此更新可修正 Imagemagick 中的兩個弱點：如果處理格式錯誤的 TIFF 或 Postscript 檔案，記憶體處理問題和缺少或不完整的輸入清理可能會導致拒絕服務、記憶體暴露或執行任意程式碼。

在 libpng PNG 程式庫的 png_image_free() 函式中發現一個釋放後使用弱點，如果處理格式錯誤的影像可導致拒絕服務，或可能執行任意程式碼。

基礎 GStreamer 套件 1.0 版中的 RTSP 連線剖析器是一個串流媒體架構，在回應中傳送長度超過允許的工作階段 id，並包含分號以變更最大長度時，容易受到堆積型緩衝區溢位影響。這可導致遠端程式碼執行。針對 Debian 8「Jessie」，此問題已在 1.4.4-2+deb8u2 版本中修正。建議您升級 gst-plugins-base1.0 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

基礎 GStreamer 套件 0.10 版中的 RTSP 連線剖析器是一個串流媒體架構，在回應中傳送長度超過允許的工作階段 id，並包含分號以變更最大長度時，容易受到堆積型緩衝區溢位影響。這可導致遠端程式碼執行。針對 Debian 8「Jessie」，此問題已在 0.10.36-2+deb8u1 版本中修正。建議您升級 gst-plugins-base0.10 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

checkstyle 預設會載入現在預設遭到停用的外部 DTD。如果需要，將系統屬性 checkstyle.enableExternalDtdLoad 設為 true 可以重新啟用它。針對 Debian 8「Jessie」，此問題已在 5.9-1+deb8u1 版本中修正。建議您升級 checkstyle 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Zack Flack 在 monit 發現數個問題，這是用來監視和管理精靈或類似程式的公用程式。CVE-2019-11454 已報告一個 XSS 弱點，透過 Monit GUI 檢視時，HTML 可防止此弱點逸出記錄檔內容。CVE-2019-11455 在 URL 解碼中報告一個緩衝區溢位弱點。針對 Debian 8「Jessie」，這些問題已在 1:5.9-1+deb8u2 版本中修正。建議您升級 monit 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Hanno Böck 發現 GNOME Evolution 容易使用特製的 HTML 電子郵件，偽造任意訊息的 OpenPGP 簽章。將包含加密和簽章資訊的安全列移到訊息標頭上方會減輕此問題。針對 Debian 8「Jessie」，此問題已在 3.12.9~git20141130.241663-1+deb8u1 版本中修正。建議您升級 evolution 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在開放原始碼多媒體框架 gpac 中發現幾個問題。他人使用特製檔案即可觸發可用於毀損應用程式的緩衝區溢位問題。針對 Debian 8「Jessie」，這些問題已在 0.5.0+svn5324~dfsg1-1+deb8u3 版本中修正。建議您升級 gpac 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，「mercurial」分散式修訂版控制系統中有一個路徑遊走弱點。符號連結和子存放庫可用來破解 Mercurial 的路徑檢查邏輯，並在存放庫 root 之外寫入檔案。針對 Debian 8「Jessie」，此問題已在 3.1.2-2+deb8u7 版本中修正。建議您升級 mercurial 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PuTTY SSH 用戶端中發現多個弱點，可能會導致拒絕服務，進而可能執行任意程式碼。此外，在某些情況下，隨機數字也可能遭到重複使用。針對 Debian 8「Jessie」，這些問題已在 0.63-10+deb8u2 版本中修正。建議您升級 putty 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在最近上傳的 systemd 安全性更新 (透過 DLA-1762-1 的 215-17+deb8u12) 中，在 CVE-2017-18078 的修正中發現一個迴歸。Debian jessie LTS 使用者的觀察結果是，升級到 +deb8u12 之後，暫存檔案將不再具有正確的擁有權和權限 (檔案不是由特定使用者和/或群組擁有，而是由 root:root 擁有；設定 POSIX 檔案權限 (rwx 等) 也受到影響)。針對 Debian 8「Jessie」，此迴歸已在 215-17+deb8u13 版本中修正。建議您升級 systemd 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Cedric Buissart 發現 Ghostscript (GPL PostScript/PDF 解譯程式) 中有兩個弱點，這些弱點可能導致繞過 dSAFER 沙箱的檔案系統限制。針對 Debian 8「Jessie」，這些問題已在 9.26a~dfsg-0+deb8u2 版本中修正。建議您升級 ghostscript 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Kusano Kazuhiko 發現處理 wget 中的 Internationalized Resource Identifiers (IRI) (一種從 web 擷取檔案的網路公用程式) 的方式有一個緩衝區溢位弱點，此弱點可能會在以遞迴方式從不受信任的伺服器下載時，導致任意程式碼執行，或拒絕服務。針對 Debian 8「Jessie」，此問題已在 1.16-1+deb8u6 版本中修正。建議您升級 wget 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

