已发现远程桌面协议 (RDP) 服务器 xrdp 在不正确的位置调用了 PAM 函数 auth_start_session()，导致 PAM 会话模块未正确初始化，可能导致配置错误或权限升级，又称 pam_limits.so 绕过。对于 Debian 7“Wheezy”，这些问题已在 0.5.0-2+deb7u1 版本中修复。建议您升级 xrdp 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 JBIG2 解码器库中发现多个安全问题，如果打开格式错误的图像文件（通常嵌入在 PDF 文档中），可能导致拒绝服务或执行任意代码。

已发现使用 CPython 解释器分发的 smptlib 库中存在一个 TLS 剥离漏洞。如果 StartTLS 失败，该库不会返回错误，这可能允许中间人攻击者利用网络位置封锁 StartTLS 命令，从而绕过 TLS 保护。对于 Debian 7“Wheezy”，此问题已在 python3.2 版本 3.2.3-7+deb7u1 中修复。我们建议您升级 python3.2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在用于读写 Apple 二进制和 XML 属性列表格式的库 libplist 中发现更多漏洞。恶意的特制 plist 文件可能会在 parse_string_node 函数中触发基于堆的缓冲区溢出或内存分配错误，从而导致拒绝服务（应用程序崩溃）。对于 Debian 7“Wheezy”，这些问题已在 1.8-1+deb7u3 版本中修复。建议您升级 libplist 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

cPanel 安全团队在用于创建发送邮件的 HTML 表单的 CGI 程序 cgiemail 中发现数个安全漏洞：CVE-2017-5613 一个格式字符串注入漏洞，允许向 cgiemail 和 cgiecho 提供任意格式的字符串。有权提供 cgiemail 模板的本地攻击者可利用此漏洞以 web 服务器用户身份执行代码。现在cgiemail 模板中的格式字符串仅限于简单的 %s、%U 的 %H 序列。CVE-2017-5614 本地攻击者可利用 cgiemail 和 cgiecho 二进制文件中的一个开放重定向漏洞来强制重定向到任意 URL。现在这些重定向仅限于处理请求的域。CVE-2017-5615 cgiemail 和 cgiecho 二进制文件中的一个漏洞允许注入其他 HTTP 标头。现在从重定向位置剥离了换行符，以防止这一漏洞。CVE-2017-5616 缺少补遗参数转义会导致 cgiemail 和 cgiecho 二进制文件中出现反射型跨站 (XSS) 漏洞。现在输出经过 html 转义。对于 Debian 7“Wheezy”，这些问题已在 1.6-37+deb7u1 版本中修复。建议您升级 cgiemail 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在一组常用的图像处理程序和库 ImageMagick 中发现多个问题。这些问题包括拒绝服务和内存缓冲区过度读取。针对 Debian 7“Wheezy”，这些问题已在版本 8:6.7.7.10-5+deb7u12 中修复。建议您升级 imagemagick 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Google 的 Jann Horn 在 Unix 的 SMB/CIFS 文件、打印及登录服务器 Samba 中发现了一个检查时间到使用时间争用条件。恶意客户端可通过利用符号链接争用来访问未根据共享定义导出的服务器文件系统区域来利用此缺陷。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞将允许远程攻击者删除非预期文件、进行跨站脚本攻击或绕过重定向 URL 验证机制。

已在 audiofile 中发现多个漏洞。CVE-2017-6829 允许远程攻击者通过特制的文件造成拒绝服务（崩溃）。CVE-2017-6830, CVE-2017-6834, CVE-2017-6831, CVE-2017-6832, CVE-2017-6838, CVE-2017-6839, CVE-2017-6836 基于堆的缓冲区溢出，允许远程攻击者通过特制的文件导致拒绝服务（崩溃）。CVE-2017-6833, CVE-2017-6835 runPull 函数允许远程攻击者通过特制的文件导致拒绝服务（除零错误和崩溃）。CVE-2017-6837 允许远程攻击者通过与大量系数有关的向量造成拒绝服务（崩溃）。对于 Debian 7“Wheezy”，这些问题已在 0.3.4-2+deb7u1 版本中修复。建议您升级 audiofile 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

libxslt 容易受到 xsltAddTextString 函数中整数溢出的影响，可利用该溢出触发 64 位系统上的越界写入。对于 Debian 7“Wheezy”，已在版本 1.1.26-14.1+deb7u3 中修复了此问题。建议您升级 libxslt 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已在 audiofile 库中发现数个漏洞，如果处理格式错误的音频文件，可导致拒绝服务或执行任意代码。

已发现入侵检测工具 suricata 中存在一个漏洞；并未使用 IP 协议将片段与其数据包进行匹配，从而允许匹配精心构建的数据包（具有不同的协议），从而创建了目标主机无法重组的数据包。对于 Debian 7“Wheezy”，此问题已在 suricata 版本 1.2.1-2+deb7u1 中修复。我们建议您升级 suricata 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现用于操纵与 EXIF 兼容的 JPEG 文件的非图像部分的工具 jhead 中存在一个漏洞；远程攻击者可通过特制的图像数据执行任意代码。对于 Debian 7“Wheezy”，此问题已在 jhead 版本 1:2.95-1+deb7u1 中修复。建议您升级 jhead 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Cory Duplantis 在 R 编程语言中发现一个缓冲区溢出。PDF 生成期间，格式错误的编码文件可导致执行任意代码。

