远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6291 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6291-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：haproxy CVE ID： CVE-2026-33555

    Martino Spagnuolo 报告，快速且可靠的负载平衡反向代理 HAProxy 中的 HTTP/3 解析代码未正确验证接收到的正文大小和声明的 content-length 标头，这可导致 HTTP 请求走私。

    对于稳定发行版本 （trixie），已在版本 3.0.11-1+deb13u3 中修复此问题。

    建议您升级 haproxy 程序包。

    有关 haproxy 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/haproxy

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4595 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4595-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 5 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：gnutls28 版本：3.7.1-5+deb11u10 CVE ID：CVE-2026-3833 CVE-2026-5260 CVE-2026-33845 CVE-2026-33846 CVE-2026-42009 CVE-2026-42010 CVE-2026-42011 CVE-2026-42012 CVE-2026-42013 CVE-2026-42014 CVE-2026-42015 Debian 缺陷：1135319

    在实现传输层安全和数据报传输层安全协议的可移植库 GnuTLS 中发现多个漏洞，可导致绕过限制、拒绝服务、信息泄露、绕过身份验证或执行任意代码。

    CVE-2026-3833

        Oleh Konko 和 Joshua Rogers 独立发现名称限制处理期间的域名比较区分大小写，违反了 RFC 5280 7.2。对于排除的名称限制，这可能导致错误地接受本应被拒绝的域名。

    CVE-2026-5260

        Joshua Rogers 发现对于使用由 PKCS#11 标记支持的 RSA 密钥的服务器，在 RSA 密钥交换期间发送极短预主密钥的客户端可触发短堆越界读取。

    CVE-2026-33845

        Joshua Rogers 发现 DTLS 重组代码中可远程触发的下溢导致堆溢出。

    CVE-2026-33846

        Haruto Kimura、Oscar Reparaz 和 Zou Dikai 独立发现 GnuTLS 无法正确检查 DTLS 片段声明的一致 message_length 值，并且缺少对数组的边界检查，从而使攻击者能够造成堆覆盖。

    CVE-2026-42009

        Joshua Rogers 发现，对于具有重复序列号的数据包，用于按序列号排序 DTLS 数据包的比较器函数未遵守 qsort 比较器合同，这可能导致不明行为。

    CVE-2026-42010

        Joshua Rogers 发现配置有 RSA-PSK 的服务器错误地将包含 NUL 字符的用户名与被截断成 NUL 字符的用户名匹配，这可能导致绕过身份验证。

    CVE-2026-42011

        Haruto Kimura 发现，当上级 CA 仅有排除名称限制时，允许的名称限制被错误地忽略，从而导致绕过名称限制。

    CVE-2026-42012

        Oleh Konko 发现，包含 URI 或 SRV 主题备用名称的证书会回退到依据公用名检查 DNS 主机名，这可能导致此类证书被滥用，超出其原始用途。

    CVE-2026-42013

        Haruto Kimura 和 Joshua Rogers 独立发现，对包含超大主题备用名称的证书进行验证时，可能会回退到依据公用名检查 DNS 主机名。

    CVE-2026-42014

        Luigino Camastra 和 Joshua Rogers 发现，使用`gnutls_pkcs11_token_set_pin()`并在`oldpin == NULL`的情况下为缺少受保护身份验证路径的标记更改安全官 PIN，会导致释放后使用。

    CVE-2026-42015

        Zou Dikai 发现，向已包含 32 个元素的 PKCS#12 包追加元素时，可能会写入到该包内部数组的范围之外。

    此更新还修复了尚未分配 CVE ID 的其他安全问题：

        Joshua Rogers 发现与包含内嵌 NUL 字符的用户名重新握手，理论上可允许绕过`GNUTLS_ALLOW_ID_CHANGE`保护。

        Joshua Rogers 发现，比较 OCSP 签名 EKU OID 时未验证其长度，导致具有相同前缀的较短 OID 也能匹配成功。

        Haruto Kimura 发现 PKCS#11 信任删除错误路径中可能存在无效指针取消引用。

        Kamil Frankowicz 发现`gnutls_privkey_verify_params()`忽略了`p`和`q`不是互质的情况，目前在这种情况下会返回`GNUTLS_E_PK_INVALID_PRIVKEY`。

        Joshua Rogers 发现，如果`gnutls_x509_crt_list_import_pkcs11()`中途失败，信任列表清理代码会尝试释放已去初始化的证书条目，从而导致双重释放。

        Kamil Frankowicz 和 Joshua Rogers 独立发现，对 PEM 标头长度的边界检查不充分可导致对特别构建的输入的短堆越界读取。

    对于 Debian 11 bullseye，已在 3.7.1-5+deb11u10 版本中修复这些问题。

    我们建议您升级 gnutls28 程序包。

    如需了解 gnutls28 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gnutls28

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6294 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6294-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libgcrypt20 CVE ID： CVE-2026-41989

    发现 Libgcrypt 中 ECDH 加密（利用 NIST、Brainpool X448或 X25519 曲线）的错误实现可导致拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 1.10.1-3+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.11.0-7+deb13u1 中修复此问题。

    我们建议您升级 libgcrypt20 程序包。

    如需了解 libgcrypt20 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libgcrypt20

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6293 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6293-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：krb5 CVE ID： CVE-2026-40355 Debian 缺陷：1135317

    Cem Onat Karagun 发现在 krb5（Kerberos 的 MIT 实现）中的 NegoEx 解析中有两个漏洞。未经认证的远程攻击者可利用这些缺陷造成拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 1.20.1-2+deb12u5 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.21.3-5+deb13u1 中修复此问题。

    我们建议您升级 krb5 程序包。

    如需了解 krb5 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/krb5

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4598 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4598-1https://www.debian.org/lts/security/Bastien Roucaris 2026 年 5 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：nodejs 版本： 12.22.12~dfsg-1~deb11u8 CVE ID： CVE-2025-59465 CVE-2026-21637 CVE-2026-21714

