Tobias Schneider 发现，当用户名正确，未绑定其他属性，并且将 LDAP BindAuthenticator 与 DefaultTlsDirContextAuthenticationStrategy 用作身份验证策略并设置 userSearch 时，Spring-LDAP 允许使用任意密码进行身份验证。出现此问题是因为某些 LDAP 供应商要求显式操作才能使 LDAP 绑定生效。针对 Debian 7“Wheezy”，这些问题已在版本 1.3.1.RELEASE-4+deb7u1 中修复。建议您升级 libspring-ldap-java 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Steading System Software LLP 的 Rod Widdowson 在 Shibboleth Service Provider 的“Dynamic”元数据插件中发现一个编码错误，导致该插件无法使用提供的筛选器自行配置，并且忽略其应当执行的任何检查。针对 Debian 7“Wheezy”，这些问题已在版本 2.4.3+dfsg-5+deb7u2 中修复。我们建议您升级 shibboleth-sp2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Steading System Software LLP 的 Rod Widdowson 在 OpenSAML 库中发现一个编码错误，导致 DynamicMetadataProvider 类无法使用提供的筛选器自行配置，并且忽略其应当执行的任何检查。对于 Debian 7“Wheezy”，这些问题已在 2.4.3-4+deb7u2 版本中修复。我们建议您升级 opensaml2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 PDF 渲染库 poppler 受到数个拒绝服务（应用程序崩溃）、空指针取消引用和基于堆的缓冲区过度读取错误的影响：CVE-2017-14975 FoFiType1C.cc 中的 FoFiType1C::convertToType0 函数由于某个数据结构未初始化而存在一个空指针取消引用漏洞，从而允许攻击者发起拒绝服务攻击。CVE-2017-14976 FoFiType1C.cc 中的 FoFiType1C::convertToType0 函数如果遇到越界字体字典索引则存在一个基于堆的缓冲区过度读取漏洞，从而允许攻击者发起拒绝服务攻击。CVE-2017-14977 FoFiTrueType.cc 中的 FoFiTrueType::getCFFBlock 函数由于缺少对某个表指针的验证而存在一个空指针取消引用漏洞，从而允许攻击者发起拒绝服务攻击。CVE-2017-15565 GfxState.cc 中的 GfxImageColorMap::getGrayLine() 函数存在空指针取消引用漏洞，可通过特制的 PDF 文档触发。对于 Debian 7“Wheezy”，这些问题已在 0.18.4-6+deb7u4 版本中修复。我们建议您升级 poppler 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Ming 中发现多个漏洞：CVE-2017-9988 在 Ming 0.4.8 及之前版本中，readEncUInt30 函数 (util/read.c) 中存在空指针取消引用，从而允许攻击者通过特制的文件导致拒绝服务。CVE-2017-9989 在 Ming 0.4.8 及之前版本中，outputABC_STRING_INFO 函数 (util/outputtxt.c) 中存在空指针取消引用，从而允许攻击者通过特制的文件导致拒绝服务。CVE-2017-11733 在 Ming 0.4.8 及之前版本中，stackswap 函数 (util/decompile.c) 中存在空指针取消引用，从而允许攻击者通过特制的文件导致拒绝服务。对于 Debian 7“Wheezy”，这些问题已在 1:0.4.4-1.1+deb7u5 版本中修复。建议您升级 ming 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在基于终端的 web 浏览器 lynx-cur 的 HTML 解析器中发现一个释放后使用漏洞。这可导致内存/信息泄露。对于 Debian 7“Wheezy”，已在 lynx-cur 版本 2.8.8dev.12-2+deb7u2 中修复此问题。建议您升级 lynx-cur 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现与解析颜色格式代码有关的 konversation IRC 客户端中存在一个拒绝服务漏洞。对于 Debian 7“Wheezy”，此问题已在 konversation 版本 1.4-1+deb7u2 中修复。建议您升级 konversation 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现用于将传入邮件分类到各种目录中并过滤出垃圾邮件的工具 procmail 中存在基于堆的缓冲区溢出。对于 Debian 7“Wheezy”，此问题已在 procmail 版本 3.22-20+deb7u2 中修复。建议您升级 procmail 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Steading System Software LLP 的 Rod Widdowson 在 OpenSAML 库中发现一个编码错误，导致 DynamicMetadataProvider 类无法使用提供的筛选器自行配置，并且忽略其应当执行的任何检查。有关详细信息，请参阅：https://shibboleth.net/community/advisories/secadv_20171115.txt。