已发现 ioQuake3 游戏引擎的修改版本 ioquake3 对自动下载的内容（pk3 文件或游戏代码）执行的限制不充分，从而允许恶意游戏服务器修改包括驱动程序设置在内的配置设置。

已发现网络协议分析器 wireshark 在 ASTERIX、DHCPv6、NetScaler、LDSS、IAX2、WSP、K12 和 STANAG 4607 的分析器中包含数个漏洞，可能导致各种崩溃、拒绝服务或执行任意代码。

已发现“deluge”Bittorrent 客户端的 WebUI 组件中存在一个跨站请求伪造漏洞。对于 Debian 7“Wheezy”，此问题已在 deluge 版本 1.3.3-2+nmu1+deb7u1 中修复。建议您升级 deluge 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 R 编程语言的 LoadEncoding 功能中存在一个可利用的缓冲区溢出漏洞。特制的 R 脚本可造成缓冲区溢出，进而导致内存损坏。攻击者可发送恶意 R 脚本来触发此漏洞。对于 Debian 7“Wheezy”，已在版本 2.15.1-4+deb7u1 中修复了此问题。建议您升级 r-base 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-6814 通过媒体文件元数据导致跨站脚本 (XSS) 漏洞 CVE-2017-6815 控制字符可欺骗 wp-includes/pluggable.php 中的重定向 URL 验证 CVE-2017-6816 管理员可使用插件删除功能删除非预期文件 对于 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u14 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现书中的一个 JavaScript 可使用 XMLHttpRequest 访问计算机上的文件。对于 Debian 7“Wheezy”，这些问题已在 0.8.51+dfsg1-0.1+deb7u1 版本中修复。建议您升级 calibre 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。- CVE-2017-5029 Holger Fuhrmannek 在 libxslt 库中发现一个整数溢出问题。- CVE-2017-5030 Brendon Tiszka 在 v8 JavaScript 库中发现一个内存损坏问题。- CVE-2017-5031 Looben Yang 在 ANGLE 库中发现一个释放后使用问题。- CVE-2017-5032 Ashfaq Ansari 在 pdfium 库中发现一个越界写入问题。- CVE-2017-5033 Nicolai Grodum 发现一种方式可绕过内容安全策略。- CVE-2017-5034 Ke Liu 在 pdfium 库中发现一个整数溢出问题。- CVE-2017-5035 Enzo Aguado 发现 omnibox 存在一个问题。- CVE-2017-5036 在 pdfium 库中发现一个释放后使用问题。- CVE-2017-5037 Yongke Wang 发现多个越界写入问题。- CVE-2017-5038 在客户机视图中发现一个释放后使用问题。- CVE-2017-5039 jinmo123 在 pdfium 库中发现一个释放后使用问题。- CVE-2017-5040 Choongwoo Han 在 v8 JavaScript 库中发现一个信息泄露问题。- CVE-2017-5041 Jordi Chancel 发现一个地址伪造问题。- CVE-2017-5042 Mike Ruddy 发现 cookie 处理不正确。- CVE-2017-5043 在客户机视图中发现另一个释放后使用问题。- CVE-2017-5044 Kushal Arvind Shah 在 skia 库中发现一个堆溢出问题。- CVE-2017-5045 Dhaval Kapil 发现一个信息泄露问题。- CVE-2017-5046 Masato Kinugawa 发现一个信息泄露问题。

已发现网络协议分析器 Wireshark 在 ASTERIX, DHCPv6、LDSS、IAX2、WSP 和 RTMPT 的分析器以及 NetScaler 和 K12 文件解析器中包含数个漏洞，可能导致各种崩溃、拒绝服务或执行任意代码。针对 Debian 7“Wheezy”，这些问题已在 1.12.1+g01b65bf-4+deb8u6~deb7u7 版本中修复。建议您升级 wireshark 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新包含 tzdata 2017a 中针对 Perl 绑定所做的变更。如需变更列表，请参阅 DLA-856-1。对于 Debian 7“Wheezy”，这些问题已在 1:1.58-1+2017a 版本中修复。我们建议您升级 libdatetime-time zone-perl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此更新包含 tzdata 2017a 中的变更。显著的变更如下：- 蒙古不再遵守夏令时。- 从 2017 年 5 月 13 日起，麦哲伦地区与圣地亚哥分离，并增加美洲/蓬塔阿雷纳斯时区。针对 Debian 7“Wheezy”，这些问题已在版本 2017a-0+deb7u1 中修复。我们建议您升级 tzdata 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现在 MariaDB 数据库服务器中存在多个问题。
将 MariaDB 升级到新的上游版本 10.0.30 便可修复这些漏洞。有关详细信息，请参阅 MariaDB 10.0 发行说明：