    在 Node.js 中发现多个漏洞，可能导致拒绝服务或信息泄露。

    针对 Debian 11 bullseye，这些问题已在版本 12.22.12~dfsg-1~deb11u8 中修复。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4594 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4594-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 22 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:140.11.0esr-1~deb11u1 CVE ID：CVE-2026-8388 CVE-2026-8391 CVE-2026-8401 CVE-2026-8946 CVE-2026-8947 CVE-2026-8950 CVE-2026-8953 CVE-2026-8954 CVE-2026-8955 CVE-2026-8956 CVE-2026-8957 CVE-2026-8958 CVE-2026-8961 CVE-2026-8962 CVE-2026-8968 CVE-2026-8970 CVE-2026-8974 CVE-2026-8975

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:140.11.0esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4597 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4597-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 5 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：atril 版本：1.24.0-1+deb11u2 CVE ID： CVE-2026-46529

    已发现如果打开特别构建的 PDF 文件，简单的多页文档查看器 atril 容易出现命令注入漏洞。

    对于 Debian 11 bullseye，已在版本 1.24.0-1+deb11u2 中修复了此问题。

    建议您升级 atril 程序包。

    如需了解 atril 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/atril

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4599 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4599-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson 2026 年 5 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：jq 版本：1.6-2.1+deb11u2 CVE ID： CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 Debian 缺陷：1136445

    轻量级灵活的命令行 JSON 解析器 jq 中发现容易遭受多个内存损坏攻击，在解析不受信任的输入时，可能会通过堆损坏造成应用程序崩溃、拒绝服务情况，并可能造成任意代码执行。

    对于 Debian 11 bullseye，这些问题已在 1.6-2.1+deb11u2 版本中修复。

    我们建议您升级 jq 程序包。

    有关 jq 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/jq

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4596 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4596-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 5 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：evince 版本：3.38.2-1+deb11u1 CVE ID： CVE-2026-46529

    已发现如果打开特别构建的 PDF 文件，evince（一个简单的多页文档查看器）容易出现命令注入漏洞。

    对于 Debian 11 bullseye，此问题已在 3.38.2-1+deb11u1 版本中修复。

    建议您升级 evince 程序包。

    有关 evince 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/evince

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6292 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6292-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：haveged CVE ID： CVE-2026-41054 Debian 缺陷：1137096

    Dirk Mueller 发现，对 haveged（一种用户空间熵后台程序）的命令套接字执行凭据检查的函数中存在一个缺陷，可导致本地权限升级。

    对于旧稳定发行版本 （bookworm），已在版本 1.9.14-1+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.9.19-12+deb13u1 中修复此问题。

    建议您升级 haveged 程序包。

    有关 haveged 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/haveged

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6289 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6289-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：openvpn CVE ID： CVE-2026-35058 CVE-2026-40215

    OpenVPN 中发现两个安全漏洞，可能会造成拒绝服务或先前握手的数据包数据泄露。

    对于旧稳定发行版本 （bookworm），已在版本 2.6.14-0+deb12u1 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 2.6.14-1+deb13u2 中修复这些问题。

    我们建议您升级 openvpn 程序包。

    如需了解 openvpn 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openvpn

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6287 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6287-1 security@debian.org https://www.debian.org/security/Andres Salomon 2026 年 5 月 21 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2026-9110 CVE-2026-9111 CVE-2026-9112 CVE-2026-9113 CVE-2026-9114 CVE-2026-9115 CVE-2026-9116 CVE-2026-9117 CVE-2026-9118 CVE-2026-9119 CVE-2026-9120 CVE-2026-9121 CVE-2026-9122 CVE-2026-9123 CVE-2026-9124 CVE-2026-9126

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在 148.0.7778.178-1~deb12u1 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 148.0.7778.178-1~deb13u1 版本中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6290 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6290-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nss CVE ID：CVE-2026-6766 CVE-2026-6767 CVE-2026-6772

    在一组加密库 NSS 中发现数个漏洞，可导致拒绝服务或执行任意代码。

    对于稳定发行版本 （trixie），已在版本 2:3.110-1+deb13u2。

    我们建议您升级 nss 程序包。

    如需了解 nss 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nss

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6288 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6288-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2026-8388 CVE-2026-8391 CVE-2026-8401 CVE-2026-8946 CVE-2026-8947 CVE-2026-8950 CVE-2026-8953 CVE-2026-8954 CVE-2026-8955 CVE-2026-8956 CVE-2026-8957 CVE-2026-8958 CVE-2026-8961 CVE-2026-8962 CVE-2026-8968 CVE-2026-8970 CVE-2026-8974 CVE-2026-8975

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于旧的稳定发行版本 (bookworm)，已在 1:140.11.0esr-1~deb12u1 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 1:140.11.0esr-1~deb13u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4593 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4593-1https://www.debian.org/lts/security/Jochen Sprickerhof 2026 年 5 月 21 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：openjpeg2 版本：2.4.0-3+deb11u3 CVE ID： CVE-2026-6192

    在 uclouvain 中发现一个漏洞。这会影响 src/lib/openjp2/pi.c 库中opj_pi_initialise_encode的函数。利用此漏洞可导致整数溢出。攻击必须在本地进行。

    对于 Debian 11 bullseye，已在版本 2.4.0-3+deb11u3 中修复此问题。

    我们建议您升级 openjpeg2 程序包。

    如需了解 openjpeg2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjpeg2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上存在安装的程序包，该程序包受到 dsa-6286 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6286-1 security@debian.org Bonaccorso 2026 https://www.debian.org/security/Salvatore 年 5 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：evince CVE ID： CVE-2026-46529

    已发现如果打开特别构建的 PDF 文件，evince（一个简单的多页文档查看器）容易出现命令注入漏洞。

    对于旧稳定发行版本 （bookworm），已在版本 43.1-2+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 48.1-3+deb13u1 中修复此问题。

