远程 Debian 11 主机上安装的多个程序包受到 dla-3978 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3978-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2024 年 11 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：editorconfig-core 版本：0.12.1-1.1+deb11u1 CVE ID：CVE-2023-0341 CVE-2024-53849


    在适用于所有编辑器的编码样式缩进器 editorconfig-core 中发现两个问题。这两个问题与不同位置发生的缓冲区溢出漏洞相关。



    对于 Debian 11 bullseye，已在 0.12.1-1.1+deb11u1 版本中修复这些问题。

    我们建议您升级 editorconfig-core 程序包。

    如需了解 editorconfig-core 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/editorconfig-core

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3976 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3976-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2024 年 11 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：tgt 版本：1:1.0.80-1+deb11u1 CVE ID：CVE-2024-45751


    在 Linux SCSI 目标用户空间后台程序和工具 tgt 中发现一个问题。此问题与在未正确植入的情况下使用 rand() 相关，从而导致相同的质询序列。



    对于 Debian 11 bullseye，已在 1:1.0.80-1+deb11u1 版本中修复此问题。

    我们建议您升级 tgt 程序包。

    如需了解 tgt 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/tgt

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3974 公告中提及的多个漏洞影响。

    -lts-announce@lists.debian.org 主题：[安全] [DLA 3974-1] dnsmasq 安全更新

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3974-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lee Garrett 2024 年 11 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：dnsmasq 版本：2.85-1+deb11u1 CVE ID：CVE-2022-0934 CVE-2023-28450 CVE-2023-50387 CVE-2023-50868 Debian 缺陷：

    简介

    CVE-2022-0934

        在 dnsmasq 中发现单字节非任意写入/释放后使用缺陷。
        攻击者可利用此缺陷发送由 dnsmasq 处理的构建数据包，进而可能造成拒绝服务。

    CVE-2023-28450

        在 2.90 之前的 Dnsmasq 中发现一个问题。默认的最大 EDNS.0 UDP 数据包大小被设为 4096，但有鉴于 2020 年的 DNS Flag Day，其大小应为 1232。

    CVE-2023-50387

        远程攻击者可利用 DNS 协议的某些 DNSSEC 方面（在 RFC 4033、4034、4035、6840 和相关 RFC 中），通过一个或多个 DNSSEC 响应造成拒绝服务情形（CPU 消耗），也称为 KeyTrap 问题。其中一个问题是，当存在包含多条 DNSKEY 和 RRSIG 记录的区域时，协议规范意味着算法必须评估 DNSKEY 和 RRSIG 记录的所有组合。

    CVE-2023-50868

        远程攻击者可利用 DNS 协议的最近封装体验证方面（在跳过 RFC 9276 指南时的 RFC 5155 中），通过随机子域攻击中的 DNSSEC 响应造成拒绝服务情形（SHA-1 计算的 CPU 消耗），也称为 NSEC3 问题。RFC 5155 规范意味着算法在某些情况下必须执行数千次的哈希函数迭代。

    对于 Debian 11 bullseye，已在 2.85-1+deb11u1 版本中修复这些问题。

    建议您升级 dnsmasq 程序包。

    如需了解 dnsmasq 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dnsmasq

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3975 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3975-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：proftpd-dfsg 版本：1.3.7a+dfsg-12+deb11u3 CVE ID：CVE-2023-48795 CVE-2023-51713 CVE-2024-48651 Debian 缺陷：1082326

    热门 FTP 服务器 ProFTPD 受到多个漏洞影响。

    CVE-2023-48795

        ProFTPD 使用的 SSH 传输协议和类似协议（如 SFTP 协议）允许远程攻击者绕过完整性检查，从而省略某些数据包（从扩展协商消息中），并且客户端和服务器可能因此而结束某些安全功能已被降级或禁用的连接，也称为 Terrapin 攻击。

    CVE-2023-51713

        由于对引用/反斜线语义的处理不当，make_ftp_cmd 函数发生一字节越界读取问题。

    CVE-2024-48651

        在含有 mod_sftp 和 mod_sql 的 proftpd 中，无附属组的用户会错误地从父进程继承附属组。此行为导致用户在 nogroup 中获得附属成员资格，或者依赖于版本根群组 (GID=0)。

    对于 Debian 11 bullseye，已在 1.3.7a+dfsg-12+deb11u3 版本中修复这些问题。

    我们建议您升级 proftpd-dfsg 程序包。

    如需了解 proftpd-dfsg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3973 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3973-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：redis 版本：5:6.0.16-1+deb11u4 CVE ID：CVE-2022-35977 CVE-2024-31228 Debian 缺陷：1084805

    已修复键值数据库 Redis 中的多个漏洞。

    CVE-2022-35977

        SETRANGE 和 SORT 中的整数溢出

    CVE-2024-31228

        不受限制的模式匹配 DoS

    对于 Debian 11 bullseye，已在 5:6.0.16-1+deb11u4 版本中修复这些问题。

    建议您升级 redis 程序包。

    如需了解 redis 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/redis

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3970 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3970-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：twisted 版本：20.3.0-7+deb11u2 CVE ID：CVE-2022-39348 CVE-2023-46137 CVE-2024-41671 CVE-2024-41810 Debian 缺陷：1023359 1054913 1077679 1077680