超出邊界讀取和寫入情形已在 clamav 中修正。CVE-2019-1787 掃描 PDF 文件時可能發生的超出邊界堆積讀取情形。此缺陷是因為編列檔案資料索引時，未正確記錄緩衝區中剩餘位元組數所導致。CVE-2019-1788 掃描 OLE2 檔案 (例如 Microsoft Office 97-2003 文件) 時可能發生的超出邊界堆積寫入情形。誤用無效的指標將 32 位元的整數初始化為零時，會發生無效寫入。這可能會造成應用程式損毀。CVE-2019-1789 掃描 PE 檔案 (即 Windows EXE 和 DLL 檔案，因邊界檢查不充份，已用 Aspack 加以包裝) 時可能發生的超出邊界堆積讀取情形。針對 Debian 8「Jessie」，這些問題已在 0.100.3+dfsg-0+deb8u1 版本中修正。建議您升級 clamav 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在功能完善的內容管理架構 Drupal 中發現一個跨網站指令碼弱點。如需其他資訊，請參閱 https://www.drupal.org/sa-core-2019-006 中的上游公告。

Debian-security-support (Debian 安全性支援涵蓋範圍檢查程式) 已在 jessie 中更新。與 jessie 相關的變更包括：- 將 Jessie 的 spice-xpi 標記為產品生命週期結束。- 將 edk2 新增至 security-support-ended.deb8 - 將 robocode 新增至 security-support-ended.deb8 針對 Debian 8「Jessie」，此問題已在 2019.02.02~deb8u1 版本中修正。建議您升級 debian-security-support 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在適用於 Ruby 語言的解譯程式所包含的 Rubygems 發現多個弱點，這可能會導致拒絕服務或任意程式碼執行。

Cedric Buissart 發現 Ghostscript (GPL PostScript/PDF 解譯程式) 中有兩個弱點，這些弱點可能導致繞過 dSAFER 沙箱的檔案系統限制。

據發現，cacti (一種適用於 RRDTool 監控工具的 web 式前端) 中有幾個跨網站指令碼弱點 (XSS)。針對 Debian 8「Jessie」，此問題已在 cacti 0.8.8b+dfsg-8+deb8u7 版本中修正。我們建議您升級 cacti 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，libxslt (廣泛用於將檔案從 XML 轉換成其他任意格式的程式庫) 中有一個驗證繞過弱點。xsltCheckRead 和 xsltCheckWrite 常式允許在收到 an-1 錯誤程式碼時存取 (當 xsltCheckRead 針對實際上並非無效的特製 URL 傳回 -1 時)，而後再驗證攻擊者。針對 Debian 8「Jessie」，此問題已在 libxslt 1.1.28-2+deb8u4 版本中修正。建議您升級 libxslt 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Chris Coulson 發現 libssh2 (一種 SSH2 用戶端程式庫) 中有多個弱點，這些弱點可能會導致拒絕服務、資訊洩漏或任意程式碼執行。

