远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4272 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4272-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 8 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 aide 版本 0.17.3-4+deb11u3 CVE ID CVE-2025-54389 CVE-2025-54409


    Rajesh Pangare 在高级入侵检测系统 aide 中发现两个漏洞。本地攻击者可利用这些缺陷在报告中隐藏文件的添加或删除、篡改日志输出或在报告打印或数据库列表期间造成 aide 崩溃。


    对于 Debian 11 Bullseye这些问题已在 0.17.3-4+deb11u3 版本中修复。

    我们建议您升级 aide 程序包。

    有关 aide 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/aide

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4273 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4273-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 8 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包postgresql-13 版本 13.22-0+deb11u1 CVE ID CVE-2025-8713 CVE-2025-8714 CVE-2025-8715

    广受欢迎的数据库管理系统 postgresql-13 中发现多个漏洞

     * CVE-2025-8713针对 CVE-2017-7484 的补丁包含后续补丁旨在防止将有漏洞的函数应用到调用用户无权读取的列的统计数据数据中。已发现并解决了该保护中的一些缺陷。

     * CVE-2025-8714避免使用 pg_dump 脚本来攻击运行还原的用户。已获得源服务器的超级用户级别控制权的攻击者可能能够使其发出会被解释为 psql 元命令的文本。

     * CVE-2025-8715将换行符转换为 pg_dump 输出中的注释中包含的名称中的空格因为包含换行符的名称可将任意 SQL 命令注入到输出脚本中。

    对于 Debian 11 Bullseye这些问题已在 13.22-0+deb11u1 版本中修复。感谢 Christoph Berg (myon) 准备此上传内容。

    建议您升级 postgresql-13 程序包。

    如需了解 postgresql-13 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-13

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-5976 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5976-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 8 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-8879 CVE-2025-8880 CVE-2025-8881 CVE-2025-8882 CVE-2025-8901

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧的稳定发行版本 (bookworm)，已在版本 139.0.7258.127-1~deb12u1 中修复这些问题。

    对于稳定发行版本 (trixie)，已在版本 139.0.7258.127-1~deb13u1 中修复这些问题。此外，此更新还包括针对 CVE-2025-8576、CVE-2025-8577、CVE-2025-8578、CVE-2025-8579、CVE-2025-8580、CVE-2025-8581、CVE-2025-8582 和 CVE-2025-8583 的修复。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4271 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4271-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2025 年 8 月 13 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包linux-6.1 版本6.1.140-1~deb11u1 CVE ID CVE-2024-26618 CVE-2024-26783 CVE-2024-26807 CVE-2024-28956 CVE-2024-35790 CVE-2024-36903 CVE-2024-36927 CVE-2024-43840 CVE-2024-46751 CVE-2024-53203 CVE-2024-53209 CVE-2024-57945 CVE-2025-21645 CVE-2025-21839 CVE-2025-21931 CVE-2025-22062 CVE-2025-37819 CVE-2025-37890 CVE-2025-37897 CVE-2025-37901 CVE-2025-37903 CVE-2025-37905 CVE-2025-37909 CVE-2025-37911 CVE-2025-37912 CVE-2025-37913 CVE-2025-37914 CVE-2025-37915 CVE-2025-37917 CVE-2025-37921 CVE-2025-37923 CVE-2025-37924 CVE-2025-37927 CVE-2025-37928 CVE-2025-37929 CVE-2025-37930 CVE-2025-37932 CVE-2025-37936 CVE-2025-37947 CVE-2025-37948 CVE-2025-37949 CVE-2025-37951 CVE-2025-37953 CVE-2025-37959 CVE-2025-37961 CVE-2025-37962 CVE-2025-37963 CVE-2025-37964 CVE-2025-37967 CVE-2025-37969 CVE-2025-37970 CVE-2025-37972 CVE-2025-37990 CVE-2025-37991 CVE-2025-37992 CVE-2025-37994 CVE-2025-37995 CVE-2025-37997 CVE-2025-37998 CVE-2025-38005 CVE-2025-38007 CVE-2025-38009 CVE-2025-38015 CVE-2025-38018 CVE-2025-38020 CVE-2025-38023 CVE-2025-38024 CVE-2025-38027 CVE-2025-38094 CVE-2025-38095 CVE-2025-38177

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于 Debian 11 Bullseye这些问题已在 6.1.140-1~deb11u1 版本中修复。其中还额外包含了来自于稳定更新 6.1.138-6.1.140 的大量错误修复。