    在针对 Internet 应用程序基于事件的框架 Twisted 中发现多个安全问题，可能导致错误排序 HTTP 请求或跨站脚本。

    CVE-2022-39348

        当主机标头与配置的主机不匹配时，`twisted.web.vhost.NameVirtualHost` 将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。

    CVE-2023-46137

        当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。

    CVE-2024-41671

        twisted.web 提供的 HTTP 1.0 和 1.1 服务器可乱序处理管道 HTTP 请求，这可能导致信息泄露。

    CVE-2024-41810

        “twisted.web.util.redirectTo”函数包含一个 HTML 注入漏洞。如果应用程序代码允许攻击者控制重定向 URL，此漏洞可能会在重定向响应 HTML 正文中造成反射型跨站脚本 (XSS)。

    对于 Debian 11 bullseye，已在 20.3.0-7+deb11u2 版本中修复这些问题。

    我们建议您升级 twisted 程序包。

    如需了解 twisted 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/twisted

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3972 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3972-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：tzdata 版本：2024b-0+deb11u1

    此更新包含 tzdata 2024b 中的变更。值得注意的变更：

    - - 已更新闰秒列表，其原定于 12 月末到期。
    - - 修正墨西哥、蒙古和葡萄牙的历史数据。

    对于 Debian 11 bullseye，已在 2024b-0+deb11u1 版本中修复此问题。

    我们建议您升级 tzdata 程序包。

    如需了解 tzdata 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/tzdata

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3971 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3971-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：firefox-esr 版本：128.5.0esr-1~deb11u1 CVE ID：CVE-2024-11692 CVE-2024-11694 CVE-2024-11695 CVE-2024-11696 CVE-2024-11697 CVE-2024-11699

    在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、欺骗或跨站脚本。

    对于 Debian 11 bullseye，已在 128.5.0esr-1~deb11u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3969 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3969-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:128.5.0esr-1~deb11u1 CVE ID：CVE-2024-11692 CVE-2024-11694 CVE-2024-11695 CVE-2024-11696 CVE-2024-11697 CVE-2024-11699

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成拒绝服务或任意代码执行。

    对于 Debian 11 bullseye，已在 1:128.5.0esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5820 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5820-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2024-11692 CVE-2024-11694 CVE-2024-11695 CVE-2024-11696 CVE-2024-11697 CVE-2024-11699

    在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、欺骗或跨站脚本。

    对于稳定发行版本 (bookworm)，已在 128.5.0esr-1~deb12u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3968 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3968-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：netatalk 版本：3.1.12~ds-8+deb11u2 CVE ID：CVE-2022-22995 CVE-2024-38439 CVE-2024-38440 CVE-2024-38441


    在 Apple 文件协议服务 netatalk 中发现多个问题。三个问题与差一错误及相关的基于堆的缓冲区溢出有关。其中一个问题与 SMB 和 AFP 提供的原语相关，这可能会允许攻击者写入任意文件并最终执行任意代码。



    对于 Debian 11 bullseye，已在 3.1.12~ds-8+deb11u2 版本中修复这些问题。

    建议您升级 netatalk 程序包。

    如需了解 netatalk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/netatalk

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5821 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5821-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2024-11692 CVE-2024-11694 CVE-2024-11695 CVE-2024-11696 CVE-2024-11697 CVE-2024-11699

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成拒绝服务或任意代码执行。

    对于稳定发行版本 (bookworm)，已在 1:128.5.0esr-1~deb12u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3967 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3967-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：mpg123 版本：1.26.4-1+deb11u1 CVE ID：CVE-2024-10573 Debian 错误：1086443

    mpg123 是一种常用的 MPEG layer 1/2/3 音频播放器，已受到一个漏洞影响。

    在 mpg123 中发现处理特制的流时存在越界写入缺陷。当解码 PCM 时，libmpg123 可能会写入超过堆缓冲区的末尾。因此，可能会发生堆损坏。

    对于 Debian 11 bullseye，已在 1.26.4-1+deb11u1 版本中修复此问题。

    我们建议您升级 mpg123 程序包。

    如需了解 mpg123 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mpg123

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5819 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5819-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：php8.2 CVE ID：CVE-2024-8929 CVE-2024-8932 CVE-2024-11233 CVE-2024-11234 CVE-2024-11236

    在广泛使用的开源通用脚本语言 PHP 中发现多个安全问题，这可能会造成拒绝服务、CLRF 注入或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 8.2.26-1~deb12u1 中修复这些问题。

    我们建议您升级 php8.2 程序包。

    如需了解 php8.2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php8.2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3965 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3965-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：ghostscript 版本 ： 9.53.3~dfsg-7+deb11u9 CVE ID： CVE-2024-46951 CVE-2024-46953 CVE-2024-46955 CVE-2024-46956

    已修复 PostScript/PDF 解释器 Ghostscript 中的多个漏洞。

    CVE-2024-46951

        PS 解释器未检查指针

    CVE-2024-46953

        输出文件名格式字符串整数溢出

    CVE-2024-46955

        PS 解释器越界

    CVE-2024-46956

        PS 解释器越界

    对于 Debian 11 bullseye，已在 9.53.3~dfsg-7+deb11u9 版本中修复这些问题。

    我们建议您升级 ghostscript 程序包。

    如需了解 ghostscript 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ghostscript

