作，目的在與 MIT Kerberos 相容) 中發現數個弱點。- CVE-2018-16860 Isaac Boukris 和 Andrew Bartlett 發現，因為不完整的總和檢查碼驗證，Heimdal 容易發生攔截式攻擊。可在 Samba 公告中找到問題的詳細資料：https://www.samba.org/samba/security/CVE-2018-16860.html。- CVE-2019-12098 據發現，PA-PKINIT-KX 金鑰交換用戶端的驗證失敗可允許執行攔截式攻擊。

在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現兩個弱點。CVE-2019-11039 iconv 模組中的整數反向溢位可被惡意利用來觸發超出邊界讀取。(CVE-2019-11040) 在 EXIF 剖析程式碼中發現堆積緩衝區溢位。針對 Debian 8「Jessie」，這些問題已在 5.6.40+dfsg-0+deb8u4 版本中修正。我們建議您升級 php5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

search_opensearch.php 中查詢參數的清理不足可導致反映式跨網站指令碼或 iframe 插入。針對 Debian 8「Jessie」，此問題已在 1.8.8-5+deb8u1 版本中修正。建議您升級 doxygen 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在快速處理器模擬器 QEMU 中發現多個安全性問題，可導致拒絕服務、任意程式碼執行或資訊洩漏。此外，此更新會反向移植支援，以將 DSA 4447 隨附的 intel-microcode 更新中新增的新 md-clear CPU 旗標傳遞給 x86 型來賓。

在 OpenJDK (一種 Oracle Java 平台的實作) 中發現數個弱點，進而導致拒絕服務或沙箱繞過。

VDOO 的 Ben Barnea 及其同事在 miniupnpd (一種提供 UPnP 網際網路閘道裝置和通訊埠對映通訊協定服務的小型程序) 中發現數個弱點。問題基本上是資訊洩漏、NULL 指標解除參照和釋放後使用。針對 Debian 8「Jessie」，這些問題已在 1.8.20140523-4~deb8u1 版本中修正。建議您升級 miniupnpd 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Nightwatch 網路安全性研究團隊在 tomcat7 中發現一個 XSS 弱點。SSI printenv 命令會回應使用者提供的資料而不逸出。SSI 預設為停用狀態。printenv 命令的目的在於偵錯，不可能出現在生產網站中。針對 Debian 8「Jessie」，此問題已在 7.0.56-3+really7.0.94-1 版本中修正。我們建議您升級 tomcat7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已更正 libav 多媒體程式庫中多個 demuxer 和解碼器的兩個安全性問題。CVE-2018-15822 libav 中 libavformat/flvenc.c 的 flv_write_packet 函式未檢查空白的音訊套件，進而導致宣告失敗。CVE-2019-11338 libav 中的 libavcodec/hevcdec.c 未正確偵測重複的第一個配量，可讓遠端攻擊者透過特製的 HEVC 資料導致拒絕服務 (NULL 指標解除參照和超出陣列存取)，或者可能造成其他不明影響。針對 Debian 8「Jessie」，這些問題已在 6:11.12-1~deb8u7 版本中修正。建議您升級 libav 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在　Swiss army knife of sound processing programs　SoX　中發現數個問題，可導致應用程式損毀進而導致拒絕服務，或者透過處理惡意特製的輸入文件而導致任意程式碼執行。針對 Debian 8「Jessie」，這些問題已在 14.4.1-5~deb8u4 版本中修正。建議您升級 sox 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	嚴重性
126347	Debian DLA-1838-1：mupdf 安全性更新	medium
126248	Debian DLA-1837-2：rdesktop 迴歸更新	high
126247	Debian DLA-1836-1：thunderbird 安全性更新	critical
126224	Debian DSA-4471-1：thunderbird - 安全性更新	critical
126223	Debian DLA-1835-2：python3.4 迴歸更新	medium
126222	Debian DLA-1834-1：python2.7 安全性更新	critical
126221	Debian DLA-1833-2：bzip2 迴歸更新	critical
126220	Debian DLA-1832-1：libvirt 安全性更新	high
126129	Debian DSA-4470-1：pdns - 安全性更新	high
126128	Debian DSA-4469-1：libvirt - 安全性更新	high
126127	Debian DSA-4468-1：php-horde-form - 安全性更新	high
126126	Debian DLA-1831-1：jackson-databind 安全性更新	medium
126079	Debian DLA-1830-1：znc 安全性更新	high
126078	Debian DLA-1829-1：firefox-esr 安全性更新	high
126077	Debian DLA-1828-1：python-urllib3 安全性更新	medium
126054	Debian DLA-1827-1：gvfs 安全性更新	high
126013	Debian DSA-4467-1：vim - 安全性更新	high
126012	Debian DSA-4466-1：firefox-esr - 安全性更新	high
126011	Debian DLA-1826-1：glib2.0 安全性更新	critical
126010	Debian DLA-1825-1：kdepim 安全性更新	medium
126009	Debian DLA-1824-1：linux-4.9 安全性更新 (SACK Panic) (SACK Slowness)	critical
125959	Debian DSA-4465-1：linux - 安全性更新 (SACK Panic) (SACK Slowness)	critical
125958	Debian DLA-1823-1：linux 安全性更新 (SACK Panic) (SACK Slowness)	critical
125957	Debian DLA-1821-1：phpmyadmin 安全性更新	critical
125956	Debian DLA-1820-1：thunderbird 安全性更新	critical
125930	Debian DSA-4464-1：thunderbird - 安全性更新	critical
125929	Debian DSA-4463-1：znc - 安全性更新	high
125928	Debian DLA-1822-1：php-horde-form 安全性更新	high
125927	Debian DLA-1819-1：pyxdg 安全性更新	high
125926	Debian DLA-1818-1：dbus 安全性更新	high
125905	Debian DSA-4462-1：dbus - 安全性更新	high
125859	Debian DSA-4461-1：zookeeper - 安全性更新	medium
125858	Debian DSA-4460-1：mediawiki - 安全性更新	critical
125857	Debian DSA-4459-1：vlc - 安全性更新	high
125837	Debian DLA-1817-1：libgd2 安全性更新	medium
125836	Debian DLA-1816-1：otrs2 安全性更新	medium
125784	Debian DSA-4458-1：cyrus-imapd - 安全性更新	critical
125783	Debian DSA-4457-1：evolution - 安全性更新	medium
125742	Debian DSA-4456-1：exim4 - 安全性更新	critical
125741	Debian DLA-1815-1：poppler 安全性更新	high
125740	Debian DLA-1814-1：python-django 安全性更新	medium
125709	Debian DSA-4455-1：heimdal - 安全性更新	high
125682	Debian DLA-1813-1：php5 安全性更新	critical
125644	Debian DLA-1812-1：doxygen 安全性更新	medium
125609	Debian DSA-4454-1：qemu - 安全性更新	high
125608	Debian DSA-4453-1：openjdk-8 - 安全性更新	high
125607	Debian DLA-1811-1：miniupnpd 安全性更新	high
125606	Debian DLA-1810-1：tomcat7 安全性更新	medium
125555	Debian DLA-1809-1：libav 安全性更新	high
125479	Debian DLA-1808-1：sox 安全性更新	medium

偵測

Nessus 的 Debian Local Security Checks 系列

medium

high

critical

critical

medium

critical

critical

high

high

high

high

medium

high

high

medium

high

high

high

critical

medium

critical

critical

critical

critical

critical

critical

high

high

high

high

high

medium

critical

high

medium

medium

critical

medium

critical

high

medium

high

critical

medium

high

high

high

medium

high

medium