    建议您升级 linux-6.1 程序包。

    如需了解 linux-6.1 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux-6.1

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5973 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5973-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 8 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID：CVE-2024-36350 CVE-2024-36357 CVE-2024-36913 CVE-2024-41013 CVE-2024-56758 CVE-2024-57883 CVE-2025-21816 CVE-2025-22119 CVE-2025-27558 CVE-2025-37958 CVE-2025-38000 CVE-2025-38001 CVE-2025-38003 CVE-2025-38004 CVE-2025-38031 CVE-2025-38034 CVE-2025-38035 CVE-2025-38037 CVE-2025-38040 CVE-2025-38043 CVE-2025-38044 CVE-2025-38048 CVE-2025-38051 CVE-2025-38052 CVE-2025-38058 CVE-2025-38061 CVE-2025-38062 CVE-2025-38063 CVE-2025-38065 CVE-2025-38066 CVE-2025-38067 CVE-2025-38068 CVE-2025-38071 CVE-2025-38072 CVE-2025-38074 CVE-2025-38075 CVE-2025-38077 CVE-2025-38078 CVE-2025-38079 CVE-2025-38083 CVE-2025-38084 CVE-2025-38085 CVE-2025-38086 CVE-2025-38088 CVE-2025-38090 CVE-2025-38097 CVE-2025-38100 CVE-2025-38102 CVE-2025-38103 CVE-2025-38107 CVE-2025-38108 CVE-2025-38111 CVE-2025-38112 CVE-2025-38113 CVE-2025-38115 CVE-2025-38118 CVE-2025-38119 CVE-2025-38120 CVE-2025-38122 CVE-2025-38124 CVE-2025-38126 CVE-2025-38131 CVE-2025-38135 CVE-2025-38136 CVE-2025-38138 CVE-2025-38142 CVE-2025-38143 CVE-2025-38145 CVE-2025-38146 CVE-2025-38147 CVE-2025-38148 CVE-2025-38151 CVE-2025-38153 CVE-2025-38154 CVE-2025-38157 CVE-2025-38158 CVE-2025-38159 CVE-2025-38160 CVE-2025-38161 CVE-2025-38163 CVE-2025-38165 CVE-2025-38166 CVE-2025-38167 CVE-2025-38170 CVE-2025-38173 CVE-2025-38174 CVE-2025-38180 CVE-2025-38181 CVE-2025-38183 CVE-2025-38184 CVE-2025-38185 CVE-2025-38190 CVE-2025-38191 CVE-2025-38193 CVE-2025-38194 CVE-2025-38197 CVE-2025-38198 CVE-2025-38200 CVE-2025-38202 CVE-2025-38211 CVE-2025-38212 CVE-2025-38214 CVE-2025-38215 CVE-2025-38218 CVE-2025-38219 CVE-2025-38222 CVE-2025-38225 CVE-2025-38226 CVE-2025-38227 CVE-2025-38229 CVE-2025-38230 CVE-2025-38231 CVE-2025-38236 CVE-2025-38239 CVE-2025-38245 CVE-2025-38249 CVE-2025-38251 CVE-2025-38257 CVE-2025-38259 CVE-2025-38260 CVE-2025-38262 CVE-2025-38263 CVE-2025-38273 CVE-2025-38275 CVE-2025-38277 CVE-2025-38280 CVE-2025-38282 CVE-2025-38285 CVE-2025-38286 CVE-2025-38293 CVE-2025-38298 CVE-2025-38300 CVE-2025-38304 CVE-2025-38305 CVE-2025-38310 CVE-2025-38312 CVE-2025-38313 CVE-2025-38319 CVE-2025-38320 CVE-2025-38323 CVE-2025-38324 CVE-2025-38326 CVE-2025-38328 CVE-2025-38331 CVE-2025-38332 CVE-2025-38334 CVE-2025-38336 CVE-2025-38337 CVE-2025-38342 CVE-2025-38344 CVE-2025-38345 CVE-2025-38346 CVE-2025-38348 CVE-2025-38350 CVE-2025-38352 CVE-2025-38354 CVE-2025-38362 CVE-2025-38363 CVE-2025-38364 CVE-2025-38365 CVE-2025-38371 CVE-2025-38375 CVE-2025-38377 CVE-2025-38380 CVE-2025-38382 CVE-2025-38384 CVE-2025-38385 CVE-2025-38386 CVE-2025-38387 CVE-2025-38389 CVE-2025-38391 CVE-2025-38393 CVE-2025-38395 CVE-2025-38396 CVE-2025-38399 CVE-2025-38400 CVE-2025-38401 CVE-2025-38403 CVE-2025-38404 CVE-2025-38406 CVE-2025-38409 CVE-2025-38410 CVE-2025-38412 CVE-2025-38415 CVE-2025-38416 CVE-2025-38418 CVE-2025-38419 CVE-2025-38420 CVE-2025-38422 CVE-2025-38424 CVE-2025-38425 CVE-2025-38428 CVE-2025-38430 CVE-2025-38437 CVE-2025-38439 CVE-2025-38441 CVE-2025-38443 CVE-2025-38444 CVE-2025-38445 CVE-2025-38448 CVE-2025-38451 CVE-2025-38455 CVE-2025-38456 CVE-2025-38457 CVE-2025-38458 CVE-2025-38459 CVE-2025-38460 CVE-2025-38461 CVE-2025-38462 CVE-2025-38464 CVE-2025-38465 CVE-2025-38466 CVE-2025-38467 CVE-2025-38468 CVE-2025-38470 CVE-2025-38471 CVE-2025-38472 CVE-2025-38473 CVE-2025-38474 CVE-2025-38476 CVE-2025-38477 CVE-2025-38478 CVE-2025-38480 CVE-2025-38481 CVE-2025-38482 CVE-2025-38483 CVE-2025-38485 CVE-2025-38487 CVE-2025-38488 CVE-2025-38494 CVE-2025-38495 CVE-2025-38497 CVE-2025-38498 CVE-2025-38499

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于旧稳定发行版本 (bookworm)，已在版本 6.1.147-1 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4270 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4270-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 8 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包apache2 版本 2.4.65-1~deb11u1 CVE ID CVE-2024-42516 CVE-2024-43204 CVE-2024-43394 CVE-2024-47252 CVE-2025-23048 CVE-2025-49630 CVE-2025-49812 CVE-2025-53020 CVE-2025-54090

    已解决广泛使用的 Web 服务器 Apache 中的多种漏洞。

    请注意此 DLA 中包含的针对 CVE-2025-23048的补丁可能导致某些启用了 SSL 的网站遇到错误 AH02032。
    此公告的末尾提供了其他详细信息。

    CVE-2024-42516

        Apache HTTP Server 核心中的 HTTP 响应拆分允许攻击者如果能够操纵由服务器托管或代理的应用程序的 Content-Type 响应头就可以拆分 HTTP 响应

    CVE-2024-43204

        在加载 mod_proxy 的 Apache HTTP Server 中发现一个 SSRF服务器端请求伪造允许攻击者向由攻击者控制的 URL 发送出站代理请求。
        这种攻击需要不太可能的配置其中 mod_headers 被配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头

    CVE-2024-43394

        Windows 上 Apache HTTP Server 中的服务器端请求伪造 (SSRF) 允许通过传递未经验证请求输入的 mod_rewrite 或 apache 表达式可能将 NTLM 哈希泄漏给恶意服务器。

    CVE-2024-47252

        在 mod_ssl 中不充分转义用户提供的数据允许不受信任的 SSL/TLS 客户端将转义字符插入到某些配置中的日志文件中。在日志记录配置中其中 CustomLog 与 %{varname}x 或 %{varname}c 一起使用以记录 mod_ssl 提供的变量例如 SSL_TLS_SNImod_log_config 或 mod_ssl 不执行转义并且客户端提供的未审查数据可能出现在日志文件中。

    CVE-2025-23048

        使用 TLS 1.3 会话恢复可能由受信任的客户端绕过访问控制。为多个虚拟主机配置 mod_ssl 时，配置会受到影响，其中每个虚拟主机都受到一组不同的受信任客户端证书（例如具有不同 SSLCACertificateFile/Path 设置）的限制。
        在这种情况下如果未在任一虚拟主机中启用 SSLStrictSNIVHostCheck则受信任可以访问一个虚拟主机的客户端可能会访问另一个虚拟主机。