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5818 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5818-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 24 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID：CVE-2022-45888 CVE-2023-52812 CVE-2024-26952 CVE-2024-26954 CVE-2024-35964 CVE-2024-36244 CVE-2024-36478 CVE-2024-36914 CVE-2024-36915 CVE-2024-36923 CVE-2024-38540 CVE-2024-38553 CVE-2024-41080 CVE-2024-42322 CVE-2024-43868 CVE-2024-43904 CVE-2024-43911 CVE-2024-44949 CVE-2024-49950 CVE-2024-49960 CVE-2024-49974 CVE-2024-49986 CVE-2024-49991 CVE-2024-50012 CVE-2024-50036 CVE-2024-50067 CVE-2024-50072 CVE-2024-50126 CVE-2024-50215 CVE-2024-50218 CVE-2024-50228 CVE-2024-50229 CVE-2024-50230 CVE-2024-50232 CVE-2024-50233 CVE-2024-50234 CVE-2024-50235 CVE-2024-50236 CVE-2024-50237 CVE-2024-50242 CVE-2024-50243 CVE-2024-50244 CVE-2024-50245 CVE-2024-50247 CVE-2024-50249 CVE-2024-50250 CVE-2024-50251 CVE-2024-50252 CVE-2024-50255 CVE-2024-50256 CVE-2024-50257 CVE-2024-50259 CVE-2024-50261 CVE-2024-50262 CVE-2024-50264 CVE-2024-50265 CVE-2024-50267 CVE-2024-50268 CVE-2024-50269 CVE-2024-50271 CVE-2024-50272 CVE-2024-50273 CVE-2024-50276 CVE-2024-50278 CVE-2024-50279 CVE-2024-50280 CVE-2024-50282 CVE-2024-50283 CVE-2024-50284 CVE-2024-50286 CVE-2024-50287 CVE-2024-50290 CVE-2024-50292 CVE-2024-50295 CVE-2024-50296 CVE-2024-50299 CVE-2024-50301 CVE-2024-50302 CVE-2024-53042 CVE-2024-53043 CVE-2024-53052 CVE-2024-53054 CVE-2024-53055 CVE-2024-53057 CVE-2024-53058 CVE-2024-53059 CVE-2024-53060 CVE-2024-53061 CVE-2024-53063 CVE-2024-53066 CVE-2024-53070 CVE-2024-53072 CVE-2024-53081 CVE-2024-53082 CVE-2024-53088 CVE-2024-53093

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于稳定发行版本 (bookworm)，已在版本 6.1.119-1 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3962 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3962-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：glib2.0 版本：2.66.8-1+deb11u5 CVE ID： CVE-2024-52533 Debian 缺陷：1087419

    因 SOCKS4a 代理主机名和用户名过长而产生的缓冲区溢出漏洞已在 GNOME Input/Output 库 (GIO) 中修复。

    对于 Debian 11 bullseye，已在 2.66.8-1+deb11u5 版本中修复此问题。

    我们建议您升级 glib2.0 程序包。

    如需了解 glib2.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/glib2.0

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5817 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5817-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 11 月 23 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2024-11110 CVE-2024-11111 CVE-2024-11112 CVE-2024-11113 CVE-2024-11114 CVE-2024-11115 CVE-2024-11116 CVE-2024-11117 CVE-2024-11395

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，已在 131.0.6778.85-1~deb12u1 版本中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3963 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3963-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：ansible 版本 ： 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 CVE ID： CVE-2024-8775 CVE-2024-9902 Debian 缺陷：1082851

    Ansible 是一款命令行 IT 自动化软件应用程序。
    它可以配置系统、部署软件并编排高级工作流，以支持应用程序部署、系统更新等

    Ansible 受到两个漏洞影响：

    CVE-2024-8775

        在 Ansible 中发现一个缺陷，存储在 Ansible Vault 文件中的敏感信息可在 playbook 执行期间以明文方式暴露。使用 include_vars 等任务加载受保护的变量而未设置 no_log: true 参数时，会发生此问题，进而导致在 playbook 输出或日志中打印出敏感数据。这可能会在无意间泄露密码或 API 密钥等机密，危及安全并可能允许未经授权的访问或操作。

    CVE-2024-9902

        当特权用户对非特权用户的主目录执行“user”模块时，ansible-core“user”模块可允许非特权用户静默创建或替换任何系统路径中任何文件的内容，并取得该文件的所有权。
        如果非特权用户对于包含被利用目标文件的目录具有遍历权限，则能够以文件所有者的身份保留对文件内容的完全控制。

    对于 Debian 11 bullseye，已在 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 版本中修复这些问题。

    建议您升级 ansible 程序包。

    如需了解 ansible 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ansible

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3964 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3964-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 11 月 24 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：intel-microcode 版本：3.20240910.1~deb11u1 CVE ID：CVE-2024-23984 CVE-2024-24968 Debian 缺陷：1081363