Steading System Software LLP 的 Rod Widdowson 在 Shibboleth Service Provider 的“Dynamic”元数据插件中发现一个编码错误，导致该插件无法使用提供的筛选器自行配置，并且忽略其应当执行的任何检查。有关详细信息，请参阅：https://shibboleth.net/community/advisories/secadv_20171115.txt。

已发现用于解析 JSON 和其他数据格式的 Java 库 jackson-databind 在反序列化之前未正确验证用户输入：这是针对 CVE-2017-7525 的 DSA-4004-1 之后，另外一组类被确定为反序列化不安全。

在用于协作工作的网站引擎 MediaWiki 中发现多个安全漏洞：- CVE-2017-8808 禁用非标准 URL 转义和 $wgShowExceptionDetails 的跨站脚本。- CVE-2017-8809 API 中存在反映的文件下载。- CVE-2017-8810 在私人 wiki 上，登录表单未区分由于用户名和密码错误而导致的登录失败。- CVE-2017-8811 可通过原始消息参数扩展来破坏 HTML。- CVE-2017-8812 标题中的 id 属性允许使用原始“>”。- CVE-2017-8814 语言转换器可能被诱骗替换标签内的文本。- CVE-2017-8815 通过语言转换器中的词汇表规则进行不安全的属性注入。

已在 Mozilla Firefox Web 浏览器中发现数个安全问题：多个内存安全错误、释放后使用和其他实现错误可能导致执行任意代码、拒绝服务或绕过同源策略。

“shamger”和 Carlo Cannas 发现，先进的高性能 web 加速器 Varnish 中的一个编程错误可导致内存内容泄露或拒绝服务。有关详细信息，请参阅：https://varnish-cache.org/security/VSV00002.html。

已在 Mozilla Firefox Web 浏览器中发现数个安全问题：多个内存安全错误、释放后使用和其他实现错误可能导致执行任意代码、拒绝服务或绕过同源策略。针对 Debian 7“Wheezy”，这些问题已在版本 52.5.0esr-1~deb7u1 中修复。建议您升级 firefox-esr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

XML::LibXML perl 模块受到一个“释放后使用”漏洞的影响，允许远程攻击者通过控制 replaceChild() 调用的参数来执行任意代码。对于 Debian 7“Wheezy”，这些问题已在版本 2.0001~dfsg-1+deb7u2 中修复。建议您升级 libxml-libxml-perl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Joseph Bisch 发现 KDE 的一个用户友好的 Internet 中继聊天 (IRC) 客户端 Konversation 在解析某些 IRC 颜色格式代码时可能崩溃。

在图像处理实用工具和库的集合 graphicsmagick 中发现多个安全漏洞。CVE-2017-13134 Graphicsmagick 容易出现由特制 SFW 文件导致的基于堆的缓冲区过度读取和拒绝服务。CVE-2017-16547 Graphicsmagick 容易通过因错误内存分配导致特制文件，出现远程拒绝服务（应用程序崩溃）或可能造成的其他不明影响。对于 Debian 7“Wheezy”，这些问题已在 1.3.16-1.1+deb7u15 版本中修复。建议您升级 graphicsmagick 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新可修复 imagemagick 中的数个漏洞：如果处理格式错误的 GIF、TTF、SVG、TIFF、PCX、JPG 或 SFW 文件，多个内存处理问题和缺少或不完整输入清理的情况可导致拒绝服务、内存泄露或执行任意代码。

已在 Ruby 语言的解释器中发现多个漏洞。通用漏洞和暴露计划识别以下问题：- CVE-2017-0898 aerodudrizzt 报告内核模块 sprintf 方法中存在一个缓冲区不足漏洞，可导致堆内存损坏或从堆中泄露信息。- CVE-2017-0903 Max Justicz 报告 RubyGems 容易出现不安全的对象反序列化漏洞。由处理 gem 的应用程序解析时，特制的 YAML 格式 gem 规范可导致远程代码执行。- CVE-2017-10784 Yusuke Endoh 在 WEBrick 的基础身份验证中发现一个转义序列注入漏洞。攻击者可利用此缺陷将恶意转义序列注入 WEBrick 日志，并且可能在读取日志时在受害者的终端仿真器上执行控制字符。- CVE-2017-14033 asac 报告 OpenSSL 扩展中存在一个缓冲区不足漏洞。远程攻击者可利用此缺陷导致 Ruby 解释器崩溃，从而造成拒绝服务。