    建议您升级 evince 程序包。

    有关 evince 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/evince

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6283 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6283-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2026-8388 CVE-2026-8391 CVE-2026-8401 CVE-2026-8946 CVE-2026-8947 CVE-2026-8950 CVE-2026-8953 CVE-2026-8954 CVE-2026-8955 CVE-2026-8956 CVE-2026-8957 CVE-2026-8958 CVE-2026-8961 CVE-2026-8962 CVE-2026-8968 CVE-2026-8970 CVE-2026-8974 CVE-2026-8975

    在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、、绕过同源策略、特权提升、信息泄露、欺骗或沙盒逃逸。

    对于旧的稳定发行版本 (bookworm)，已在 140.11.0esr-1~deb12u1 版中修复这些问题。

    对于稳定发行版本 (trixie)，已在 140.11.0esr-1~deb13u1 版中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6285 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6285-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：bind9 CVE ID：CVE-2026-3039 CVE-2026-3592 CVE-2026-5946 CVE-2026-5950 CVE-2026-5947 CVE-2026-3593

    在 DNS 服务器实现 BIND 中发现数个漏洞，这可能导致拒绝服务。

    对于旧稳定发行版本 (bookworm)，已在版本 1:9.18.49-1~deb12u1 中修复这些问题。

    对于稳定发行版本 (trixie)，已在版本 1:9.20.23-1~deb13u1 中修复这些问题。

    我们建议您升级 bind9 程序包。

    有关 bind9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/bind9

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6284 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6284-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：pdns CVE ID： CVE-2026-42000 CVE-2026-42001 CVE-2026-42002 CVE-2026-42396

    PowerDNS DNS 服务器中发现多个漏洞，可能会造成拒绝服务或信息泄露。

    对于稳定发行版本 （trixie），已在版本 4.9.15-0+deb13u1 中修复这些问题。

    建议您升级 pdns 程序包。

    若要了解更多 pdns 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pdns

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4592 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4592-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：firefox-esr 版本：140.11.0esr-1~deb11u1 CVE ID：CVE-2026-8388 CVE-2026-8391 CVE-2026-8401 CVE-2026-8946 CVE-2026-8947 CVE-2026-8950 CVE-2026-8953 CVE-2026-8954 CVE-2026-8955 CVE-2026-8956 CVE-2026-8957 CVE-2026-8958 CVE-2026-8961 CVE-2026-8962 CVE-2026-8968 CVE-2026-8970 CVE-2026-8974 CVE-2026-8975

    在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、、绕过同源策略、特权提升、信息泄露、欺骗或沙盒逃逸。

    对于 Debian 11 bullseye，已在 140.11.0esr-1~deb11u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4591 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4591-1https://www.debian.org/lts/security/Thorsten Alteholz 2026 年 5 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：rsync 版本：3.2.3-4+deb11u4 CVE ID： CVE-2026-29518 CVE-2026-43617 CVE-2026-43618 CVE-2026-43619 CVE-2026-43620


    在快捷通用的远程（及本地）文件复制工具 rsync 中发现数个漏洞，可导致本地权限升级、绕过预期访问限制、向经认证的后台程序对等机泄露远程内存或拒绝服务。


    对于 Debian 11 bullseye，这些问题已在 3.2.3-4+deb11u4 版本中修复。

    建议您升级 rsync 程序包。

    如需了解 rsync 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rsync

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6282 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6282-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：rsync CVE ID：CVE-2026-29518 CVE-2026-43617 CVE-2026-43618 CVE-2026-43619 CVE-2026-43620 CVE-2026-45232

    在快捷通用的远程（及本地）文件复制工具 rsync 中发现数个漏洞，可导致本地权限升级、绕过预期访问限制、向经认证的后台程序对等机泄露远程内存或拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 3.2.7-1+deb12u5 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 3.4.1+ds1-5+deb13u3 中修复这些问题。

    建议您升级 rsync 程序包。

    如需了解 rsync 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rsync

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6281 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6281-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gnutls28 CVE ID： CVE-2026-3832 CVE-2026-3833 CVE-2026-5260 CVE-2026-5419 CVE-2026-33845 CVE-2026-33846 CVE-2026-42009 CVE-2026-42010 CVE-2026-42011 CVE-2026-42012 CVE-2026-42013 CVE-2026-42014 CVE-2026-42015 Debian 缺陷：1135319

    已在实现 TLS 和 SSL 协议的库 GnuTLS 中发现多种安全漏洞，可导致任意代码执行、拒绝服务、信息泄漏、证书滥用、名称限制绕过、认证绕过、吊销绕过或时序边信道攻击。

    对于旧的稳定发行版本 (bookworm)，已在 3.7.9-2+deb12u7 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在版本 3.8.9-3+deb13u4 中修复这些问题。

    我们建议您升级 gnutls28 程序包。

    如需了解 gnutls28 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gnutls28

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4588 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4588-1 debian-lts@lists.debian.org Hutchings 2026 https://www.debian.org/lts/security/Ben 年 5 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：linux-6.1 版本：6.1.172-1~deb11u1 CVE ID： CVE-2026-46333

    已在 Linux 内核中发现一个漏洞，可能导致信息泄漏或本地权限升级。

    对于 Debian 11 bullseye，已在版本 6.1.172-1~deb11u1 中修复了此问题。

    建议您升级 linux-6.1 程序包。

    如需了解 linux-6.1 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux-6.1

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4590 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4590-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas Kanashiro 2026 年 5 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：erlang 版本： 1:23.2.6+dfsg-1+deb11u4 CVE ID： CVE-2026-21620 CVE-2026-23941 CVE-2026-23942 CVE-2026-23943 Debian 缺陷：1128651 1130912