    现已发布用于 Intel 处理器的微代码更新，可解决多个可能造成信息泄露或本地 DoS 的漏洞。

    CVE-2024-23984

        某些 Intel(R) 处理器的 RAPL 接口中存在可见差异，特权用户可能会利用此差异，通过本地访问造成信息泄露。

    CVE-2024-24968

        某些 Intel(R) 处理器的硬件逻辑中不正确的有限状态机 (FSM) 可能允许特权用户通过本地访问造成拒绝服务。

    对于 Debian 11 bullseye，已在 3.20240910.1~deb11u1 版本中修复这些问题。

    建议您升级 intel-microcode 程序包。

    如需了解 intel-microcode 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/intel-microcode

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3961 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3961-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 22 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：webkit2gtk 版本：2.46.3-1~deb11u2 CVE ID：CVE-2024-40866 CVE-2024-44185 CVE-2024-44187 CVE-2024-44244 CVE-2024-44296

    在 WebKitGTK Web 引擎中发现以下漏洞：

    CVE-2024-40866

        Hafiizh 和 YoKo Kho 发现访问恶意网站可能会导致地址栏欺骗。

    CVE-2024-44185

        Gary Kwong 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2024-44187

        Narendra Bhati 发现恶意网站可能会跨源泄露数据。

    CVE-2024-44244

        匿名研究人员 Q1IQ (@q1iqF) 和 P1umer 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2024-44296

        Narendra Bhati 发现处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。

    对于 Debian 11 bullseye，已在 2.46.3-1~deb11u2 版本中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3960 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3960-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2024 年 11 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:128.4.3esr-1~deb11u1 CVE ID：CVE-2024-11159

    在 Thunderbird 中发现了一个可导致 OpenPGP 加密消息泄露的安全问题。

    对于 Debian 11 bullseye，已在 1:128.4.3esr-1~deb11u1 版本中修复此问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3959 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3959-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：guix 版本：1.2.0-4+deb11u3 CVE ID：CVE-2024-52867

    已修复 GNU Guix 程序包管理器中的权限升级。

    对于 Debian 11 bullseye，已在 1.2.0-4+deb11u3 版本中修复此问题。

    我们建议您升级 guix 程序包。

    如需了解 guix 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/guix

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3957 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3957-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Salvatore Bonaccorso 2024 年 12 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：needrestart 版本：3.5-4+deb11u5 Debian 缺陷：1087917 1087918 1087957 1087958 1088012 1088047

    我们宣布在 needrestart 更新 (DLA 3957-1) 中引入了一项回归，可报告在 chroot 或 mountns 中运行的进程发生的误报。现在可使用更新后的程序包来修复此问题。

    对于 Debian 11 bullseye，已在 3.5-4+deb11u5 版本中修复此问题。

    我们建议您升级 needrestart 程序包。

    如需了解 needrestart 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/needrestart

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3958 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3958-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Salvatore Bonaccorso 2024 年 11 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libmodule-scandeps-perl 版本：1.30-1+deb11u1 CVE ID：CVE-2024-10224

    Qualys Threat Research Unit 发现 libmodule-scandeps-perl（用于递归扫描 Perl 代码中依存关系的 Perl 模块）允许攻击者通过特别构建的文件名执行任意 shell 命令。

    可在 https://www.qualys.com/2024/11/19/needrestart/needrestart.txt 处 Qualys 公告中找到详细信息

    对于 Debian 11 bullseye，已在 1.30-1+deb11u1 版本中修复此问题。

    建议您升级 libmodule-scandeps-perl 程序包。

    如需了解 libmodule-scandeps-perl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libmodule-scandeps-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的一个程序包受到 dsa-5815 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5815-2 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 12 月 2 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：needrestart 缺陷：1087917 1087918 1087957 1087958 1088012 1088047

    我们宣布在 needrestart 更新 (DSA 5815-1) 中引入了一项回归，可报告在 chroot 或 mountns 中运行的进程发生的误报。现在可使用更新后的程序包来修复此问题。

    对于稳定发行版本 (bookworm)，已在版本 3.6-4+deb12u3 中修复此问题。

    我们建议您升级 needrestart 程序包。

    如需了解 needrestart 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/needrestart

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的程序包受到 dsa-5816 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5816-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libmodule-scandeps-perl CVE ID：CVE-2024-10224

    Qualys Threat Research Unit 发现 libmodule-scandeps-perl（用于递归扫描 Perl 代码中依存关系的 Perl 模块）允许攻击者通过特别构建的文件名执行任意 shell 命令。

    可在 https://www.qualys.com/2024/11/19/needrestart/needrestart.txt 处 Qualys 公告中找到详细信息

    对于稳定发行版本 (bookworm)，已在版本 1.31-2+deb12u1 中修复此问题。

    建议您升级 libmodule-scandeps-perl 程序包。

    如需了解 libmodule-scandeps-perl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libmodule-scandeps-perl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5814 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5814-1 security@debian.org https://www.debian.org/security/Moritz  Muehlenhoff 2024 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID: CVE-2024-11159

    在 Thunderbird 中发现了一个可导致 OpenPGP 加密消息泄露的安全问题。

    对于稳定发行版本 (bookworm)，此问题已在版本 1:128.4.3esr-1~deb12u1 中修复。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5812 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5812-1 security@debian.org https://www.debian.org/security/Moritz  Muehlenhoff 2024 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-15 CVE ID: CVE-2024-10976 CVE-2024-10977 CVE-2024-10978 CVE-2024-10979