在 Debian 的 PostgreSQL 数据库集群管理工具 postgresql-common 中发现一个安全漏洞。CVE-2017-8806 已发现 pg_ctlcluster、pg_createcluster 和 pg_upgradecluster 命令处理符号链接的方式不安全，可通过覆盖任意文件导致本地拒绝服务。对于 Debian 7“Wheezy”，这些问题已在 134wheezy6 版本中修复。建议您升级 postgresql-common 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在图像处理工具及相关库的集合 Graphicsmagick 中发现一个远程拒绝服务漏洞。利用 magick/pixel_cache.c 中 AcquireCacheNexus 函数中的一个缺陷，可使用特制文件来产生基于堆的缓冲区溢出和应用程序崩溃。对于 Debian 7“Wheezy”，这些问题已在 1.3.16-1.1+deb7u14 版本中修复。建议您升级 graphicsmagick 程序包。注意：之前的 graphicsmagick 程序包无意中引入了对 liblcms2-2 的依赖。此版本的程序包恢复使用 liblcms1。如果您的系统其他地方不需要 liblcms2-2，可能应考虑在 graphicsmagick 升级后将其删除。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 IMAP 服务器基于 AJAX 的可换肤 webmail 解决方案 roundcube 中发现一个文件泄露漏洞。经身份验证的攻击者可利用此缺陷读取 roundcube 的配置文件。

已发现 pg_ctlcluster、pg_createcluster 和 pg_upgradecluster 命令处理符号链接的方式不安全，可通过覆盖任意文件导致本地拒绝服务。

在 PostgreSQL 数据库系统中发现数个漏洞：- CVE-2017-15098 json_populate_recordset() 和 jsonb_populate_recordset() 函数中存在拒绝服务和可能的内存泄露 - CVE-2017-15099 “INSERT ... ON CONFLICT DO UPDATE”语句的权限检查不充分。

已在 PostgreSQL 数据库系统中发现一个漏洞：json_populate_recordset() 和 jsonb_populate_recordset() 函数中存在拒绝服务和可能的内存泄露。

Wen Bin 发现用于将一个 .bin/.cue 格式的 CD 图像转换为一组 .iso 和 .cdr/.wav 轨道文件的应用程序 bchunk 未正确检查其输入。此问题可允许恶意用户致使应用程序崩溃或者可能执行任意代码。

在安全套接字层工具包 OpenSSL 中发现一个安全漏洞。CVE-2017-3735 已发现 OpenSSL 在解析 X.509 证书中格式错误的 IPAddressFamily 扩展时容易发生一个字节的缓冲区过度读取。可在上游公告中找到详细信息：https://www.openssl.org/news/secadv/20170828.txt 针对 Debian 7“Wheezy”，这些问题已在版本 1.0.1t-1+deb7u3 中修复。建议您升级 openssl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现用于集成 PAM 的 Java 库包装器 libpam4j 在身份验证期间未调用 pam_acct_mgmt()。因此，拥有有效密码但帐户已停用或禁用的用户仍可登录。

在 chromium 浏览器中发现多个漏洞。- CVE-2017-15398 Ned Williamson 发现一个堆栈溢出问题。- CVE-2017-15399 Zhao Qixun 在 v8 JavaScript 库中发现一个释放后使用问题。

Marcin Noga 在 LibreOffice 中发现两个漏洞，如果打开格式错误的 PPT 或 DOC 文档，可导致执行任意代码。

在基于 JSON 流的解析器库 Yajl 的接口 ruby-yajl 中发现一个漏洞。将特制的 JSON 文件提供给 Yajl::Parser.new.parse 时，整个 ruby 进程会因 yajl_encode.c 的 yajl_string_decode 函数中的 SIGABRT 而崩溃。此问题可导致拒绝服务。对于 Debian 7“Wheezy”，这些问题已在 1.1.0-2+deb7u1 版本中修复。建议您升级 ruby-yajl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Ryan Day 发现集群资源管理和作业调度系统 Simple Linux Utility for Resource Management (SLURM) 未正确处理 SPANK 环境变量，从而允许用户在 Prolog 或 Epilog 期间以 root 身份提交作业以执行代码。使用 Prolog 或 Epilog 脚本的所有系统都容易受到攻击，无论是否使用 SPANK 插件。