Mathy Vanhoef (NYUAD) 和 Eyal Ronen (Tel Aviv 大學和 KU Leuven) 在 WPA 實作的 wpa_supplication (工作站) 和 hostapd (存取點) 中發現多個弱點。這些弱點也通稱為「Dragonblood」。- CVE-2019-9495 對 EAP-pwd 實作發動的快取型旁路攻擊：可在交握時在目標機器 (例如，包括智慧型手機瀏覽器中的 JavaScript 程式碼) 上執行無權限程式碼的攻擊者可推算出足夠的資訊，以在字典式攻擊中發現密碼。- CVE-2019-9497 對 EAP-pwd 伺服器實作發動的反射式攻擊：缺乏對 EAP-pwd-Commit 訊息中所收到的純量及元素值進行驗證，可能會引發攻擊，此攻擊可在攻擊者不知道密碼的情況下完成 EAP-pwd 驗證交換。攻擊者不會因而能夠擷取工作階段金鑰、完成後續金鑰交換及存取網路。- CVE-2019-9498 EAP-pwd 伺服器缺少對純量/元素進行提交驗證：hostapd 並未驗證在 EAP-pwd-Commit 訊息中收到的值，因此，攻擊者可利用特製的提交訊息來操控交換作業，讓 hostapd 能夠從可能值的有限集合中擷取工作階段金鑰。攻擊者可因此完成驗證，並取得存取網路的權限。- CVE-2019-9499 EAP-pwd 對等端缺少對純量/元素進行提交驗證：wpa_supplicant 並未驗證在 EAP-pwd-Commit 訊息中接收到的值，因此，攻擊者可利用特製的提交訊息來操控交換作業，讓 wpa_supplicant 能夠從可能值的有限集合中擷取工作階段金鑰。攻擊者可因此完成驗證，並以惡意 AP 的身份操作。請注意，Dragonblood moniker 也適用於 CVE-2019-9494 和 CVE-2014-9496 (WPA3 的 SAE 通訊協定中的弱點)。在 wpa 的 Debian stretch 組建中，SAE 並未啟用，因此依預設，並不容易受到影響。由於反向移植處理序相當複雜，這些弱點的修正僅為部分內容。建議使用者使用強式密碼來預防字典式攻擊，或使用 stretch-backports 的 2.7 版 (2:2.7+git20190128+0c1e29f-4 以上的版本)。

據發現，SPIP (用於發佈的網站引擎) 並未正確清理其使用者輸入。經驗證的使用者可能藉此執行任意命令。

在 Graphicsmagick (一系列用於處理影像的工具) 中發現數個安全性弱點。堆積型緩衝區過度讀取和記憶體洩漏可能會導致拒絕服務或資訊洩漏。針對 Debian 8「Jessie」，這些問題已在 1.3.20-3+deb8u6 版本中修正。建議您升級 graphicsmagick 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Samba (適用於 Unix 的 SMB/CIFS 檔案、列印及登入伺服器/用戶端) 中發現多個弱點 CVE-2017-9461 Samba 的 smbd 中有一個拒絕服務弱點 (fd_open_atomic 無限迴圈，具有高 CPU 使用率和記憶體耗用率)，這是因為不當處理懸置符號連結所導致。CVE-2018-1050 將 RPC spoolss 服務設定為以外部精靈形式執行時，Samba 容易遭到拒絕服務攻擊。缺少對 spoolss RPC 呼叫的部分輸入參數進行輸入清理檢查，會造成列印多工緩衝處理器服務當機。CVE-2018-1057 在 Samba 4 AD DC 上，Samba 的 LDAP 伺服器未正確驗證透過 LDAP 修改密碼的權限，經驗證的使用者因而得以變更任何其他使用者的密碼，包括管理員使用者及有權限的服務帳號 (例如 Domain Controller)。感謝 Ubuntu 安全性團隊將侵入性相當大的變更集反向移植到 Ubuntu 14.04 中的 Samba (我們可用來在 Debian jessie LTS 中修補 Samba)。CVE-2019-3880 在 Samba 實作 RPC 端點 (列舉 Windows 登錄服務 API) 的方式中發現一個缺陷。無權限的攻擊者可利用此缺陷在任何他們具有 unix 權限之處建立新的登錄區檔案，這可能會導致新的檔案在 Samba 共用中建立。針對 Debian 8「Jessie」，這些問題已在 2:4.2.14+dfsg-0+deb8u12 版本中修正。建議您升級 samba 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jann Horn 發現 systemd 中的 PAM 模組以不安全的方式使用環境，而且缺乏基座驗證，這可供偽造 PolicyKit 的作用中工作階段。具備 SSH 存取權限的遠端攻擊者可利用此問題來取得 PolicyKit 權限，此權限通常只提供給本機主控台上作用中工作階段內的用戶端。

Michael Hanselmann 發現 Samba (一種適用於 Unix 的 SMB/CIFS 檔案、列印及登入伺服器) 容易遭到符號連結遊走攻擊。具備寫入權限的經驗證遠端使用者可在 Samba 共用外寫入或偵測檔案。