    在并发、实时、分布式函数语言 Erlang 中发现多个漏洞。

    CVE-2026-21620

        tftp_file 模块中的路径审查不足。

    CVE-2026-23941

        HTTP 请求的不一致解释（“HTTP 请求走私”）在 Erlang OTP（inets httpd 模块）中的漏洞允许 HTTP 请求走私。

    CVE-2026-23942

        未正确限制路径名称至受限目录（“路径遍历”）在 Erlang OTP（ssh_sftpd 模块）中的漏洞允许路径遍历。

    CVE-2026-23943

        Erlang OTP ssh（ssh_transport模块）中的高度压缩数据处理不当（压缩炸弹）漏洞允许通过资源耗尽造成拒绝服务。

    针对 Debian 11 bullseye，这些问题已在版本 .2.6+dfsg-1+deb11u4 中 1:23修复。

    建议您升级 erlang 程序包。

    有关 erlang 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-62801 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6280-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 18 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：netatalk CVE ID： CVE-2026-44047 CVE-2026-44048 CVE-2026-44049 CVE-2026-44050 CVE-2026-44051 CVE-2026-44052 CVE-2026-44054 CVE-2026-44055 CVE-2026-44057 CVE-2026-44060 CVE-2026-44062 CVE-2026-44064 CVE-2026-44066 CVE-2026-44068 CVE-2026-44076 CVE-2026-45354 CVE-2026-45355 CVE-2026-45356 CVE-2026-45698 CVE-2026-45699

    Apple 文件协议 （AFP） 的实现 Netatalk 中发现多个安全漏洞，可能会造成拒绝服务、信息泄露或执行任意代码。

    对于稳定发行版本 （trixie），已在版本 4.2.3~ds-1+deb13u2 中修复这些问题。

    建议您升级 netatalk 程序包。

    如需了解 netatalk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/netatalk

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4589 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4589-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 5 月 18 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nginx 版本：1.18.0-6.1+deb11u6 CVE ID： CVE-2025-53859 CVE-2026-1642 CVE-2026-27651 CVE-2026-27654 CVE-2026-27784 CVE-2026-28753 CVE-2026-32647 CVE-2026-40701 CVE-2026-42934 CVE-2026-42945 CVE-2026-42946 Debian 缺陷：1111138 1127053

    高性能的 web 和反向代理服务器 Nginx 中发现多个漏洞，可能会造成绕过授权规则或速率限制、拒绝服务或内存泄露。

    CVE-2025-53859

        NGINX Open Source 在 ngx_mail_smtp_module中存在漏洞，可能会允许未经身份验证的攻击者过度读取 NGINX SMTP 身份验证进程内存;因此，服务器端可能会泄漏发送到认证服务器的请求中发送的任意字节。此问题会在 NGINX SMTP 身份验证过程中发生，并要求攻击者针对目标系统做好准备，以提取泄露的数据。只有在下列情况下，此问题会影响 NGINX：（1） 使用 ngx_mail_smtp_module 构建的 （2）smtp_auth 指令配置了方法 none，以及 （3） 认证服务器返回 Auth-Wait 响应头。

    CVE-2026-1642

        配置为代理上游传输层安全 （TLS） 服务器时，NGINX OSS 中存在漏洞。在上游服务器端具有中间人 （MITM） 位置的攻击者以及攻击者无法控制的情况可能会将纯文本数据注入上游代理服务器的响应中。

    CVE-2026-27651

        当 NGINX Open Source 上启用 ngx_mail_auth_http_module 模块时，某些未公开的请求可能会造成工作进程终止。此问题可能在 （1） CRAM-MD5 或 APOP 认证已启用，且 （2） 认证服务器允许通过返回 Auth-Wait 响应头进行重试时发生。

    CVE-2026-27654

        NGINX Open Source 在 ngx_http_dav_module 模块中存在漏洞，可能会允许攻击者触发 NGINX 工作进程的缓冲区溢出;此漏洞可导致 NGINX 工作进程终止或修改文档根以外的源或目标文件名。当配置文件使用 DAV 模块 MOVE 或 COPY 方法、前缀位置（非正则表达式位置配置）和别名指令时，此问题会影响 NGINX Open Source。由于 NGINX 工作进程用户权限较低，无法访问整个系统，因此完整性影响受到限制。

    CVE-2026-27784

        NGINX Open Source 的 32 位实现在 ngx_http_mp4_module 模块中存在漏洞，可能会允许攻击者使用特制的 MP4 文件过度读取或覆盖 NGINX 工作内存，从而导致其终止。此问题仅影响以 ngx_http_mp4_module 模块构建且配置文件中使用了 mp4 指令的 32 位 NGINX Open Source。此外，只有当攻击者能够触发对具有 ngx_http_mp4_module 模块的特别构建的 MP4 文件的处理时，才可能发动攻击。

    CVE-2026-28753

        由于未正确处理 DNS 响应中的 CRLF 序列，NGINX Open Source 在 ngx_mail_smtp_module 模块中存在漏洞。这允许攻击者控制的 DNS 服务器将任意标头注入 SMTP 上游请求，导致潜在的请求操纵。

    CVE-2026-32647

        NGINX Open Source 在 ngx_http_mp4_module 模块中存在一个漏洞，可能会允许攻击者使用特制的 MP4 文件，触发缓冲区过度读取或过度写入 NGINX 工作进程内存，从而导致其终止或可能执行代码。如果 NGINX Open Source 使用 ngx_http_mp4_module 模块构建，且配置文件中使用了 mp4 指令，则此问题会影响 NGINX Open Source。此外，只有当攻击者能够触发对具有 ngx_http_mp4_module 模块的特别构建的 MP4 文件的处理时，才可能发动攻击。