    CVE-2025-49630

        在某些代理配置中不受信任的客户端可触发针对 Apache HTTP Server 的拒绝服务攻击进而在 mod_proxy_http2 中造成断言。受影响的配置是为 HTTP/2 后端配置反向代理且 ProxyPreserveHost 设为 on。

    CVE-2025-49812

        在 Apache HTTP Server 上的某些 mod_ssl 配置中HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。仅使用 SSLEngine（可选）来启用 TLS 升级的配置会受到影响。
        已删除对 TLS 升级的支持。

    CVE-2025-53020

        在 Apache HTTP Server 中发现在有效生命周期漏洞后延迟内存释放。

    CVE-2025-54090

        Apache HTTP Server 2.4.64 中的缺陷导致所有 RewriteCond expr ... 测试的评估结果为 true

    对于 Debian 11 Bullseye这些问题已在 2.4.65-1~deb11u1 版本中修复。

    请注意在解决 CVE-2025-23048后一些启用了 SSL 的网站可能开始遇到错误 (AH02032)

        错误定向的请求
        客户端针对此请求需要一个新的连接，因为请求的主机名与用于此连接的服务器名称指示 (SNI) 不匹配。

    此行为在使用 AWS Application Load Balancer 时尤其明显。尽管它们支持智能 SNI 处理但截至撰写本文时它们并未将 SNI 数据中继到目标服务器这可在主机名不一致时导致连接失败。

    如果没有客户端提供的 SNI则每当同一个 IP:port 上有多个 vhost 监听时httpd 就无法确定应该使用哪个 vhost/配置来提供正确的证书以及最终的 TLS 认证。

    这是因为 HTTP 主机标头的读取一定要在 TLS 握手/认证/解密之后发生（TLSv1.3 无法提供更晚版本的重新协商选项）。

    因此这些连接会回退到在 TLS 握手部分的 IP:port 上声明的第一个 vhost如果请求主机标头最终匹配具有不同 TLS 配置的不同 vhost则会遭到拒绝 AH02032。

    在低于 2.4.64 的版本中检查不准确且允许这样做但存在安全隐患。

    作为变通方案，您可以在风险分析后生成通配符证书。如果您要管理多个域，请通过将每个通配符域包含为一个别名，将这些域合并为一个证书。然后更新 Apache 配置以引用此统一证书。

    另一个可能的变通方案是将每个虚拟主机配置为监听单独的端口。此方法通过确保每个 vhost 通过其自己的连接端点进行唯一寻址从而避免了与 SNI 相关的问题从而允许没有歧义的不同 TLS 配置。

    此错误也可能源于错误的 HAProxy 设置。
    在此类情况下，可能有必要在 HAProxy 上启用动态 SNI 处理，以确保在 TLS 握手期间传递正确的主机名。风险分析后认为可通过使用 sni req.hdr(Host) 指令来完成 。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5972 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5972-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 8 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包openjdk-17 CVE ID CVE-2025-30749 CVE-2025-30754 CVE-2025-50059 CVE-2025-50106

    在 OpenJDK Java 运行时中发现数个漏洞其可导致拒绝服务、信息泄露或 TLS 连接削弱。

    对于旧稳定发行版本 (bookbird)已在版本 17.0.16+8-1~deb12u1 中修复这些问题。

    我们建议您升级 openjdk-17 程序包。

    如需了解 openjdk-17 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4269 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4269-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 8 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包ca-certificates-java 版本20230710~deb12u1~deb11u1 Debian 缺陷929685 1037478 1041419 1043247

    修复了多个缺陷在某些情况下这些缺陷可中断 Java 和 ca-certificates 程序包的升级。

    对于 Debian 11 Bullseye已在版本 20230710~deb12u1~deb11u1 中修复此问题。

    我们建议您升级 ca-certificates-java 程序包。

    有关 ca-certificates-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/ca-certificates-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有受 dla-4268 公告中提及的漏洞影响的程序包。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4268-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 8 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包node-tmp 版本 0.2.1+dfsg-1+deb11u1 CVE ID CVE-2025-54798 Debian 缺陷1110532

    已修复 Node.js 的临时文件和目录创建工具 node-tmp 中的任意文件写入。

    对于 Debian 11 Bullseye此问题已在 0.2.1+dfsg-1+deb11u1 版本中修复。

    我们建议您升级 node-tmp 程序包。

    有关 node-tmp 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/node-tmp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-4266 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4266-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Stefano Rivera 2025 年 8 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：distro-info-data 版本：0.51+deb11u9

    这是针对 Debian LTS 用户的 distro-info-data 数据库的例行更新。

    它添加了 Debian 13 Trixie 的版本和预计 EoL 日期。
    还包括适用于 Ubuntu 旧版支持的一个新的 eol-legacy 列。

    对于 Debian 11 bullseye，已在 0.51+deb11u9 版本中修复此问题。

    我们建议您升级 distro-info-data 程序包。

    如需了解 distro-info-data 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/distro-info-data

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4267 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4267-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 8 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：gnutls28 版本：3.7.1-5+deb11u8 CVE ID：CVE-2025-6395 CVE-2025-32988 CVE-2025-32990

    已在 GnuTLS（实现 SSL、TLS 和 DTLS 协议的库）中修复多种漏洞。

    CVE-2025-6395

        当第二次 Client Hello 忽略 PSK 时触发空取消引用

    CVE-2025-32988

        若在 SAN 中导出 otherName 时出错，则触发双重释放

    CVE-2025-32990

        certtool 中的单字节写入缓冲区溢出

    对于 Debian 11 bullseye，已在 3.7.1-5+deb11u8 版本中修复这些问题。

    我们建议您升级 gnutls28 程序包。

    如需了解 gnutls28 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gnutls28

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4265 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4265-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 8 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：modsecurity-crs 版本：3.3.4-1~deb11u1 CVE ID：CVE-2020-22669 CVE-2022-39955 CVE-2022-39956 CVE-2022-39957 CVE-2022-39958 Debian 缺陷：1021137

    已修复 modsecurity-crs（一组与 ModSecurity 配合使用的通用攻击检测规则）中的多个问题。

    CVE-2020-22669

        SQL 注入绕过

    CVE-2022-39955

        部分规则集绕过

    CVE-2022-39956

        部分规则集绕过

    CVE-2022-39957

        响应正文绕过

    CVE-2022-39958

        响应正文绕过

    对于 Debian 11 bullseye，已在 3.3.4-1~deb11u1 版本中修复这些问题。

    我们建议您升级 modsecurity-crs 程序包。

    如需了解 modsecurity-crs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5971 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5971-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 8 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-8576 CVE-2025-8577 CVE-2025-8578 CVE-2025-8579 CVE-2025-8580 CVE-2025-8581 CVE-2025-8582 CVE-2025-8583