已发现开放票证请求系统中缺少输入验证可导致具有统计信息写入权限的代理升级权限。

作为 DLA-1166-1 发布的 tomcat7 更新导致回归，由此每个请求（包括对根文档 (/) 的请求）都会返回 HTTP 状态 404。现在可使用更新后的程序包来解决此问题。有关参考，请参照原始公告文本。在启用 HTTP PUT 时（例如，通过将默认 servlet 的只读初始化参数设置为 false），可能允许通过特制的请求将 JSP 文件上传至服务器。之后服务器可请求此 JSP，执行其中包含的任何代码。对于 Debian 7“Wheezy”，这些问题已在 7.0.28-4+deb7u17 版本中修复。我们建议您升级 tomcat7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 libpam.so 的 Java 绑定 libpam4j 未调用 pam_acct_mgmt()。因此，未正确验证 PAM 帐户。任何拥有有效密码但帐户已停用或禁用的用户均可登录。对于 Debian 7“Wheezy”，这些问题已在 1.4-2+deb7u1 版本中修复。我们建议您升级 libpam4j 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在轻量级 PDF 查看器 mupdf 中发现两个安全漏洞。CVE-2017-14687 MuPDF 允许攻击者通过特制的 .xps 文件导致拒绝服务或可能造成其他不明影响。此问题是由于未正确处理 XML 标记名称比较所致。CVE-2017-15587 在 pdf/pdf-xref.c 的 pdf_read_new_xref_section 中发现一个整数溢出 对于 Debian 7“Wheezy”，这些问题已在版本 0.9-2+deb7u4 中修复。建议您升级 mupdf 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。此外，该消息还是一条公告，通知旧稳定发行版本 (jessie) Debian 8 中对 chromium 的安全支持现已停止。强烈建议希望继续进行安全更新的 Debian 8 chromium 用户立即升级至最新稳定版本 (stretch) Debian 9。替代方案是换用 firefox 浏览器，它会在一段时间内继续接收 jessie 中的安全更新。- CVE-2017-5124 在 MHTML 中发现一个跨站脚本问题。- CVE-2017-5125 在 skia 库中发现一个堆溢出问题。- CVE-2017-5126 Luat Nguyen 在 pdfium 库中发现一个释放后使用问题。- CVE-2017-5127 Luat Nguyen 在 pdfium 库中发现另一个释放后使用问题。- CVE-2017-5128 Omair 在 WebGL 实现中发现一个堆溢出问题。- CVE-2017-5129 Omair 在 WebAudio 实现中发现一个释放后使用问题。- CVE-2017-5131 在 skia 库中发现一个越界写入问题。- CVE-2017-5132 Guarav Dewan 在 WebAssembly 实现中发现一个错误。- CVE-2017-5133 Aleksandar Nikolic 在 skia 库中发现一个越界写入问题。- CVE-2017-15386 WenXu Wu 发现一个用户界面伪造问题。- CVE-2017-15387 Jun Kokatsu 发现一种方式可绕过内容安全策略。- CVE-2017-15388 Kushal Arvind Shah 在 skia 库中发现一个越界读取问题。- CVE-2017-15389 xisigr 发现一个 URL 伪造问题。- CVE-2017-15390 Haosheng Wang 发现一个 URL 欺骗问题。- CVE-2017-15391 Joao Lucas Melo Brasio 发现一种方式可使扩展绕过其限制。- CVE-2017-15392 Xiaoyin Liu 在注册密钥实现中发现一个错误。- CVE-2017-15393 Svyat Mitin 在 devtools 中发现一个问题。- CVE-2017-15394 Sam 发现一个 URL 伪造问题。- CVE-2017-15395 Johannes Bergman 发现一个空指针取消引用问题。- CVE-2017-15396 Yuan Deng 在 v8 JavaScript 库中发现一个堆栈溢出问题。

已发现许多应用程序使用的支持/可移植性库 apr-util 中存在越界读取访问。有权对数据库进行写入访问的本地用户可让使用这些函数的进程崩溃，从而造成拒绝服务。对于 Debian 7“Wheezy”，已在 apr-util 版本 1.4.1-3+deb7u1 中修复此问题。建议您升级 apr-util 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现多种应用程序的支持/可移植性库 apr 中存在一个越界内存漏洞。当使用无效的月份字段值调用 apr_exp_time*() 或 apr_os_exp_time*() 函数时，将该值转换为 apr_time_exp_t 值时，可能已发生越界内存访问。这可能会泄露其他静态堆值的内容，或者导致程序终止。对于 Debian 7“Wheezy”，已在 apr 版本 1.4.6-3+deb7u2 中修复此问题。建议您升级 apr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新可修复 imagemagick 中的数个漏洞：如果处理格式错误的图像文件，各种内存处理问题和输入清理缺少或不完整的情况可能会导致拒绝服务、内存泄露或执行任意代码。