    CVE-2026-40701

        当 ssl_verify_client 指令设置为 on 或可选，而 ssl_ocsp 指令设置为 on 或通过解析器配置叶参数时，NGINX Open Source 在 ngx_http_ssl_module 模块中存在一个漏洞。通过此配置，未经身份验证的攻击者可发送请求以及其无法控制的情况，导致 NGINX 工作进程中出现释放后使用堆错误。此漏洞可导致有限的数据修改或 NGINX 工作进程重新启动。

    CVE-2026-42934

        NGINX Open Source 在 ngx_http_charset_module 模块中存在漏洞。当配置了带有禁用缓冲区 （off） 指令的字符集、source_charset、charset_map和proxy_pass时，未经身份验证的攻击者可发送条件超出攻击者控制范围的请求，造成 NGINX 工作进程中的堆缓冲区过度读取，从而导致有限的内存泄露或重启。

    CVE-2026-42945

        NGINX Open Source 在 ngx_http_rewrite_module 模块中存在漏洞。当重写指令后紧跟重写、if 或 set 指令，以及使用包含问号 （？） 的替换字符串的未命名 Perl 兼容正则表达式 （PCRE） 捕获（例如 $1、$2）时，存在此漏洞。未经身份验证的攻击者及其无法控制的情况可通过发送构建的 HTTP 请求利用此漏洞。这可能会造成 NGINX 工作进程中发生堆缓冲区溢出，进而导致重启。此外，对于禁用了地址空间布局随机化 （ASLR） 的系统，代码执行是可能的。

    CVE-2026-42946

        ngx_http_scgi_module 和 ngx_http_uwsgi_module 模块中存在一个漏洞，可导致过量内存分配或数据过度读取。配置 scgi_pass 或 uwsgi_pass 时，具有控制上游服务器响应的中间人 （MITM） 能力的未经身份验证的攻击者可能会读取 NGINX 工作进程的内存或重新启动它。

    对于 Debian 11 bullseye，这些问题已在 1.18.0-6.1+deb11u6 版本中修复。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6279 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6279-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 5 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：redis CVE ID： CVE-2025-67733 CVE-2026-21863 Debian 缺陷：

    简介

    CVE-2025-67733

        Lua 脚本错误路径中的缺陷允许经认证的用户将 CR/LF 字节序列嵌入通过 redis.error_reply（） 或 Lua error（） 函数产生的错误回复中。由于 RESP 使用 CRLF 作为帧分隔符，客户端可能会将注入的序列解释为不相关回复的开头，从而允许攻击者将任意内容注入响应流并篡改同一连接上其他命令读取的数据。

    CVE-2026-21863

        clusterProcessPacket（） 中的群集总线数据包验证未验证由传入 PING、PONG 或 MEET 消息声明的 gossip-section 计数和 per-extension 标头是否确实适合接收到的数据包。可访问群集总线端口的对等机可发送特别构建的消息，其声明的长度超过数据包大小，导致服务器越界读取，并可能崩溃，从而导致拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 5:7.0.15-1~deb12u7 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 8.0.2-3+deb13u2 中修复这些问题。

    建议您升级 redis 程序包。

    如需了解 redis 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/redis

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上存在安装的程序包，该程序包受到 dsa-6278 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6278-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nginx CVE ID： CVE-2026-40701 CVE-2026-42934 CVE-2026-42945 CVE-2026-42946 CVE-2026-40460

    高性能的 web 和反向代理服务器 Nginx 中发现多个漏洞，可能会造成绕过授权规则或速率限制、拒绝服务或内存泄露。

    对于旧稳定发行版本 （bookworm），已在版本 1.22.1-9+deb12u7 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 1.26.3-3+deb13u5 中修复这些问题。

    建议您升级 nginx 程序包。

    如需了解 nginx 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nginx

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4587 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4587-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2026 年 5 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包： linux 版本： 5.10.251-5 CVE ID： CVE-2026-46333

    已在 Linux 内核中发现一个漏洞，可能导致信息泄漏或本地权限升级。

    对于 Debian 11 bullseye，已在版本 5.10.251-5中修复了此问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6276 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6276-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：ffmpeg CVE ID：尚不可用

    在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

    对于旧稳定发行版本 （bookworm），已在版本 7:5.1.9-0+deb12u1 中修复此问题。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6277 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6277-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：openjpeg2 CVE ID： CVE-2026-6192

    在 JPEG 2000 图像压缩/解压缩库 OpenJPEG 中发现整数溢出，打开格式错误的图像时可导致拒绝服务或可能执行任意代码。

    对于旧稳定发行版本 （bookworm），已在版本 2.5.0-2+deb12u3 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 2.5.3-2.1~deb13u2 中修复此问题。

    我们建议您升级 openjpeg2 程序包。

    如需了解 openjpeg2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjpeg2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4586 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4586-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 5 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：php7.4 版本：7.4.33-1+deb11u11 CVE ID：CVE-2026-6722 CVE-2026-6735 CVE-2026-7258 CVE-2026-7261 CVE-2026-7262 CVE-2026-7568 Debian 缺陷：1136054

    在广泛使用的开源通用脚本语言 PHP 中发现多个安全问题，这些问题会造成远程代码执行、信息泄露、拒绝服务。

    CVE-2026-6722

        在 SOAP 扩展中发现一个释放后使用问题，当 apache：Map 节点包含重复密钥时，这可能导致远程代码执行。

    CVE-2026-6735

        Conrad Draper 发现未正确审查 PHP-FPM 状态页面中的请求 URI，从而允许跨站脚本 （XSS）。

    CVE-2026-7258

        在“urldecode（）”中发现越界读取问题，可能导致在某些平台上拒绝服务。

    CVE-2026-7261

        Ilia Alshanetsky 发现，当 SoapServer 配置有 SOAP_PERSISTENCE_SESSION 时，标头解析失败之后发生释放后使用问题，可能会导致拒绝服务。