    已在 PostgreSQL 中发现多个导致任意代码执行、特权升级或日志操纵的安全问题。

    对于稳定发行版本 (bookworm)，这些问题已在 15.9-0+deb12u1 版本中修复。

    建议您升级 postgresql-15 程序包。

    如需了解 postgresql-15 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3953 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3953-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：icinga2 版本：2.12.3-1+deb11u1 CVE ID : CVE-2021-32739 CVE-2021-32743 CVE-2021-37698 CVE-2024-49369 Debian 缺陷：991494 1087384

    Icinga 2 作为一款通用监控应用程序，可满足任何规模的网络需求。

    CVE-2021-32739

        版本 2.4.0 到版本 2.12.4 存在一个漏洞，此漏洞可能允许经过身份验证的 API 用户提升特权。攻击者可以利用只读用户的凭据，查看所有配置对象的大部分属性，其中包括“ApiListener”的“ticket_salt”。此 salt 足以计算每个可能公用名 (CN) 的工单。只需工单、主控端节点的证书和自签名证书就可以从 Icinga 成功请求所需证书。反之，该证书也可用于窃取端点或 API 用户的身份。

    CVE-2021-32743

        在 2.11.10 之前的版本及 2.12.0 至 2.12.4 版本中，某些需要外部服务的凭据的 Icinga 2 功能会通过 API，向具有相应对象类型读取权限且经过身份验证的 API 用户暴露这些凭据。获得这些凭据的攻击者可以冒充 Icinga 访问这些服务，并在其中添加、修改和删除信息。

    CVE-2021-37698

        在 2.5.0 至 2.13.0 版本中，尽管已指定证书颁发机构，ElasticsearchWriter、GelfWriter、InfluxdbWriter 和 Influxdb2Writer 仍不会验证服务器的证书。对于在可欺骗的基础设施上使用 TLS 连接到任何上述时间序列数据库 (TSDB) 的 Icinga 2 实例，应更改 TSDB 编写器功能使用的凭据（如有）以对数据库进行认证。

    CVE-2024-49369

        自 2.4.0 起的所有 Icinga 2 版本中的 TLS 证书验证均存在缺陷。该缺陷允许攻击者冒充受信任的群集节点和任何使用 TLS 客户端证书进行身份验证的 API 用户（具有 client_cn 属性集的 ApiUser 对象）。

    对于 Debian 11 bullseye，这些问题已在 2.12.3-1+deb11u1 版本中修复。

    我们建议您升级 Icinga 2 程序包。

    如需了解 Icinga 2 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/icinga2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5813 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5813-1 security@debian.org https://www.debian.org/security/Moritz  Muehlenhoff 2024 年 11 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：symfony CVE ID: CVE-2024-51996

    Moritz Rauch 发现 Symfony PHP 框架采用了错误的持久性 remember-me cookie，可导致攻击者绕过身份验证。

    对于稳定发行版本 (bookworm)，此问题已在版本 5.4.23+dfsg-1+deb12u4 中修复。

    我们建议您升级 Symfony 程序包。

    如需了解 Symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3956 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3956-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2024 年 11 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：smarty3 版本：3.1.39-2+deb11u2 CVE ID：CVE-2018-25047 CVE-2023-28447 CVE-2024-35226 Debian 错误：1019897 1033964 1072530

    在广泛使用的 PHP 模板引擎 smarty3 中发现多个漏洞，其可能允许攻击者执行 XSS（如 JavaScript 或 PHP 代码注入）。

    CVE-2018-25047

        在 Smarty 3.1.47 之前版本和 4.x 之前的 4.2.1 版中，libs/plugins/function.mailto.php 允许 XSS。使用 smarty_function_mailto 并可使用 GET 或 POST 输入参数进行参数化的网页允许用户注入 JavaScript 代码。

    CVE-2023-28447

        在受影响的版本中，smarty 无法正确转义 javascript 代码。
        攻击者可利用此漏洞在用户的浏览器会话中执行任意 JavaScript。这可能会导致未经授权访问敏感用户数据、操纵 Web 应用程序的行为或代表用户执行未经授权的操作。建议用户升级到版本 3.1.48 或 4.3.1 以解决此问题。目前尚无针对此漏洞的解决方案。

    CVE-2024-35226

        在受影响的版本中，模板作者可通过为 extends-tag 选择恶意文件名来注入 php 代码。不完全信任模板作者的站点应尽快更新。因此，建议所有用户进行更新。v3 分支上没有针对用户的修补。
        目前尚无针对此漏洞的解决方案。

    对于 Debian 11 bullseye，已在 3.1.39-2+deb11u2 版本中修复这些问题。

    我们建议您升级 smarty3 程序包。

    请注意，安装更新后，必须清除所有 smarty 生成的文件，其默认位于 templates_c 目录中。

    如需了解 smarty3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/smarty3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3955 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3955-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 16 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：waitress 版本：1.4.4-1.1+deb11u2 CVE ID： CVE-2024-49769 Debian 错误：1086468

    修复了 Python Web Server Gateway 接口 waitress 中资源耗尽导致的 DoS。

    对于 Debian 11 bullseye，已在 1.4.4-1.1+deb11u2 版本中修复此问题。

    我们建议您升级 waitress 程序包。

    如需了解 waitress 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/waitress

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3954 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3954-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：postgresql-13 版本：13.18-0+deb11u1 CVE ID： CVE-2024-10978