在 sftp 傳輸過程中建立目錄失敗時，公告為 DLA-1753-1 的 proftpd-dfsg 更新導致迴歸。sftp 工作階段將終止，而不會因為不存在偵錯記錄功能而導致不嚴重的失敗。針對 Debian 8「Jessie」，此問題已在 1.3.5e+r1.3.5-2+deb8u2 版本中修正。建議您升級 proftpd-dfsg 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 poppler PDF 轉譯共用程式庫中發現一個安全性問題。Poppler 共用程式庫的 CairoRescaleBox.cc downsample_row_box_filter 函式中有堆積型緩衝區過度讀取情形。針對 Debian 8「Jessie」，此問題已在 0.26.5-2+deb8u9 版本中修正。建議您升級 poppler 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在 suricata (網路威脅偵測引擎) 中發現多個弱點：CVE-2018-10242 缺乏長度檢查造成 SSHParseBanner (app-layer-ssh.c) 發生超出邊界讀取。遠端攻擊者可利用此弱點來造成 DoS，甚或是未經授權的資料洩漏。CVE-2018-10243 Authorization 欄位意外結束造成 htp_parse_authorization_digest (htp_parsers.c，來自 LibHTP 的內嵌副本) 發生堆積型緩衝區過度讀取。遠端攻擊者可利用此弱點來造成 DoS，甚或是未經授權的資料洩漏。針對 Debian 8「Jessie」，這些問題已在 2.0.7-2+deb8u4 版本中修正。建議您升級 suricata 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Cedric Krier 發現 Tryton 中缺乏存取驗證可能會導致資訊洩漏。

Kusano Kazuhiko 發現處理 wget 中的 Internationalized Resource Identifiers (IRI) (一種從 web 擷取檔案的網路公用程式) 的方式有一個緩衝區溢位弱點，此弱點可能會在以遞迴方式從不受信任的伺服器下載時，導致任意程式碼執行，或拒絕服務。

Hanno Böck 發現 roundup 問題追蹤系統的 web 前端有一個跨網站指令碼 (XSS) 弱點。針對 Debian 8「Jessie」，此問題已在 roundup 1.4.20-1.1+deb8u2 版本中修正。建議您升級 roundup 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

HyperOne.com 的 Adam Dobrawy、Frederico Silva 和 Gregory Brzeski 發現，在遠端後端的 HTTP 連接器中建立來自 DNS 查詢的 HTTP 要求時，pdns (一種權威 DNS 伺服器) 未正確驗證使用者提供的資料。遠端使用者可藉以造成拒絕服務或資訊洩漏。

在 PuTTY SSH 用戶端中發現多個弱點，可能會導致拒絕服務，進而可能執行任意程式碼。此外，在某些情況下，隨機數字也可能遭到重複使用。

在 Apache HTTP 伺服器中發現數個弱點：- CVE-2018-17189 F5 Networks 的 Gal Goldshtein 發現了 mod_http2 中的拒絕服務弱點。藉由傳送格式錯誤的要求，該要求的 http/2 串流會在非必要的情況下佔用可清除內傳資料的伺服器執行緒，進而導致拒絕服務。- CVE-2018-17199 ImExHS 的 Diego Angulo 發現 mod_session_cookie 並未奉行到期時間。- CVE-2019-0196 Craig Young 發現，他人可利用 mod_http2 中的 http/2 要求處理在決定要求方法時存取字串比較中已釋放的記憶體，進而用不正確的方式處理要求。- CVE-2019-0211 Charles Fol 發現權限提升狀況：從權限較低的子處理程序變成以 root 身分執行的父處理程序。- CVE-2019-0217 在執行緒伺服器執行 mod_auth_digest 時，發生了爭用情形，具有有效憑證的使用者可藉以使用另一個使用者名稱進行驗證，來繞過已設定的存取控制限制。此問題是由 Simon Kappel 所發現。- CVE-2019-0220 Alpha Strike Labs GmbH 的 Bernhard Lorenz 指出，URL 正規化的處理方式不一致。若要求 URL 的路徑元件含有多個連續斜線 (「/」)，則如 LocationMatch 和 RewriteRule 的指示詞必須負責一般運算式中的重複項目，而伺服器處理的其他層面則會暗中對其進行摺疊。