    CVE-2026-7262

        Ilia Alshanetsky 发现缺少“<value>”元素的 SOAP apache：Map 解码器中存在空指针取消引用问题，从而导致拒绝服务。

    CVE-2026-7568

        Aleksey Solovev 在 PHP 标准库的“metaphone（）”函数中发现一个有符号的整数溢出。

    对于 Debian 11 bullseye，已在 7.4.33-1+deb11u11 版本中修复这些问题。

    我们建议您升级 php7.4 程序包。

    如需了解 php7.4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php7.4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6273 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6273-1 security@debian.org https://www.debian.org/security/Andres Salomon 2026 年 5 月 15 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2026-8509 CVE-2026-8510 CVE-2026-8511 CVE-2026-8512 CVE-2026-8513 CVE-2026-8514 CVE-2026-8515 CVE-2026-8516 CVE-2026-8517 CVE-2026-8518 CVE-2026-8519 CVE-2026-8520 CVE-2026-8521 CVE-2026-8522 CVE-2026-8523 CVE-2026-8524 CVE-2026-8525 CVE-2026-8526 CVE-2026-8527 CVE-2026-8528 CVE-2026-8529 CVE-2026-8530 CVE-2026-8531 CVE-2026-8532 CVE-2026-8533 CVE-2026-8534 CVE-2026-8535 CVE-2026-8536 CVE-2026-8537 CVE-2026-8538 CVE-2026-8539 CVE-2026-8540 CVE-2026-8541 CVE-2026-8542 CVE-2026-8543 CVE-2026-8544 CVE-2026-8545 CVE-2026-8546 CVE-2026-8547 CVE-2026-8548 CVE-2026-8549 CVE-2026-8550 CVE-2026-8551 CVE-2026-8552 CVE-2026-8553 CVE-2026-8554 CVE-2026-8555 CVE-2026-8556 CVE-2026-8557 CVE-2026-8558 CVE-2026-8559 CVE-2026-8560 CVE-2026-8561 CVE-2026-8562 CVE-2026-8563 CVE-2026-8564 CVE-2026-8565 CVE-2026-8566 CVE-2026-8567 CVE-2026-8568 CVE-2026-8569 CVE-2026-8570 CVE-2026-8571 CVE-2026-8572 CVE-2026-8573 CVE-2026-8574 CVE-2026-8575 CVE-2026-8576 CVE-2026-8577 CVE-2026-8578 CVE-2026-8579 CVE-2026-8580 CVE-2026-8581 CVE-2026-8582 CVE-2026-8583 CVE-2026-8584 CVE-2026-8585 CVE-2026-8586 CVE-2026-8587

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在 148.0.7778.167-1~deb12u1 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 148.0.7778.167-1~deb13u1 版本中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4585 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4585-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 5 月 15 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：firewalld 版本：0.9.3-2+deb11u1 CVE ID： CVE-2026-4948 Debian 缺陷：

    在 firewalld 中发现一个缺陷，本地非特权用户可在没有适当认证的情况下修改运行时防火墙状态，从而导致网络安全配置未经授权的更改。

    对于 Debian 11 bullseye，已在版本 0.9.3-2+deb11u1 中修复此问题。

    建议您升级 firewalld 程序包。

    有关 firewalld 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firewalld

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6274 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6274-1https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID： CVE-2026-31499 CVE-2026-43088 CVE-2026-43109 CVE-2026-43220 CVE-2026-43490 CVE-2026-46333 Debian 缺陷：1119093 1131025 1135313

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于稳定发行版本 (trixie)，已在 6.12.88-1 版本中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6275 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6275-1https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID： CVE-2026-46333

    已在 Linux 内核中发现一个可能导致本地权限升级的漏洞。

    对于旧稳定发行版本 （bookworm），已在版本 6.1.172-1.

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4584 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4584-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2026 年 5 月 15 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：openssh 版本： 1:8.4p1-5+deb11u7 CVE ID： CVE-2025-61984 CVE-2025-61985 CVE-2026-35385 CVE-2026-35386 CVE-2026-35387 CVE-2026-35388 CVE-2026-35414 Debian 缺陷：1117529 1117530 1132572 1132573 1132574 1132575 1132576

    已在 SSH 协议套件的实现 OpenSSH 中发现多个漏洞。

    CVE-2025-61984

        SSH 允许用户名中的控制字符源自某些可能不受信任的来源，这可能导致在使用 ProxyCommand 时执行代码。

    CVE-2025-61985

        ssh 允许在 ssh:// URI 中使用“\0”字符，这可能导致在使用 ProxyCommand 时执行代码。

    CVE-2026-35385

        在旧版 （-O） 模式下以根用户身份下载文件且未设置 -p（保留模式）标记时，scp 不会像预期的那样清除已下载文件中的 setuid/setgid 位。此缺陷可追溯到原始的 Berkeley rcp 程序。此问题由 Cantina 和 Spearbit 的 Christos Papakonstantinou 报告。

    CVE-2026-35386

        对命令行上提供的用户名中的 shell 元字符的验证执行太晚，无法阻止某些情况下，这些元字符可从 ssh_config 中的 %-token 进行扩展。对于某些配置，例如在 Match exec 区块中使用 %u 标记的配置，能够控制传递给 ssh（1） 的用户名的攻击者可能执行任意 shell 命令。此问题由 Florian Kohnhuser 报告。

        OpenSSH 开发人员继续建议不要将 ssh（1） 和其他工具的命令行直接暴露给不受信任的输入。鉴于使用中的各种 shell 和用户配置，解决此问题的缓解措施不能是绝对的。

    CVE-2026-35387

        ssh 可使用非预期的 ECDSA 算法。在 PubkeyAcceptedAlgorithms 或 HostbasedAcceptedAlgorithms 中列出任何 ECDSA 算法都会被误解为所有 ECDSA 算法。此问题由 Cantina 和 Spearbit 的 Christos Papakonstantinou 报告。