    如果 CVE-2024-10978 的补丁来自非交互源，包括之前的 ALTER {ROLE|DATABASE} 命令和 PGOPTIONS 环境变量，则意外导致不应用角色设置。

    对于 Debian 11 bullseye，已在 13.18-0+deb11u1 版本中修复此问题。

    建议您升级 postgresql-13 程序包。

    如需了解 postgresql-13 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-13

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3952 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3952-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 11 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：unbound 版本：1.13.1-1+deb11u4 CVE ID：CVE-2024-8508 Debian 缺陷：1083282

    在 Unbound（一种验证、递归、缓存 DNS 解析器）中发现一个漏洞。具有极大 RRset 的恶意上游响应可导致 Unbound 花费大量时间对下游回复应用名称压缩。这会导致性能下降，并最终在编排的攻击中发生拒绝服务。恶意攻击者可利用该漏洞在具有极大 RRset 的恶意区域中查询 Unbound 的特别构建的内容。

    对于 Debian 11 bullseye，已在 1.13.1-1+deb11u4 版本中修复此问题。

    建议您升级 unbound 程序包。

    如需了解 unbound 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/unbound

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

    附件：
    signature.asc 描述：这是经数字签名的消息部分

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3951 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3951-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：curl 版本：7.74.0-1.3+deb11u14 CVE ID： CVE-2024-8096


    curl（用于通过 URL 语法传输数据的命令行工具）受到 CVE-2024-8096 的影响。TLS 后端为 GnuTLS 时，curl 可能未正确处理 OCSP 装订。如果 OCSP 状态报告除“已撤销”以外的错误（例如，未经授权），则不会将其视为不良证书，从而可能允许将无效的证书视为有效。

    对于 Debian 11 bullseye，已在 7.74.0-1.3+deb11u14 版本中修复此问题。

    建议您升级 curl 程序包。

    如需了解 curl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/curl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3950 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3950-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libarchive 版本：3.4.3-2+deb11u2 CVE ID：CVE-2021-36976 CVE-2022-26280 CVE-2022-36227 CVE-2024-20696 Debian 缺陷：991442 1008953 1024669 1086155

    已在多格式存档与压缩库 libarchive 中修复多个漏洞。

    CVE-2021-36976

        RAR 阅读器释放后使用

    CVE-2022-26280

        ZIP 阅读器越界读取

    CVE-2022-36227

        archive_write 空取消引用

    CVE-2024-20696

        RAR 阅读器越界写入

    对于 Debian 11 bullseye，已在 3.4.3-2+deb11u2 版本中修复这些问题。

    建议您升级 libarchive 程序包。

    如需了解 libarchive 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libarchive

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5811 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5811-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：mpg123 CVE ID： CVE-2024-10573 Debian 缺陷：1086443

    在第 1、2 和 3 层的实时 MPEG 1.0/2.0/2.5 音频播放器/解码器 mpg123 中发现处理特制流时存在越界写入漏洞，可导致任意代码执行。

    对于稳定发行版本 (bookworm)，已在版本 1.31.2-1+deb12u1 中修复此问题。

    我们建议您升级 mpg123 程序包。

    如需了解 mpg123 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mpg123

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5810 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5810-1 security@debian.org https://www.debian.org/security/Andres Salomon 2024 年 11 月 11 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2024-10826 CVE-2024-10827

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 130.0.6723.116-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5809 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5809-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：symfony CVE ID：CVE-2024-50340 CVE-2024-50342 CVE-2024-50343 CVE-2024-50345

    Symfony PHP 框架中发现多个漏洞，可能会造成特权提升、跨站请求伪造、信息泄露、不正确验证或开放重定向。

    对于稳定发行版本 (bookworm)，这些问题已在 5.4.23+dfsg-1+deb12u3 版本中解决。

    我们建议您升级 symfony 程序包。

    如需了解 symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3949 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3949-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：ruby-saml 版本：1.11.0-1+deb11u1 CVE ID：CVE-2024-45409


    据发现，实现授权客户端的 SAML 库 ruby-saml 未正确验证 SAML 响应的签名。因此，对任何签名的 saml 文档（由 IdP 执行）具有访问权限的未经身份验证的攻击者可因此伪造具有任意内容的 SAML 响应/断言。这将允许攻击者以任意用户的身份在有漏洞的系统中登录。

    对于 Debian 11 bullseye，已在 1.11.0-1+deb11u1 版本中修复此问题。

    我们建议您升级 ruby-saml 程序包。

    如需了解 ruby-saml 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby-saml

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5808 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5808-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：ghostscript CVE ID：CVE-2024-46951 CVE-2024-46952 CVE-2024-46953 CVE-2024-46955 CVE-2024-46956

    在 GPL PostScript/PDF 解释器 Ghostscript 中发现多种安全漏洞，如果处理格式错误的文档文件，这些安全漏洞会导致拒绝服务或可能造成任意代码执行。

    对于稳定发行版本 (bookworm)，这些问题已在 10.0.0~dfsg-11+deb12u6 版本中解决。

    我们建议您升级 ghostscript 程序包。

    如需了解 ghostscript 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ghostscript