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookbird)已在版本 139.0.7258.66-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4258 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4258-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libfastjson 版本0.99.9-1+deb11u1 CVE ID CVE-2020-12762


    在 libfastjsonC 的快速 json 库中发现一个问题。
    由于缺少检查，解析大型 JSON 文件时可能会发生越界写入。



    对于 Debian 11 Bullseye已在版本 0.99.9-1+deb11u1 中修复此问题。

    我们建议您升级 libfastjson 程序包。

    有关 libfastjson 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libfastjson

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4264 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4264-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 8 月 4 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 exempi 版本 2.5.2-1+deb11u1 CVE ID CVE-2021-36045 CVE-2021-36046 CVE-2021-36047 CVE-2021-36048 CVE-2021-36050 CVE-2021-36051 CVE-2021-36052 CVE-2021-36053 CVE-2021-36054 CVE-2021-36055 CVE-2021-36056 CVE-2021-36057 CVE-2021-36058 CVE-2021-36064 CVE-2021-39847 CVE-2021-40716 CVE-2021-40732 CVE-2021-42528 CVE-2021-42529 CVE-2021-42530 CVE-2021-42531 CVE-2021-42532

    修复了 XMP可扩展元数据平台的实现 Exempi中的多种漏洞。

    CVE-2021-36045

        越界访问

    CVE-2021-36046

        越界访问

    CVE-2021-36047

        不当输入验证

    CVE-2021-36048

        不当输入验证

    CVE-2021-36050

        基于堆的缓冲区溢出

    CVE-2021-36051

        基于堆的缓冲区溢出

    CVE-2021-36052

        越界访问

    CVE-2021-36053

        越界访问

    CVE-2021-36054

        基于堆的缓冲区溢出

    CVE-2021-36055

        基于堆的缓冲区溢出

    CVE-2021-36056

        基于堆的缓冲区溢出

    CVE-2021-36057

        写入内容条件

    CVE-2021-36058

        整数溢出或回绕

    CVE-2021-36064

        缓冲区 Underwrite

    CVE-2021-39847

        基于堆栈的缓冲区溢出

    CVE-2021-40716

        越界访问

    CVE-2021-40732

        空指针取消引用

    CVE-2021-42528

        空指针取消引用

    CVE-2021-42529

        基于堆栈的缓冲区溢出

    CVE-2021-42530

        基于堆栈的缓冲区溢出

    CVE-2021-42531

        基于堆栈的缓冲区溢出

    CVE-2021-42532

        基于堆栈的缓冲区溢出

    对于 Debian 11 Bullseye已在 2.5.2-1+deb11u1 版本中修复这些问题。

    建议您升级 exempi 程序包。

    有关 exempi 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/exempi

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4263 公告中提及的漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4263-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 8 月 4 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包ruby-graphql 版本1.11.12-0+deb11u1 CVE ID CVE-2025-27407 Debian 缺陷1100442

    ruby-graphql 是 Ruby 的 GraphQL 语言和运行时。已发现在“GraphQL::Schema.from_introspection”或“GraphQL::Schema::Loader.load”中加载恶意方案定义会导致远程代码执行。
    从未受信任来源通过 JSON 加载架构的任何系统均容易受到攻击包括通过 GraphQL 自检使用 GraphQL::Client 加载外部架构的系统。

    对于 Debian 11 Bullseye已在版本 1.11.12-0+deb11u1 中修复此问题。

    我们建议您升级 ruby-graphql 程序包。

    有关 ruby-graphql 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/ruby-graphql

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4260 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4260-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 8 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包sope 版本5.0.1-2+deb11u1 CVE ID CVE-2025-53603 Debian 缺陷1108798

    Stefan Buehler 发现sope这是为 SOGo 提供支持的一组 Objective-C 框架集中的一个缺陷可能会通过特别构建的 POST 请求造成拒绝服务。

    对于 Debian 11 Bullseye已在版本 5.0.1-2+deb11u1 中修复此问题。

    我们建议您升级 sope 程序包。

    有关 sope 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/sope

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4262 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4262-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 8 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libcommons-lang-java 版本2.6-9+deb11u1 CVE ID CVE-2025-48924 Debian 缺陷1109126

    在为标准 Java 类提供帮助程序方法的一组 Java 类libcommons-lang-java 中发现一个漏洞。

    CVE-2025-48924

       在 ClassUtils.getClass() 中发现不受控制的递归漏洞可导致极长输入出现 StackOverflowError。

    对于 Debian 11 Bullseye已在版本 2.6-9+deb11u1 中修复此问题。

    我们建议您升级 libcommons-lang-java 程序包。

    有关 libcommons-lang-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libcommons-lang-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有受 dla-4261 公告中提及的漏洞影响的程序包。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4261-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 7 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包node-form-data 版本3.0.0-2+deb11u1 CVE ID CVE-2025-7783 Debian 缺陷1109551

    已发现 Node.js 应用程序中用于创建 multipart/form-data 流模块的工具 node-form-data 中存在潜在的 HTTP 参数污染 (HPP) 问题。

    对于 Debian 11 Bullseye已在版本 3.0.0-2+deb11u1 中修复此问题。

    我们建议您升级 node-form-data 程序包。

    有关 node-form-data 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/node-form-data

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5969 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5969-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包redis CVE ID CVE-2025-27151 CVE-2025-32023 CVE-2025-48367 Debian 缺陷1106822 1108975 1108981

    持久性键值数据库 Redis 中发现数个安全问题可导致执行任意代码或拒绝服务。

    对于稳定发行版本 (bookbird)已在版本 5:7.0.15-1~deb12u5 中修复这些问题。

    建议您升级 redis 程序包。

    如需了解 redis 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/redis

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5970 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5970-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包sope CVE ID CVE-2025-53603 Debian 缺陷1108798

    Stefan Buehler 发现sope这是为 SOGo 提供支持的一组 Objective-C 框架集中的一个缺陷可能会通过特别构建的 POST 请求造成拒绝服务。

    对于稳定发行版本 (bookbird)已在版本 5.8.0-1+deb12u1 中修复此问题。

    我们建议您升级 sope 程序包。

    有关 sope 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/sope

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4259 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4259-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 7 月 30 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：systemd 版本：247.3-7+deb11u7 CVE ID：CVE-2025-4598 Debian 错误：1106785