    CVE-2026-35388

        未针对代理模式多路复用会话（即
        ssh -O 代理...）。由 Michalis Vasileiadis 报告。

    CVE-2026-35414

        将 authorized_keys principals= 选项与证书中的主体列表进行匹配时，使用了不正确的算法，该算法可在证书中的主体名称包含逗号字符的情况下导致不正确的匹配。要利用此条件，需要列出多个主体的 authorized_keys principals= 选项
        *和* 将颁发编码多个以逗号分隔的主体名称的证书的 CA（典型 CA 会严格限制它们要放置在证书中的主体名称）。此条件仅适用于 authorized_keys 中用户信任的 CA 密钥，主证书认证路径 （TrustedUserCAKeys/AuthorizedPrincipalsFile） 不受影响。由 Vladimir Tokarev 报告。

    针对 Debian 11 bullseye，这些问题已在版本 1:8.4p1-5+deb11u7 中修复。

    建议您升级 openssh 程序包。

    如需了解 openssh 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssh

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4583 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4583-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arnaud Rebillout 2026 年 5 月 15 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u7 CVE ID：CVE-2025-13462 CVE-2026-0672 CVE-2026-2297 CVE-2026-3644 CVE-2026-4224 CVE-2026-4519 Debian 缺陷：

    已在 Python 3.9 中发现多种漏洞。

    CVE-2025-13462

        tarfile 模块仍会将 AREGTYPE (\x00) 块的规范化应用到 DIRTYPE，即使在处理多区块成员（例如 GNUTYPE_LONGNAME 或 GNUTYPE_LONGLINK）时也是如此。与其他实现相比，这可导致 tarfile 模块错误解释构建的 tar 存档。

    CVE-2026-0672

        使用 http.cookies.Morsel 时，用户控制的 Cookie 值和参数可允许将 HTTP 标头注入消息。Patch 拒绝 Cookie 名称、值和参数中的所有控制字符。

    CVE-2026-2297

        CPython 中用于处理旧版 *.pyc 文件 (SourcelessFileLoader) 的导入钩子在 FileLoader（基类）中的处理有误，因此不会使用 io.open_code() 读取 .pyc 文件。
        因此，不会触发此审计事件的 sys.audit 处理程序。

    CVE-2026-3644

        CVE-2026-0672 的修复不完整，它拒绝了 http.cookies.Morsel 中的控制字符。Morsel.update()、|= 运算符和 unpickling 路径未经过修补，允许控制字符绕过输入验证。此外，BaseCookie.js_output() 缺少应用于 BaseCookie.output() 的输出验证。

    CVE-2026-4224

        当具有已注册 ElementDeclHandler 的 Expat 解析器解析包含深度嵌套内容模型的内联文档类型定义时，会发生 C 堆栈溢出。

    CVE-2026-4519

        The webbrowser.open() API 允许 URL 中出现前导破折号，某些网络浏览器可以将其作为命令行选项进行处理。现在，URL 中不再接受前导破折号。建议用户在将 URL 传递给 webbrowser.open() 之前对其进行清理。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u7 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6272 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6272-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nodejs CVE ID： CVE-2025-23085 CVE-2025-23166 CVE-2025-55131 CVE-2025-59465 CVE-2025-59466 CVE-2026-21710 CVE-2026-21713 CVE-2026-21714

    在 Node.js 中发现多个漏洞，可能导致拒绝服务或信息泄露。

    对于旧稳定发行版本 （bookworm），已在版本 18.20.4+dfsg-1~deb12u2 中修复这些问题。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6268 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6268-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：ffmpeg CVE ID：尚不可用

    在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

    对于稳定发行版本 （trixie），已在版本 7:7.1.4-0+deb13u1 中修复此问题。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6267 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6267-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于旧的稳定发行版本 (bookworm)，已在 1:140.10.2esr-1~deb12u1 版中修复这些问题。

    对于稳定发行版本 (trixie)，已在 1:140.10.2esr-1~deb13u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6271 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6271-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gsasl CVE ID：尚不可用

    已发现 GNU SASL 库的 DIGEST-MD5 解析器中缺少输入审查可造成拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 2.2.0-1+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 2.2.2-1.1+deb13u1 中修复此问题。

    建议您升级 gsasl 程序包。

    有关 gsasl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gsasl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4582 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4582-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:140.10.2esr-1~deb11u1 CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:140.10.2esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6270 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6270-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-17 CVE ID: CVE-2026-6472 CVE-2026-6473 CVE-2026-6474 CVE-2026-6475 CVE-2026-6476 CVE-2026-6477 CVE-2026-6478 CVE-2026-6479 CVE-2026-6637 CVE-2026-6638

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致授权绕过、执行任意代码、信息泄露、权限提升、SQL 注入或拒绝服务。

    对于稳定发行版本 (trixie)，已在版本 17.10-0+deb13u1 中修复这些问题。

    建议您升级 postgresql-17 程序包。

    如需了解 postgresql-17 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-6269 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6269-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-15 CVE ID: CVE-2026-6472 CVE-2026-6473 CVE-2026-6474 CVE-2026-6475 CVE-2026-6477 CVE-2026-6478 CVE-2026-6479 CVE-2026-6637

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致授权绕过、执行任意代码、信息泄露、权限提升、SQL 注入或拒绝服务。

    对于旧稳定发行版本 (bookworm)，已在版本 15.18-0+deb12u1 中修复这些问题。

    建议您升级 postgresql-15 程序包。

    如需了解 postgresql-15 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6266 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6266-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nghttp2 CVE ID： CVE-2026-27135 Debian 缺陷：1131369

    已发现 HTTP/2 协议的实现 nghttp2 可通过断言失败而崩溃。远程攻击者可利用此缺陷，通过在触发终止路径之后立即发送畸形帧来造成 DoS 攻击。

    对于旧稳定发行版本 （bookworm），已在版本 1.52.0-1+deb12u3 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.64.0-1.1+deb13u1 中修复此问题。