據發現，Go 程式設計語言執行時間程式庫中有一個 CRLF 插入攻擊。將 \r\n 傳送至 http.NewRequest 可能讓他人得以執行任意 HTTP 標頭或 Redis 命令。針對 Debian 8「Jessie」，此問題已在 2:1.3.3-1+deb8u2 版本中修正。建議您升級 golang 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Apache HTTP 伺服器中發現數個弱點：CVE-2019-0217 在執行緒伺服器執行 mod_auth_digest 時，發生了爭用情形，具有有效憑證的使用者可藉以使用另一個使用者名稱進行驗證，來繞過已設定的存取控制限制。此問題是由 Simon Kappel 所發現。CVE-2019-0220 Alpha Strike Labs GmbH 的 Bernhard Lorenz 指出，URL 正規化的處理方式不一致。若要求 URL 的路徑元件含有多個連續斜線 (「/」)，則如 LocationMatch 和 RewriteRule 的指示詞必須負責一般運算式中的重複項目，而伺服器處理的其他層面則會暗中對其進行摺疊。針對 Debian 8「Jessie」，這些問題已在 2.4.10-10+deb8u14 版本中修正。我們建議您升級 apache2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Eli Biham 和 Lior Neumann 在藍牙 LE SC 配對通訊協定中發現一個密碼編譯弱點，稱為固定座標無效曲線攻擊 (Fixed Coordinate Invalid Curve Attack)(CVE-2018-5383)。視所用的裝置而定，鄰近的攻擊者可加以惡意利用，以取得敏感資訊來造成拒絕服務，或造成其他安全性影響。此缺陷已在 Intel Wireless 7260 (B3)、7260 (B5)、7265 (D1) 和 8264 介面卡適用的韌體及 Qualcomm Atheros QCA61x4「ROME」3.2 版介面卡適用的韌體中修正。其他藍牙介面卡也受到影響，且仍然易受攻擊。針對 Debian 8「Jessie」，此問題已在 20161130-5~deb8u1 版本中修正。建議您升級 firmware-nonfree 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Drupal (功能完整的內容管理框架) 檔案模組中缺少輸入清理可能會導致跨網站指令碼。針對 Debian 8「Jessie」，此問題已在 7.32-1+deb8u16 版本中修正。我們建議您升級 drupal7 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新包含 tzdata 2019a 中針對 Perl 繫結所做的變更。如需變更清單，請參閱 DLA-1744-1。針對 Debian 8「Jessie」，此問題已在 1:1.75-2+2019a 版本中修正。建議您升級 libdatetime-time zone-perl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新可能包含 tzdata 2019a 中的變更。顯著的變更如下：- Palestine 於 2019 年 3 月 30 日啟動 DST，而非先前預測的 2019 年 3 月 23 日。- Metlakatla 不再奉行太平洋標準時間，於 2019 年 1 月 20 日 2:00 點重新加入阿拉斯加時間。針對 Debian 8「Jessie」，此問題已在 2019a-0+deb8u1 版本中修正。建議您升級 tzdata 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Thunderbird 郵件用戶端中發現多個安全性問題，可能會導致執行任意程式碼或拒絕服務。針對 Debian 8「Jessie」，這些問題已在 1:60.6.1-1~deb8u1 版本中修正。建議您升級 thunderbird 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 chromium 網頁瀏覽器中發現數個弱點。- CVE-2019-5787 Zhe Jin 發現一個釋放後使用問題。- CVE-2019-5788 Mark Brand 在 FileAPI 實作中發現一個釋放後使用問題。- CVE-2019-5789 Mark Brand 在 WebMIDI 實作中發現一個釋放後使用問題。- CVE-2019-5790 Dimitri Fourny 在 v8 JavaScript 程式庫中發現一個緩衝區溢位問題。- CVE-2019-5791 Choongwoo Han 發現 v8 JavaScript 程式庫中有一個類型混淆問題。- CVE-2019-5792 pdknsk 在 pdfium 程式庫中發現一個整數溢位問題。- CVE-2019-5793 Jun Kokatsu 在 Extensions 實作中發現一個權限問題。- CVE-2019-5794 Theori 的 Juno Im 發現一個使用者介面偽造問題。- CVE-2019-5795 pdknsk 在 pdfium 程式庫中發現一個整數溢位問題。- CVE-2019-5796 Mark Brand 在 Extensions 實作中發現爭用情形。- CVE-2019-5797 Mark Brand 在 DOMStorage 實作中發現爭用情形。- CVE-2019-5798 Tran Tien Hung 在 skia 程式庫中發現一個超出邊界讀取問題。- CVE-2019-5799 sohalt 發現一種可以繞過內容安全性原則的方法。- CVE-2019-5800 Jun Kokatsu 發現一種可以繞過內容安全性原則的方法。- CVE-2019-5802 Ronni Skansing 發現一個使用者介面偽造問題。- CVE-2019-5803 Andrew Comminos 發現一種可以繞過內容安全性原則的方法。