    Qualys Threat Research Unit (TRU) 发现 systemd-coredump 容易出现 kill-and-replace 争用条件，这可能允许本地攻击者从崩溃的 SUID 进程中获取敏感信息。
    此外，systemd-coredump 未在 /proc/sys/kernel/core_pattern 中指定 %d（内核中每个进程的可转储标记），从而允许本地攻击者崩溃那些执行 fork() 并通过 setuid() 将 UID 设为攻击者 UID 的根后台程序，进而获取核心转储文件的读取权限，最终窃取根后台程序内存中的敏感信息。

    可在 https://www.qualys.com/2025/05/29/apport-coredump/apport-coredump.txt 处 Qualys 公告中找到详细信息

    对于 Debian 11 bullseye，已在 247.3-7+deb11u7 版本中修复此问题。

    我们建议您升级 systemd 程序包。

    如需了解 systemd 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/systemd

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5968 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5968-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 30 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-8292

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，此问题已在版本 138.0.7204.183-1~deb12u1 中修复。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5967 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5967-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：php8.2 CVE ID：CVE-2025-1220 CVE-2025-1735 CVE-2025-6491

    广泛使用的开源通用脚本语言 PHP 中发现多个安全问题可导致拒绝服务或服务器端请求伪造。

    对于稳定发行版本 (bookbird)已在版本 8.2.29-1~deb12u1 中修复这些问题。

    我们建议您升级 php8.2 程序包。

    如需了解 php8.2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php8.2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4255 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4255-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 audiofile 版本0.3.6-5+deb11u1 CVE ID CVE-2019-13147 CVE-2022-24599


    audiofile 库允许将音频数据处理入/出许多常见格式目前的音频文件格式当前为 AIFF、AIFF-C、WAVE、NeXT/Sun、BICS 和 raw data。

    CVE-2019-13147

        Audiofile 因整数溢出而容易受到攻击。
        如果 NeXT 音频文件包含过多通道，提早退出。

    CVE-2022-24599

        发现内存泄漏这是因为读取非空终止版权字段所导致。预先分配归零内存并始终以 NUL 终止 C 字符串。


    对于 Debian 11 Bullseye已在版本 0.3.6-5+deb11u1 中修复这些问题。

    建议您升级 audiofile 程序包。

    有关 audiofile 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/audiofile

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4254 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4254-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包php7.4 版本 7.4.33-1+deb11u9 CVE ID CVE-2025-1220 CVE-2025-1735 CVE-2025-6491

    在广泛使用的开源通用脚本语言 PHP 中发现多个安全问题可导致服务器端请求伪造或拒绝服务。

    CVE-2025-1220

        Jihwan Kim 发现 fsockopen() 缺少对所提供的主机名中不包含空字符的验证这可能导致 parse_url() 等其他函数以错误的方式处理主机名从而可能导致服务器端请求伪造。

    CVE-2025-1735

        已发现 pgsql 和 pdo_pgsql 转义函数不检查底层引用函数是否返回错误从而可能因空指针取消引用而导致崩溃。

        此问题与 已报告给 PostgreSQL 的 CVE-2025-1094 有关。

    CVE-2025-6491

        Ahmed Lekssays 发现以大于 2G 的标准名称创建的 SoapVar 实例可能因空指针取消引用而导致拒绝服务。

    对于 Debian 11 Bullseye这些问题已在 7.4.33-1+deb11u9 版本中修复。

    我们建议您升级 php7.4 程序包。

    如需了解 php7.4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php7.4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4256 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4256-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libetpan 版本1.9.4-3+deb11u1 CVE ID CVE-2022-4121


    已发现用于处理电子邮件的低级库 libetpan 中存在潜在的空指针取消引用漏洞。


    对于 Debian 11 Bullseye已在版本 1.9.4-3+deb11u1 中修复此问题。

    我们建议您升级 libetpan 程序包。

    如需了解 libetpan 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libetpan

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4257 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4257-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 7 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libcaca 版本0.99.beta19-2.2+deb11u1 CVE ID CVE-2021-30498 CVE-2021-30499


    在颜色 ASCII art 库 libcaca 中发现两个问题。
    两者都与堆缓冲区溢出有关，可能导致内存损坏。



    对于 Debian 11 Bullseye这些问题已在 0.99.beta19-2.2+deb11u1 版本中修复。

    建议您升级 libcaca 程序包。

    如需了解 libcaca 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libcaca

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4251 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4251-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 26 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libxml2 版本：2.9.10+dfsg-6.7+deb11u8 CVE ID：CVE-2024-34459 CVE-2025-6021 CVE-2025-6170 CVE-2025-49794 CVE-2025-49796 Debian 缺陷：1071162 1107720 1107755 1107938

    在 GNOME XML 库 libxml2 中发现了多个安全问题，这些问题可能导致拒绝服务，甚至可能执行任意代码。

    CVE-2024-34459

        Zhineng Zhong 发现包含“xmllint
        --htmlout”的格式错误消息可导致缓冲区过度读取。

    CVE-2025-6021

        Ahmed Lekssays 发现“xmlBuildQName()”中存在整数溢出问题，可能在处理构建的输入时导致内存损坏或拒绝服务。

    CVE-2025-6170

        Ahmed Lekssays 发现 xmllint 中交互式 shell 的命令解析逻辑中存在一个基于堆栈的缓冲区溢出问题。

    CVE-2025-49794

        Nikita Sveshnikov 在 schematron 中发现一个堆释放后使用问题。在处理 Schematron 模式元素“<sch:name path=/>”中的 XPath 表达式时，会返回一个指向已释放内存的指针，进而加以访问，从而导致不明行为或潜在的崩溃。

    CVE-2025-49796

        Nikita Sveshnikov 在 schematron 中发现一个类型混淆问题。处理“sch:name”元素并访问命名空间信息可能会导致内存损坏或未定义行为。

    对于 Debian 11 bullseye，已在 2.9.10+dfsg-6.7+deb11u8 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4252 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4252-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 7 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 : snapcast 版本 : 0.23.0+dfsg1-1+deb11u1 CVE ID : CVE-2023-36177