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5807 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5807-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nss CVE ID：CVE-2024-0743 CVE-2024-6602 CVE-2024-6609

    在 NSS（一组加密库）中发现几个漏洞，这些漏洞可导致拒绝服务，或可能执行任意代码。

    对于稳定发行版本 (bookworm)，已在 2:3.87.1-1+deb12u1 版本中修复这些问题。

    我们建议您升级 nss 程序包。

    如需了解 nss 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nss

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5806 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5806-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 11 月 09 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libarchive CVE ID：CVE-2024-20696 Debian 缺陷：1086155

    在多格式存档和压缩库 libarchive 中发现 rar e8 过滤器存在基于堆的缓冲区溢出越界写入漏洞，如果处理特别构建的 RAR 存档，该漏洞可能导致执行任意代码。

    对于稳定发行版本 (bookworm)，已在版本 3.6.2-1+deb12u2 中修复此问题。

    建议您升级 libarchive 程序包。

    如需了解 libarchive 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libarchive

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的程序包受到 dsa-5805 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5805-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2024 年 11 月 08 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：guix CVE ID： 尚未提供

    发现 GNU Guix 功能程序包管理器的后台程序容易受到权限升级的影响。如需了解其他信息，请参阅 https://guix.gnu.org/en/blog/2024/build-user-takeover-vulnerability/

    对于稳定发行版本 (bookworm)，已在版本 1.4.0-3+deb12u2 中修复此问题。

    我们建议您升级 guix 程序包。

    如需了解 guix 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/guix

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5804 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5804-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2024 年 11 月 03 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：webkit2gtk CVE ID：CVE-2024-44244 CVE-2024-44296

    在 WebKitGTK Web 引擎中发现以下漏洞：

    CVE-2024-44244

        匿名研究人员 Q1IQ (@q1iqF) 和 P1umer 发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2024-44296

        Narendra Bhati 发现处理恶意构建的 Web 内容可能会阻止内容安全策略强制执行。

    对于稳定发行版本 (bookworm)，已在版本 2.46.3-1~deb12u1 中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3948 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3948-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2024 年 11 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：pypy3 版本：7.3.5+dfsg-2+deb11u3 CVE ID：CVE-2023-6597 CVE-2023-24329 CVE-2023-40217 CVE-2024-0450 Debian 缺陷：

    简介

    CVE-2023-6597

        在 CPython“tempfile.TemporaryDirectory”类别中发现一个问题，会影响版本 3.12.1、3.11.7、3.10.13、3.9.18、3.8.18 和之前版本。tempfile.TemporaryDirectory 类别会在清理权限相关错误期间取消引用符号链接。这表示可运行特权程序的用户在某些情况下可修改符号链接引用的文件的权限。

    CVE-2023-24329

        3.11.4 之前的 Python 的 urllib.parse 组件中存在一个问题，允许攻击者通过提供以空白字符开头的 URL 绕过阻止列表方法。

    CVE-2023-40217

        在 3.8.18 版之前的 Python、3.9.18 版之前的 Python 3.9.x、3.10.13 版之前的 Python 3.10.x 以及 3.11.5 版之前的 Python 3.11.x 中发现一个问题。这个问题主要影响使用 TLS 客户端身份验证的服务器（如 HTTP 服务器）。如果已经创建了 TLS 服务器端套接字，则请将数据接收到套接字缓存区中，然后迅速关闭，接着您便会看到短暂出现的窗口，在此期间，SSLSocket 实例会将套接字检测为“未连接”，而且不会初始化握手，缓冲的数据仍可从套接字缓存区读取。如果服务器端 TLS 对等机预期将进行客户端证书认证，此数据就无需接受认证，此外，服务器端 TLS 对等机也无法将其与有效的 TLS 流数据区分开来。数据的大小受到缓冲区适合数量的限制。（TLS 连接无法直接用于数据泄露，因为易受攻击的代码路径要求在 SSLSocket 初始化期间关闭连接。）

    CVE-2024-0450

        在 CPython“zipfile”模块中发现一个问题，会影响版本 3.12.1、3.11.7、3.10.13、3.9.18、3.8.18 和之前版本。zipfile 模块易受到 quoted-overlap zip-bombs 攻击，后者利用 zip 格式创建具有高压缩比的 zip-bomb。修复的 CPython 版本使 zipfile 模块拒绝与存档中的条目重叠的 zip 存档。

    对于 Debian 11 bullseye，已在 7.3.5+dfsg-2+deb11u3 版本中修复这些问题。

    我们建议您升级 pypy3 程序包。

    如需了解 pypy3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pypy3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3947 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3947-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2024 年 11 月 6 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：puma 版本：4.3.8-1+deb11u3 CVE ID：CVE-2024-21647 CVE-2024-45614


    已修复 puma（Ruby/Rack 应用程序的线程 HTTP 服务器）中的两个漏洞。

    CVE-2024-21647

        在解析分块传输编码主体时，出现允许 HTTP 请求走私的不正确行为。经修复的版本会限制区块扩展的大小。如果没有此限制，攻击者可造成无限资源（CPU、网络带宽）消耗。

    CVE-2024-45614

        客户端可通过提供相同标头 (X-Forwarded_For) 的下划线版本，来改写由中间代理（例如 X-Forwarded-For）设置的值。依赖代理集变量的任何用户都会受到影响。