在 Thunderbird 郵件用戶端中發現多個安全性問題，可能會導致執行任意程式碼或拒絕服務。

Fabien Potencier 發現 twig (適用於 PHP 的一種範本引擎) 未正確執行沙箱。這可能會導致資訊洩漏。

在 Dovecot 電子郵件伺服器中發現一個弱點。從 Dovecot 索引讀取 FTS 或 POP3-UIDL 標頭時，並未對輸入緩衝區大小進行邊界檢查。能夠修改 dovecot 索引的攻擊者可利用此缺陷提升權限，或以 dovecot 使用者的權限執行任意程式碼。只有使用 FTS 或 pop3 移轉外掛程式的安裝會受到影響。

Ripstech Technologies 的 Simon Scannell 在 wordpress (一種 Web 部落格管理程式) 中發現多個弱點。CVE-2019-8942 由於可將 _wp_attached_file Post Meta 項目變更為任意字串 (如以.jpg?file.php 子字串結尾的字串)，所以可在 wordpress 中執行遠端程式碼。具備作者權限的攻擊者可在 Exif 中繼資料中上傳含有 PHP 程式碼的特製影像，以執行任意程式碼。CVE-2019-9787 wordpress 未適當篩選意見內容，導致未經驗證的使用者可在預設的組態中進行遠端程式碼執行。這個問題之所以會發生，是因為 CSRF 防護處理不當，而且也是因為 A 元素的搜尋引擎最佳化 (Search Engine Optimization) 未正確執行，因而導致 XSS。XSS 會造成管理存取權限問題。針對 Debian 8「Jessie」，這些問題已在 4.1.26+dfsg-1+deb8u1 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在 php5 (一種伺服器端的已嵌入 HTML 指令碼語言) 中發現多個弱點。CVE-2019-9637 裝置上的 rename() 可能會在處理時進行不想要的存取。CVE-2019-9638、CVE-2019-9639 exif_process_IFD_in_MAKERNOTE 中發生未初始化的讀取。CVE-2019-9640 exif_process_SOFn 上發生無效的讀取。CVE-2019-9641 exif_process_IFD_in_TIFF 中發生未初始化的讀取。CVE-2019-9022 剖析 DNS 回應時發生的問題讓惡意的 DNS 伺服器得以濫用 memcpy，進而導致讀取作業越過已分配的緩衝區。針對 Debian 8「Jessie」，這些問題已在 5.6.40+dfsg-0+deb8u2 版本中修正。我們建議您升級 php5 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已更正 Libav 多媒體程式庫中多個 demuxer 和解碼器的數個安全性問題。CVE-2015-1872 libavcodec/mjpegdec.c 中的 ff_mjpeg_decode_sof 函式未驗證 JPEG-LS Start Of Frame 區段中的元件數，遠端攻擊者可藉以造成拒絕服務 (超出邊界陣列存取)，甚或透過特製的 Motion JPEG 資料造成其他不明影響。CVE-2017-14058 libavformat/hls.c 中的 read_data 函式未限制對不充份清單執行的重新載入嘗試，遠端攻擊者可藉以造拒絕服務 (無限迴圈)。CVE-2017-1000460 在 get_last_needed_nal() (libavformat/h264.c) 中，init_get_bits 的傳回值遭到忽略，且在未初始化的 get_bits 內容中呼叫了 get_ue_golomb(&gb)，因而造成 NULL 解除參照例外。CVE-2018-6392 libavfilter/vf_transpose.c 中的 filter_slice 函式讓遠端攻擊者得以透過特製的 MP4 檔案造成拒絕服務 (超出陣列存取)。CVE-2018-1999012 libav 含有 CWE-835：在 pva 格式的 demuxer 中發現一個無限迴圈弱點，導致攻擊者可利用該弱點耗用過量的資源，如 CPU 和 RAM。此攻擊似乎是透過以原本輸入形式提供的特製 PVA 檔案加以惡意利用。針對 Debian 8「Jessie」，這些問題已在 6:11.12-1~deb8u6 版本中修正。建議您升級 libav 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	嚴重性
124345	Debian DSA-4436-1：imagemagick - 安全性更新	high
124344	Debian DSA-4435-1：libpng1.6 - 安全性更新	medium
124343	Debian DLA-1770-1：gst-plugins-base1.0 安全性更新	high
124342	Debian DLA-1769-1：gst-plugins-base0.10 安全性更新	high
124341	Debian DLA-1768-1：checkstyle 安全性更新	medium
124340	Debian DLA-1767-1：monit 安全性更新	high
124339	Debian DLA-1766-1：evolution 安全性更新	medium
124307	Debian DLA-1765-1：gpac 安全性更新	high