已在安全套接字层工具包 OpenSSL 中发现多种漏洞。Common Vulnerabilities and Exposures 计划发现以下问题：- CVE-2017-3735 已发现 OpenSSL 在解析 X.509 证书中格式错误的 IPAddressFamily 扩展时容易发生一个字节的缓冲区过度读取。可在上游公告中找到详细信息：https://www.openssl.org/news/secadv/20170828.txt - CVE-2017-3736 已发现 OpenSSL 在 x86_64 Montgomery 平方流程中包含一个进位传播错误。可在上游公告中找到详细信息：https://www.openssl.org/news/secadv/20171102.txt

已在基于终端的 IRC 客户端 Irssi 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：- CVE-2017-10965 Geeknik Labs 的 Brian “geeknik” Carpenter 发现 Irssi 未正确处理接收带有无效时间戳的消息。恶意 IRC 服务器可利用此缺陷导致 Irssi 崩溃，从而造成拒绝服务。- CVE-2017-10966 Geeknik Labs 的 Brian “geeknik” Carpenter 发现 Irssi 容易受到释放后使用缺陷的影响，该缺陷会在更新内部昵称清单时触发。恶意 IRC 服务器可利用此缺陷导致 Irssi 崩溃，从而造成拒绝服务。- CVE-2017-15227 Joseph Bisch 发现，在等待通道同步时，Irssi 可能错误地未能从查询列表中删除已破坏的通道，从而导致之后更新状态出现释放后使用的情况。恶意 IRC 服务器可利用此缺陷导致 Irssi 崩溃，从而造成拒绝服务。- CVE-2017-15228 Hanno Boeck 报告 Irssi 未正确处理安装具有未结束颜色格式序列的主题，如果用户被诱骗安装特制主题，可导致拒绝服务。- CVE-2017-15721 Joseph Bisch 发现 Irssi 未正确处理格式不正确的 DCC CTCP 消息。远程攻击者可利用此缺陷导致 Irssi 崩溃，从而造成拒绝服务。- CVE-2017-15722 Joseph Bisch 发现 Irssi 未正确验证安全通道 ID。恶意 IRC 服务器可利用此缺陷导致 Irssi 崩溃，从而造成拒绝服务。- CVE-2017-15723 Joseph Bisch 报告 Irssi 未正确处理过长的昵称或目标，从而在拆分消息时造成空指针取消引用并导致拒绝服务。

已发现 Redis 键值数据库中存在“跨协议脚本”攻击。当攻击者向 Redis TCP 端口发出 HTTP 请求时，“POST”和“Host:”命令字符串（在 Redis 协议中无效）不会立即遭到拒绝。对于 Debian 7“Wheezy”，已在 redis 版本 2:2.4.14-1+deb7u2 中修复此问题。建议您升级 redis 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

网络博客工具 WordPress 受到一个问题的影响，其中 $wpdb->prepare() 可能创建意外且不安全的查询，从而导致插件和主题中可能的 SQL 注入 (SQLi)，正如不同于 CVE-2017-14723 的漏洞“双重准备”方法所示。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u18 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Maor Shwartz、Jeremy Heng 和 Terry Chia 在图像处理工具集合 graphicsmagick 中发现两个安全漏洞。CVE-2017-16352 Graphicsmagick 容易受到在 magick/describe.c 文件的 DescribeImage() 函数“显示可视图像目录”功能中发现的基于堆的缓冲区溢出漏洞的影响。一种可能触发漏洞的方法是在带有 verbose 标志的特制 MIFF 格式文件上运行 identify 命令。CVE-2017-16353 Graphicsmagick 容易受到在 magick/describe.c 文件的 DescribeImage 函数中发现的内存信息泄露漏洞影响，这是因为基于堆的缓冲区读取过度所致。含有漏洞的代码部分负责打印图像中包含的 IPTC 配置文件信息。通过特制的 MIFF 文件可以触发此漏洞。部分增量从未经过检查，因此存在越界缓冲区取消引用。对于 Debian 7“Wheezy”，这些问题已在 1.3.16-1.1+deb7u13 版本中修复。建议您升级 graphicsmagick 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Oracle Java 平台的实现 OpenJDK 中发现数个漏洞，可导致冒充 Kerberos 服务、拒绝服务、沙盒绕过或 HTTP 标头注入。