    对于 Debian 11 bullseye，已在 4.3.8-1+deb11u3 版本中修复这些问题。

    我们建议您升级 puma 程序包。

    如需了解 puma 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/puma

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-3946 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3946-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 5 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：context 版本：2020.03.10.20200331-1+deb11u1

    通用文档处理器 Context 受到 CVE-2023-32700 补丁的影响，该补丁默认禁用 luasocket。

    此缺陷补丁版本修复了 context (postinst) 安装时使用的 mtxrun 程序，该程序被 CVE-2023-32700 修补程序损坏。

    对于 Debian 11 bullseye，已在 2020.03.10.20200331-1+deb11u1 版本中修复此问题。

    我们建议您升级 context 程序包。

    如需了解 context 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/context

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3945 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3945-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 11 月 5 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libheif 版本：1.11.0-1+deb11u2 CVE ID：CVE-2023-0996 CVE-2023-29659 Debian 缺陷：1032101 1035607

    已发现 libheif（HEIF 和 AVIF 图像格式的解码器和编码器）中存在两个问题，这些问题可能被特别构建的图像文件利用。

    对于 Debian 11 bullseye，已在 1.11.0-1+deb11u2 版本中修复这些问题。

    我们建议您升级 libheif 程序包。

    如需了解 libheif 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libheif

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
211975	Debian dla-3978：editorconfig - 安全更新	medium
211974	Debian dla-3976：tgt - 安全更新	medium
211973	Debian dla-3974：dnsmasq - 安全更新	high
211971	Debian dla-3975：proftpd-basic - 安全更新	critical
211963	Debian dla-3973：redis - 安全更新	medium
211959	Debian dla-3970：python3-twisted - 安全更新	medium
211958	Debian dla-3972：tzdata - 安全更新	high
211957	Debian dla-3971：firefox-esr - 安全更新	high
211954	Debian dla-3969：thunderbird - 安全更新	high
211928	Debian dsa-5820：firefox-esr - 安全更新	high
211927	Debian dla-3968：netatalk - 安全更新	critical
211926	Debian dsa-5821：thunderbird - 安全更新	high
211889	Debian dla-3967：libmpg123-0 安全更新	medium
211888	Debian dsa-5819：libapache2-mod-php8.2 - 安全更新	critical
211778	Debian dla-3965：ghostscript - 安全更新	high
211777	Debian dsa-5818：affs-modules-6.1.0-21-4kc-malta-di - 安全更新	high
211776	Debian dla-3962：libglib2.0-0 - 安全更新	critical
211755	Debian dsa-5817：chromium - 安全更新	high
211754	Debian dla-3963：ansible - 安全更新	medium
211753	Debian dla-3964：intel-microcode - 安全更新	medium
211724	Debian dla-3961：gir1.2-javascriptcoregtk-4.0 - 安全更新	medium
211631	Debian dla-3960：thunderbird - 安全更新	medium
211622	Debian dla-3959：guix - 安全更新	high
211606	Debian dla-3957：needrestart - 安全更新	high
211605	Debian dla-3958：libmodule-scandeps-perl - 安全更新	high
211604	Debian dsa-5815：needrestart - 安全更新	medium
211603	Debian dsa-5816：libmodule-scandeps-perl - 安全更新	high
211510	Debian dsa-5814：thunderbird - 安全更新	medium
211509	Debian dsa-5812：libecpg-compat3 - 安全更新	high
211508	Debian dla-3953：icinga2 - 安全更新	high
211507	Debian dsa-5813：php-symfony - 安全更新	high
211501	Debian dla-3956：smarty3 - 安全更新	medium
211494	Debian dla-3955：python-waitress-doc - 安全更新	high
211488	Debian dla-3954 : libecpg-compat3 - 安全更新	medium
211384	Debian dla-3952：libunbound-dev - 安全更新	medium
210952	Debian dla-3951：curl - 安全更新	medium
210823	Debian dla-3950：libarchive-dev - 安全更新	critical
210748	Debian dsa-5811：libmpg123-0 - 安全更新	medium
210747	Debian dsa-5810：chromium - 安全更新	high
210744	Debian dsa-5809：php-symfony - 安全更新	medium
210743	Debian dla-3949：ruby-saml - 安全更新	critical
210742	Debian dsa-5808：ghostscript - 安全更新	high
210728	Debian dsa-5807：libnss3 - 安全更新	high
210720	Debian dsa-5806：libarchive-dev - 安全更新	high
210629	Debian dsa-5805：guix - 安全更新	high
210545	Debian dsa-5804：gir1.2-javascriptcoregtk-4.0 - 安全更新	medium
210518	Debian dla-3948：pypy3 - 安全更新	critical
210422	Debian dla-3947：puma - 安全更新	medium
210378	Debian dla-3946：context - 安全更新	high
210377	Debian dla-3945：heif-gdk-pixbuf - 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

medium

medium

high

critical

medium

medium

high

high

high

high

critical

high

medium

critical

high

high

critical

high

medium

medium

medium

medium

high

high

high

medium

high

medium

high

high

high

medium

high

medium

medium

medium

critical

medium

high

medium

critical

high

high

high

high

medium

critical

medium

high

high