124306	Debian DLA-1764-1：mercurial 安全性更新	medium
124283	Debian DLA-1763-1：putty 安全性更新	critical
124282	Debian DLA-1762-2：systemd 迴歸更新	high
124243	Debian DLA-1761-1：ghostscript 安全性更新	medium
124218	Debian DLA-1760-1：wget 安全性更新	critical
124217	Debian DLA-1759-1：clamav 安全性更新	high
124205	Debian DSA-4434-1：drupal7 - 安全性更新	medium
124204	Debian DLA-1758-1：debian-security-support 更新	high
124096	Debian DSA-4433-1：ruby2.3 - 安全性更新	high
124095	Debian DSA-4432-1：ghostscript - 安全性更新	medium
124094	Debian DLA-1757-1：cacti 安全性更新	medium
124065	Debian DLA-1756-1：libxslt 安全性更新	critical
124039	Debian DSA-4431-1：libssh2 - 安全性更新	critical
124038	Debian DSA-4430-1：wpa - 安全性更新	high
124037	Debian DSA-4429-1：spip - 安全性更新	high
124036	Debian DLA-1755-1：graphicsmagick 安全性更新	critical
123959	Debian DLA-1754-1：samba 安全性更新	high
123836	Debian DSA-4428-1：systemd - 安全性更新	high
123835	Debian DSA-4427-1：samba - 安全性更新	medium
123834	Debian DLA-1753-3：proftpd-dfsg 迴歸更新	high
123833	Debian DLA-1752-1：poppler 安全性更新	critical
123832	Debian DLA-1751-1：suricata 安全性更新	critical
123800	Debian DSA-4426-1：tryton-server - 安全性更新	medium
123799	Debian DSA-4425-1：wget - 安全性更新	critical
123798	Debian DLA-1750-1：roundup 安全性更新	medium
123758	Debian DSA-4424-1：pdns - 安全性更新	high
123692	Debian DSA-4423-1：putty - 安全性更新	critical
123691	Debian DSA-4422-1：apache2 - 安全性更新	high
123690	Debian DLA-1749-1：golang 安全性更新	medium
123689	Debian DLA-1748-1：apache2 安全性更新	high
123567	Debian DLA-1747-1：firmware-nonfree 安全性更新	medium
123566	Debian DLA-1746-1：drupal7 安全性更新	medium
123565	Debian DLA-1745-1：libdatetime-timezone-perl 新上游版本	high
123564	Debian DLA-1744-1：tzdata 新上游版本	high
123563	Debian DLA-1743-1：thunderbird 安全性更新	critical
123533	Debian DSA-4421-1：chromium - 安全性更新	high
123532	Debian DSA-4420-1：thunderbird - 安全性更新	critical
123531	Debian DSA-4419-1：twig - 安全性更新	low
123530	Debian DSA-4418-1：dovecot - 安全性更新	high
123529	Debian DLA-1742-1：wordpress 安全性更新	high
123528	Debian DLA-1741-1：php5 安全性更新	critical
123527	Debian DLA-1740-1：libav 安全性更新	medium

偵測

Nessus 的 Debian Local Security Checks 系列

high

medium

high

high

medium

high

medium

high

medium

critical

high

medium

critical

high

medium

high

high

medium

medium

critical

critical

high

high

critical

high

high

medium

high

critical

critical

medium

critical

medium

high

critical

high

medium

high

medium

medium

high

high

critical

high

critical

low

high

high

critical

medium