    在多空间客户端服务器音频播放器 snapcast 中发现一个 RCE 漏洞。

    CVE-2023-36177

       远程攻击者可通过在 JSON-RPC-API 中构建的请求来执行任意代码并获取敏感信息。此修复程序不支持该进程流类型。

    对于 Debian 11 bullseye，已在版本 0.23.0+dfsg1-1+deb11u1 中修复此问题。

    我们建议您升级 snapcast 程序包。

    如需了解 snapcast 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/snapcast

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4253 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4253-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 27 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 : thunderbird 版本 : 1:128.12.0esr-1~deb11u1 CVE ID : CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:128.13.0esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5966 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5966-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于稳定发行版本 (bookworm)，已在 1:128.13.0esr-1~deb12u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4250 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4250-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：firefox-esr 版本：128.13.0esr-1~deb11u1 CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

    对于 Debian 11 bullseye，已在 128.13.0esr-1~deb11u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5965 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5965-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 24 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-8010 CVE-2025-8011

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 138.0.7204.168-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5964 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5964-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 7 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2025-8027 CVE-2025-8028 CVE-2025-8029 CVE-2025-8030 CVE-2025-8031 CVE-2025-8032 CVE-2025-8033 CVE-2025-8034 CVE-2025-8035

    Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

    对于稳定发行版本 (bookworm)，已在 128.13.0esr-1~deb12u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4249 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4249-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 23 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：mediawiki 版本 : 1:1.35.13-1+deb11u4 CVE ID：CVE-2025-3469 CVE-2025-6590 CVE-2025-6591 CVE-2025-6593 CVE-2025-6594 CVE-2025-6595 CVE-2025-6597 CVE-2025-6926 CVE-2025-32072 CVE-2025-32696 CVE-2025-32698 CVE-2025-32699

    在用于协同工作的网站引擎 mediawiki 中发现多个安全漏洞，可导致信息泄露或特权提升。

    CVE-2025-3469

        用户输入在网页生成期间未得到正确审查，这可通过跨站脚本导致信息泄露或特权提升。

    CVE-2025-6590

        在密码重置表单中，用户输入未经审查，这可导致通过嵌入包含泄露专用页面的信息。

    CVE-2025-6591

        API `action=feedcontributions` 输出中因 i18n 消息引起的 HTML 注入。

    CVE-2025-6593

        {{SITENAME}} 注册的电子邮件地址已更改。电子邮件曾发送至未经验证的电子邮件地址，这可能会导致信息泄露。

    CVE-2025-6594

        Special:ApiSandbox 中的 XSS。尽管此已知问题在 1.39 中不可利用，但向后移植的更改会提供一些安全强化措施，以防万一。

    CVE-2025-6595

        因 MultimediaViewer 中的系统消息引起的存储型 XSS。

    CVE-2025-6597

        出于安全重新验证的目的，自动创建被视为登录操作。但是，它不一定涉及实时用户识别，因为它可以基于某些根据会话 Cookie 或类似低精确度信息识别用户的提供程序。控制了 CentralAuth 会话 Cookie（在任何 wiki 上有效）的攻击者可刚好访问用户没有本地帐户的 wiki，自动创建一个帐户，然后更改凭据或执行其他敏感操作。

    CVE-2025-6926

        允许扩展程序在登录时屏蔽重新验证标记。此变通方案适用于通过登录页面实现某种自动登录操作的扩展程序，以指示登录流不涉及用户实际登录，它仅复制了一些中心登录状态，因此不适用于重新验证标记。

    CVE-2025-32072

        摘要输出中因 i18n 消息引起的 HTML 注入。

    CVE-2025-32696

         reupload-own 限制可通过恢复文件绕过。

    CVE-2025-32698

        未在 LogPager.php 中正确强制实施禁止限制。

    CVE-2025-32699

        操作 API 中的 Unicode 规范化可能引起 javascript 注入攻击。

    对于 Debian 11 bullseye，已在 1:1.35.13-1+deb11u4 版本中修复这些问题。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4248 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4248-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 7 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package : openjdk-11 版本 : 11.0.28+6-1~deb11u1 CVE ID CVE-2025-30749 CVE-2025-30754 CVE-2025-30761 CVE-2025-50059 CVE-2025-50106

    在 OpenJDK Java Runtime 中发现数个漏洞其可导致拒绝服务、信息泄露或绕过沙盒限制。

    对于 Debian 11 Bullseye这些问题已在 11.0.28+6-1~deb11u1 版本中修复。

    我们建议您升级 openjdk-11 程序包。

    如需了解 openjdk-11 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-11

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4246 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libowasp-esapi-java 版本2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 缺陷10103391109378

    在 libowasp-esapi-java一种 Java Enterprise Security API 中发现数个安全漏洞。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在此更新之前“Validator.getValidDirectoryPath(String, String, File, boolean)”的默认实现可能错误地将测试的输入字符串视为指定父目录的子目录。如果攻击可以指定表示“输入”路径的完整字符串则其可能允许控制流绕过检查遭到破坏。

    CVE-2022-24891:

        在 ESAPI 中可能存在跨站脚本漏洞原因是 ESAPI 中 onsiteURL 的错误正则表达式。
        **antisamy-esapi.xml** 配置文件可造成无法正确清理 javascriptURL。

    CVE-2025-5878:

        此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。我们不知道 Debian 中的任何受影响的反向依存关系但是如果您在独立的项目中使用 ESAPI您应该注意Encoder.encodeForSQL 方法已被弃用并且最终将被删除。此外DB2Codec、MySQLCodec 和 OracleCodec 类也已被弃用。建议仔细评估 项目是否会受到这些类和方法的影响以及是否必须实施其他步骤来保护应用程序。此更新不会自动保护您免受任何潜在风险。

    对于 Debian 11 Bullseye已在 2.4.0.0-0+deb11u1 版本中修复这些问题。

    我们建议您升级 libowasp-esapi-java 程序包。

    有关 libowasp-esapi-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4245 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4245-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libcommons-fileupload-java 版本1.4-1+deb11u1 CVE ID CVE-2023-24998 CVE-2025-48976 Debian 缺陷10317331108120

    在 libcommons-fileupload-java 中发现两个安全漏洞这是一个 能够为 servlet 和 Web 应用程序添加强大、高性能文件上传功能的 Java 库。

    CVE-2023-24998:

        Apache Commons FileUpload 未限制要处理的请求部分的数量导致攻击者可能通过恶意上传或一系列上传触发 DoS。请注意与所有文件上传限制一样新配置选项 (FileUploadBase#setFileCountMax) 默认不启用且必须明确配置。

    CVE-2025-48976:

        限制不足的多部分标头的资源分配在 Apache Commons FileUpload 中启用了一个 DoS 漏洞。

    对于 Debian 11 Bullseye这些问题已在 1.4-1+deb11u1 版本中修复。

    建议您升级 libcommons-fileupload-java 程序包。

    有关 libcommons-fileupload-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libcommons-fileupload-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4244 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4244-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 : tomcat9 版本 : 9.0.107-0+deb11u1 CVE ID : CVE-2024-34750 CVE-2024-54677 CVE-2025-31650 CVE-2025-31651 CVE-2025-46701 CVE-2025-48976 CVE-2025-48988 CVE-2025-49125 CVE-2025-52434 CVE-2025-52520 CVE-2025-53506

    在 Java Web 服务器和 servlet 引擎 Tomcat 9 中发现多个安全漏洞。最值得注意的是，本次更新改进了 HTTP/2 连接的处理方式，并修正了可能导致不受控制资源消耗和拒绝服务的多种缺陷。

    对于 Debian 11 bullseye，已在 9.0.107-0+deb11u1 版本中修复这些问题。

    我们建议您升级 tomcat9 程序包。

    如需了解 tomcat9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/tomcat9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4247 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4247-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包djvulibre 版本3.5.28-2.2~deb11u1 CVE ID CVE-2021-46310 CVE-2021-46312 CVE-2025-53367 Debian 缺陷1052668 1052669 1108729

    修复了 DjVuLibre用于处理 DjVu 格式文档的库和工具 中的多种漏洞。

    CVE-2021-46310

        IW44Image::Map::image() 中的除以零

    CVE-2021-46312

        IWBitmap::Encode::init() 中的除以零

    CVE-2025-53367

        MMRDecoder 中的缓冲区溢出

    对于 Debian 11 Bullseye已在 3.5.28-2.2~deb11u1 版本中修复这些问题。

    建议您升级 djvulibre 程序包。

    如需了解 djvulibre 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/djvulibre

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4243 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4243-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包batik 版本1.12-4+deb11u3 CVE ID CVE-2020-11987 CVE-2022-38398 CVE-2022-38648 CVE-2022-40146 Debian 缺陷9848291020589

    Batik SVG toolkit for Java 中已修复多种服务器端请求伪造情况。

    对于 Debian 11 Bullseye这些问题已在 1.12-4+deb11u3 版本中修复。

    建议您升级 batik 程序包。

    有关 batik 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/batik

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4242 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4242-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包angle.js 版本1.8.3-1+deb12u1~deb11u1 CVE ID CVE-2022-25844 CVE-2023-26116 CVE-2023-26117 CVE-2023-26118 CVE-2024-8372 CVE-2024-8373 CVE-2024-21490 CVE-2025-0716 CVE-2025-2336 Debian 缺陷 #1014779 #1036694 #1088804 #1088805 #1104485

    流行的 JavaScript 框架 Angular.js 受到多种漏洞的影响。

    CVE-2022-25844

        通过提供自定义区域设置规则发现一个正则表达式拒绝服务漏洞 (ReDoS)可以为 NUMBER_FORMATS.PATTERNS[1].posPre 的 posPre: ' '.repeat() 中的参数分配非常高的值

    CVE-2023-26116

        由于使用不安全的正则表达式因此通过 angle.copy() 实用工具函数发现正则表达式拒绝服务 (ReDoS)。

    CVE-2023-26117

        由于使用不安全的正则表达式通过 $resource 服务发现正则表达式拒绝服务 (ReDoS)。

    CVE-2023-26118

        由于在 input[url] 功能中使用不安全的正则表达式通过 <input type=url> 元素发现正则表达式拒绝服务 (ReDoS)。
        可能通过精心构建的大型输入利用此漏洞，这可导致灾难性回溯。

    CVE-2024-8372

        AngularJS 中对“srcset”属性值的未正确审查允许攻击者绕过常见图像源限制其也可导致某种形式的内容欺骗

    CVE-2024-8373

        在 AngularJS 中未正确审查 <source> HTML 元素中的 [srcset] 属性值可让攻击者绕过常见图像源限制其也可导致某种形式的内容伪造

    CVE-2024-21490

        用于拆分 ng-srcset 指令值的正则表达式容易受到因回溯导致的超线性运行时的影响。通过大量精心构建的输入这可导致灾难性的回溯并造成拒绝服务。

    CVE-2025-0716

        在 AngularJS 中未正确审查“<image>”SVG 元素中的 'href' 和 'xlink:href' 属性的值允许攻击者绕过常见图像源限制。这可能导致一种形式的内容欺骗 。

    CVE-2025-2336

        已发现在 ngSanitize 模块中存在不当审查漏洞可让攻击者绕过通常应用于图像元素的图像来源限制。此绕过可导致某种形式的内容欺骗。同样地, 应用程序的性能和行为可能会受到使用过大或过慢加载图像的负面影响。

    对于 Debian 11 Bullseye这些问题已在 1.8.3-1+deb12u1~deb11u1 版本中修复。

    我们建议您升级 angular.js 程序包。

    如需 angle.js 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/angular.js

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5963 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5963-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 7 月 17 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-6558 CVE-2025-7656 CVE-2025-7657

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。Google 发现在现实环境中存在利用 CVE-2025-6558 漏洞的情形。

    对于稳定发行版本 (bookworm)，已在版本 138.0.7204.157-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5962 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5962-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 7 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gnutls28 CVE ID：CVE-2025-6395 CVE-2025-32988 CVE-2025-32989 CVE-2025-32990

    在 GNU TLS 中发现多个安全问题，这些问题会造成拒绝服务。

    对于稳定发行版本 (bookworm)，已在 3.7.9-2+deb12u5 版本中修复这些问题。

    我们建议您升级 gnutls28 程序包。

    如需了解 gnutls28 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gnutls28

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4241 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4241-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包ffmpeg 版本 7:4.3.9-0+deb11u1 CVE ID CVE-2023-6601 CVE-2023-6602 CVE-2023-6604 CVE-2023-6605

    已修复多媒体框架 FFmpeg 中的多种漏洞。

    CVE-2023-6601

        通过 base64 数据 URI 触发任意 demuxers

    CVE-2023-6602

        未正确解析 HLS 播放列表中的输入文件

    CVE-2023-6604

        将任意数据多路分解为 XBIN 格式的数据

    CVE-2023-6605

        通过构建的 DASH 播放列表发起的任意 HTTP GET 请求

    对于 Debian 11 Bullseye这些问题已在版本 7:4.3.9-0+deb11u1 中修复。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4240 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4240-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 7 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包redis 版本 5:6.0.16-1+deb11u7 CVE ID CVE-2025-32023 CVE-2025-48367 Debian 缺陷1108975 1108981