    建议您升级 nghttp2 程序包。

    如需了解 nghttp2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nghttp2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4581 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4581-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lukas Mrdian 2026 年 5 月 13 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nghttp2 版本：1.43.0-1+deb11u3 CVE ID： CVE-2026-27135 Debian 缺陷：1131369

    在实现 HTTP/2 的服务器、代理和客户端 nghttp2 中发现一个漏洞。

    CVE-2026-27135

        修复缺少的 iframe->state 验证以避免断言失败。从上游 v1.68.1 向后移植（提交 5c7df8f），包括提交 c619c7be0737ac78051b1cacf4b1ce5467eb838d 的上游测试用例。

    对于 Debian 11 bullseye，已在版本 1.43.0-1+deb11u3 中修复了此问题。

    建议您升级 nghttp2 程序包。

    如需了解 nghttp2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nghttp2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4580 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4580-1https://www.debian.org/lts/security/Thorsten Alteholz 2026 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：exim4 版本：4.94.2-7+deb11u5 CVE ID：尚未分配编号


    在 Exim 邮件传输代理中发现一个漏洞，可导致远程代码执行。


    对于 Debian 11 bullseye，已在版本 4.94.2-7+deb11u5 中修复此问题。

    我们建议您升级 exim4 程序包。

    如需了解 exim4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/exim4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6265 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6265-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：exim4 CVE ID：CVE-2026-40684 CVE-2026-40685 CVE-2026-40686 CVE-2026-40687

    在 Exim 邮件传输代理中发现多个漏洞，可能导致远程代码执行、拒绝服务或信息泄漏。

    对于旧稳定发行版本 (bookworm)，已在 4.96-15+deb12u2 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 4.98.2-1+deb13u2 版本中修复这些问题。

    我们建议您升级 exim4 程序包。

    如需了解 exim4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/exim4

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
316552	Debian DSA-6291：haproxy - 安全更新	medium
316551	Debian dla-4595：gnutls-bin - 安全更新	critical
316550	Debian dsa-6294：libgcrypt-bin - 安全更新	medium
316549	Debian DSA-6293：krb5-admin-server - 安全更新	high
316548	Debian DLA-4598：libnode-dev - 安全更新	high
316547	Debian dla-4594：thunderbird - 安全更新	critical
316546	Debian DLA-4597：atril - 安全更新	high
316545	Debian DLA-4599：jq - 安全更新	high
316544	Debian DLA-4596：evince - 安全更新	high
316543	Debian DSA-6292：haveged - 安全更新	high
316479	Debian DSA-6289：openvpn - 安全更新	medium
316478	Debian dsa-6287：chromium - 安全更新	high
316477	Debian DSA-6290：libnss3 - 安全更新	high
316476	Debian dsa-6288：thunderbird - 安全更新	critical
316379	Debian DLA-4593：libopenjp2-7 - 安全更新	medium
316044	Debian DSA-6286：evince - 安全更新	high
315943	Debian dsa-6283：firefox-esr - 安全更新	critical
315942	Debian dsa-6285：bind9 - 安全更新	critical
315941	Debian dsa-6284：pdns-backend-bind - 安全更新	high
315940	Debian dla-4592：firefox-esr - 安全更新	critical
315780	Debian DLA-4591：rsync - 安全更新	high
315779	Debian DSA-6282：rsync - 安全更新	high
315514	Debian dsa-6281：gnutls-bin - 安全更新	critical
315453	Debian DLA-4588：linux-config-6.1 - 安全更新	high
315240	Debian DLA-4590：erlang - 安全更新	high
315215	Debian DSA-62801：a2boot - 安全更新	critical
315178	Debian DLA-4589： libnginx-mod-http-auth-pam - 安全更新	critical
315099	Debian DSA-6279：redis - 安全更新	high
315084	Debian DSA-6278：libnginx-mod-http-geoip - 安全更新	critical
315071	Debian dla-4587：ata-modules-5.10.0-39-armmp-di - 安全更新	high
314996	Debian DSA-6276：ffmpeg - 安全更新	high
314995	Debian DSA-6277：libopenjp2-7 - 安全更新	medium
314994	Debian dla-4586：libapache2-mod-php7.4 - 安全更新	critical
314979	Debian dsa-6273：chromium - 安全更新	critical
314978	Debian DLA-4585：firewall-applet - 安全更新	medium
314977	Debian DSA-6274：ata-modules-6.12.74+deb13+1-armmp-di - 安全更新	medium
314976	Debian DSA-6275：affs-modules-6.1.0-44-4kc-malta-di - 安全更新	high
314975	Debian DLA-4584：openssh-client - 安全更新	high
314932	Debian dla-4583：idle-python3.9 - 安全更新	high
314747	Debian dsa-6272：libnode-dev - 安全更新	high
314707	Debian DSA-6268：ffmpeg - 安全更新	high
314706	Debian dsa-6267：thunderbird - 安全更新	high
314705	Debian dsa-6271：gsasl - 安全更新	high
314704	Debian dla-4582：thunderbird - 安全更新	high
314703	Debian dsa-6270：libecpg-compat3 - 安全更新	high
314702	Debian dsa-6269：libecpg-compat3 - 安全更新	high
314609	Debian DSA-6266：libnghttp2-14 - 安全更新	high
314499	Debian DLA-4581：libnghttp2-14 - 安全更新	high
314337	Debian DLA-4580：exim4 - 安全更新	high
314336	Debian dsa-6265：exim4 - 安全更新	critical

检测

Nessus 的 Debian Local Security Checks 系列

medium

critical

medium

high

high

critical

high

high

high

high

medium

high

high

critical

medium

high

critical

critical

high

critical

high

high

critical

high

high

critical

critical

high

critical

high

high

medium

critical

critical

medium

medium

high

high

high

high

high

high

high

high

high

high

high

high

high

critical