在用于将一个 .bin/.cue 格式的 CD 图像转换为一组 .iso 和 .cdr/.wav 轨道文件的工具 bchunk 中发现数个漏洞。处理格式错误的 CUE (.cue) 文件时，有可能触发基于堆的缓冲区溢出，从而造成无效释放，可导致执行任意代码或应用程序崩溃。对于 Debian 7“Wheezy”，这些问题已在 1.2.0-12+deb7u1 版本中修复。建议您升级 bchunk 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已在 Thunderbird 中发现多个安全问题，可导致任意代码执行或拒绝服务。

ID	名称	严重性
104683	Debian DLA-1180-1：libspring-ldap-java 安全更新	high
104682	Debian DLA-1179-1：shibboleth-sp2 安全更新	high
104681	Debian DLA-1178-1：opensaml2 安全更新	high
104680	Debian DLA-1177-1：poppler 安全更新	high
104679	Debian DLA-1176-1：ming 安全更新	medium
104678	Debian DLA-1175-1：lynx-cur 安全更新	medium
104677	Debian DLA-1174-1：konversation 安全更新	high
104676	Debian DLA-1173-1：procmail 安全更新	critical
104645	Debian DSA-4039-1：opensaml2 - 安全更新	high
104644	Debian DSA-4038-1：shibboleth-sp2 - 安全更新	high
104643	Debian DSA-4037-1：jackson-databind - 安全更新	critical
104588	Debian DSA-4036-1：mediawiki - 安全更新	critical
104587	Debian DSA-4035-1：firefox-esr - 安全更新	critical
104586	Debian DSA-4034-1：varnish - 安全更新	critical
104585	Debian DLA-1172-1：firefox-esr 安全更新	critical
104563	Debian DLA-1171-1：libxml-libxml-perl 安全更新	critical
104535	Debian DSA-4033-1：konversation - 安全更新	high
104534	Debian DLA-1170-1：graphicsmagick - 安全更新	high
104504	Debian DSA-4032-1：imagemagick - 安全更新	high
104503	Debian DSA-4031-1：ruby2.3 - 安全更新	critical
104502	Debian DLA-1169-1：postgresql-common 安全更新	high
104501	Debian DLA-1168-1：graphicsmagick - 安全更新	high
104486	Debian DSA-4030-1：roundcube - 安全更新	high
104485	Debian DSA-4029-1：postgresql-common - 安全更新	medium
104484	Debian DSA-4028-1：postgresql-9.6 - 安全更新	high
104483	Debian DSA-4027-1：postgresql-9.4 - 安全更新	high
104482	Debian DSA-4026-1：bchunk - 安全更新	medium
104481	Debian DLA-1157-1：openssl 安全更新	medium
104467	Debian DSA-4025-1：libpam4j - 安全更新	medium
104466	Debian DSA-4024-1：chromium 浏览器 - 安全更新	critical
104465	Debian DSA-4022-1：libreoffice - 安全更新	high
104464	Debian DLA-1167-1：ruby-yajl 安全更新	high
104442	Debian DSA-4023-1：slurm-llnl - 安全更新	high
104441	Debian DSA-4021-1：otrs2 - 安全更新	high
104440	Debian DLA-1166-2：tomcat7 回归更新	high
104439	Debian DLA-1165-1：libpam4j 安全更新	medium
104438	Debian DLA-1164-1：mupdf 安全更新	high
104414	Debian DSA-4020-1：chromium 浏览器 - 安全更新	high
104413	Debian DLA-1163-1：apr-util 安全更新	medium
104412	Debian DLA-1162-1：apr 安全更新	high
104403	Debian DSA-4019-1：imagemagick - 安全更新	critical
104402	Debian DSA-4018-1：openssl - 安全更新	medium
104401	Debian DSA-4017-1：openssl1.0 - 安全更新	medium
104400	Debian DSA-4016-1：irssi - 安全更新	critical
104399	Debian DLA-1161-1：redis 安全更新	critical
104398	Debian DLA-1160-1：wordpress 安全更新	critical
104397	Debian DLA-1159-1：graphicsmagick - 安全更新	high
104365	Debian DSA-4015-1：openjdk-8 - 安全更新	critical
104364	Debian DLA-1158-1：bchunk 安全更新	medium
104340	Debian DSA-4014-1：thunderbird - 安全更新	critical

检测

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

medium

medium

high

critical

high

high

critical

critical

critical

critical

critical

critical

high

high

high

critical

high

high

high

medium

high

high

medium

medium

medium

critical

high

high

high

high

high

medium

high

high

medium

high

critical

medium

medium

critical

critical

critical

high

critical

medium

critical