    在键值数据库 Redis 中发现两个问题

    * CVE-2025-32023经过认证的用户可能在 hyperloglog 操作期间使用特别构建的字符串触发堆栈/堆越界写入从而可能导致远程代码执行漏洞。使用 Redis 的 ACL 系统来限制 hyperloglog HLL 命令的安装不受此问题的影响。

    * CVE-2025-48367未经认证的连接可造成重复的 IP 协议错误从而导致客户端匮乏并最终转变为拒绝服务 (DoS) 攻击。

    对于 Debian 11 Bullseye这些问题已在版本 5:6.0.16-1+deb11u7 中修复。

    建议您升级 redis 程序包。

    如需了解 redis 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/redis

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4239 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4239-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:128.12.0esr-1~deb11u1 CVE ID：CVE-2025-5986 CVE-2025-6424 CVE-2025-6425 CVE-2025-6429 CVE-2025-6430

    已修复电子邮件、日历和联系人客户端 Thunderbird 中的多种漏洞。

    CVE-2025-5986

        通过 mailbox:/// 链接造成未经请求的文件下载、磁盘空间耗尽和凭据泄漏

    CVE-2025-6424

        FontFaceSet 中的释放后使用漏洞

    CVE-2025-6425

        随附的 WebCompat WebExtension 暴露了一个持久性 UUID

    CVE-2025-6429

        URL 解析不正确可允许嵌入 youtube.com

    CVE-2025-6430

        当文件包含在嵌入或对象标签中时，忽略 Content-Disposition 标头

    对于 Debian 11 bullseye，已在 1:128.12.0esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4238 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4238-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 7 月 09 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包sslh 版本1.20-1+deb11u1 CVE ID CVE-2025-52936 Debian 缺陷1108284

    发现经常用于在同一端口上共享 SSH 和 HTTPS 的协议多路复用器 sslh 中存在所谓的链接跟踪漏洞。

    对于 Debian 11 Bullseye此问题已在版本 1.20-1+deb11u1 中修复。

    我们建议您升级 sslh 程序包。

    有关 sslh 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/sslh

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5961 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5961-1 security@debian.org https://www.debian.org/security/Shengqi Chen 2025 年 7 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包slurm-wlm CVE ID CVE-2025-43904 Debian 缺陷1104929

    HPE 的 Seiko Diakite 发现群集资源管理和作业调度系统 Slurm Workload Manager 的会计系统内协调器的权限处理存在错误可允许协调器将用户升级为管理员。

    - - 对于稳定发行版本 (bookbird)已在版本 22.05.8-4+deb12u3 中修复此问题。

    建议您升级 slurm-wlm 程序包。

    有关 slurm-wlm 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/slurm-wlm

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
249340	Debian dla-4272aide - 安全更新	medium
249339	Debian dla-4273libecpg-compat3 - 安全更新	high
249334	Debian dsa-5976：chromium - 安全更新	high
249178	Debian dla-4271linux-config-6.1 - 安全更新	medium
249177	Debian dsa-5973：affs-modules-6.1.0-37-4kc-malta-di - 安全更新	high
249166	Debian dla-4270apache2 - 安全更新	critical
249165	Debian dsa-5972openjdk-17-dbg - 安全更新	high
248492	Debian dla-4269ca-certificates-java - 安全更新	high
247836	Debian dla-4268node-tmp - 安全更新	low
247819	Debian dla-4266：distro-info-data - 安全更新	high
247128	Debian dla-4267：gnutls-bin - 安全更新	medium
246422	Debian dla-4265：modsecurity-crs - LTS 安全更新	critical
244213	Debian dsa-5971chromium - 安全更新	critical
243394	Debian dla-4258libfastjson-dev - 安全更新	high
243315	Debian dla-4264exempi - 安全更新	high
243314	Debian dla-4263ruby-graphql - 安全更新	critical
243305	Debian dla-4260libsope-dev - 安全更新	high
243262	Debian dla-4262libcommons-lang-java - 安全更新	medium
243243	Debian dla-4261node-form-data - 安全更新	critical
243242	Debian dsa-5969redis - 安全更新	high
243241	Debian dsa-5970libsope-dev - 安全更新	high
243213	Debian dla-4259：libnss-myhostname - 安全更新	medium
243212	Debian dsa-5968：chromium - 安全更新	high
242935	Debian dsa-5967libapache2-mod-php8.2 - 安全更新	medium
242900	Debian dla-4255audiofile-tools - 安全更新	medium
242899	Debian dla-4254libapache2-mod-php7.4 - 安全更新	medium
242884	Debian dla-4256libetpan-dev - 安全更新	medium
242883	Debian dla-4257caca-utils - 安全更新	high
242881	Debian dla-4251：libxml2 - 安全更新	low
242880	Debian dla-4252 : snapclient - 安全更新	critical
242879	Debian dla-4253 : thunderbird - 安全更新	critical
242878	Debian dsa-5966 : thunderbird - 安全更新	critical
242674	Debian dla-4250：firefox-esr - 安全更新	critical
242666	Debian dsa-5965：chromium - 安全更新	high
242648	Debian dsa-5964：firefox-esr - 安全更新	critical
242647	Debian dla-4249：mediawiki - 安全更新	medium
242616	Debian dla-4248openjdk-11-dbg - 安全更新	high
242493	Debian dla-4246libowasp-esapi-java - 安全更新	medium
242492	Debian dla-4245libcommons-fileupload-java - 安全更新	high
242491	Debian dla-4244 : libtomcat9-embed-java - 安全更新	high
242475	Debian dla-4247djview - 安全更新	high
242417	Debian dla-4243libbatik-java - 安全更新	high
242412	Debian dla-4242libjs-anglejs - 安全更新	medium
242238	Debian dsa-5963：chromium - 安全更新	high
242186	Debian dsa-5962 ：gnutls-bin - 安全更新	medium
242064	Debian dla-4241ffmpeg - 安全更新	medium
242032	Debian dla-4240redis - 安全更新	high
242006	Debian dla-4239：thunderbird - 安全更新	critical
241668	Debian dla-4238sslh - 安全更新	critical
241522	Debian dsa-5961libpam-slurm - 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

medium

high

high

medium

high

critical

high

high

low

high

medium

critical

critical

high

high

critical

high

medium

critical

high

high

medium

high

medium

medium

medium

medium

high

low

critical

critical

critical

critical

high

critical

medium

high

medium

high

high

high

high

medium

high

medium

medium

high

critical

critical

high