此更新可修复 imagemagick 中的数个漏洞：如果处理格式错误的 TGA、Sun 或 PSD 文件，多个内存处理问题和缺少或不完整输入清理的情况可导致拒绝服务或执行任意代码。此更新还修复了对 CMYK 图像运行 -sharpen 时的视觉伪影（无安全影响，但经 Debian 稳定版本经理批准后顺带附加至此安全更新，因为它在 jessie 中与 wheezy 相比属于回归）。

IMAP 服务器的 Webmail 解决方案 Roundcube 容易受到由 SVG 元素或 HTML 消息中特制的级联样式表 (CSS) 令牌序列导致的跨站脚本 (XSS) 漏洞影响。对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u6 版本中修复。建议您升级 roundcube 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Icoutils 是一组处理 MS Windows 图标和游标的程序。可使用 wrestool 从 MS Windows 可执行文件和库文件中提取图标和游标等资源。在这些工具中发现三个漏洞。CVE-2017-6009 在 wrestool 中发现一个缓冲区溢出。CVE-2017-6010 在 extract_icons 函数中发现一个缓冲区溢出。此问题可由处理损坏的 ico 文件触发，并可导致 icotool 崩溃。CVE-2017-6011 在 icotool 中发现越界读取，进而导致缓冲区溢出。对于 Debian 7“Wheezy”，这些问题已在版本 0.29.1+5deb7u2 中修复。建议您升级 icoutils 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在一组处理 MS Windows 图标和游标的程序 Icoutils 的 icotool 和 wrestool 工具中发现多个漏洞，如果处理格式错误的 .ico 或 .exe 文件，可允许拒绝服务或执行任意代码。

已发现在多协议即时消息传递客户端 Pidgin 中，无效的 XML 文件由恶意服务器发送时可触发越界内存访问。这可能会导致崩溃，或者在一些极端情况下，还可能导致客户端的远程代码执行。对于 Debian 7“Wheezy”，这些问题已在 2.10.10-1~deb7u3 版本中修复。建议您升级 pidgin 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已在 Mozilla Firefox Web 浏览器中发现多个安全问题。多个内存安全错误、释放后使用和其他实现错误可导致执行任意代码、ASLR 绕过、信息泄露或拒绝服务。针对 Debian 7“Wheezy”，这些问题已在版本 45.8.0esr-1~deb7u1 中修复。建议您升级 firefox-esr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在多协议即时消息客户端 Pidgin 中发现一个漏洞。攻击者控制的服务器可以发送无效 XML，其可触发越界内存访问。这可能会导致崩溃，或者在一些极端情况下，还可能导致客户端的远程代码执行。

已在 Mozilla Firefox Web 浏览器中发现多个安全问题。多个内存安全错误、释放后使用和其他实现错误可导致执行任意代码、ASLR 绕过、信息泄露或拒绝服务。

已发现 Wget（一种从 web 检索文件的工具）中存在一个标头注入漏洞，允许远程攻击者通过 CRLF 序列在 URL 的主机子组件中注入任意 HTTP 标头。对于 Debian 7“Wheezy”，此问题已在 wget 版本 1.13.4-3+deb7u4 中修复。建议您升级 wget 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

简介 CVE-2017-6349 修补程序 8.0.0377 之前的 vim 如果在读取损坏的撤销文件时未正确验证树状结构长度值，可能在 u_read_undo 内存分配站点发生整数溢出，并且可能导致缓冲区溢出。简介 CVE-2017-6350 修补程序 8.0.0378 之前的 vim 如果在读取损坏的撤销文件时未正确验证树状结构长度值，可能在 unserialize_uep 内存分配站点发生整数溢出，进而可能由此导致缓冲区溢出。对于 Debian 7“Wheezy”，这些问题已在 2:7.3.547-7+deb7u3 版本中修复。建议您升级 vim 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Linux 内核中发现多个可能导致权限升级、拒绝服务或造成其他影响的漏洞。

CVE-2016-9588

Jim Mattson 发现Intel x86 处理器的 KVM 实现未正确处理 L2嵌套虚拟机中的 #BP 和 #OF 异常。L2 客户机 VM 中的本地攻击者可利用此缺陷造成 L1 客户机 VM 的拒绝服务。

CVE-2017-2636

Alexander Popov 在 n_hdlc 线路规则中发现一个争用条件缺陷可能导致双重释放。本地非特权用户可利用此缺陷进行权限升级。在尚未加载 n_hdlc 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-n_hdlc.conf install n_hdlc false

CVE-2017-5669

Gareth Evans 报告特权用户可通过 shmat() 系统调用将内存映射到地址 0。由于此问题的存在，可能更容易通过 set-UID 程序利用其他内核安全漏洞。

CVE-2017-5986

Alexander Popov 报告 SCTP 实现中存在一个争用条件本地用户可利用此争用条件导致拒绝服务崩溃。
初始修复不正确并且引入了进一步的安全问题 (CVE-2017-6353)。此更新包含可避免这些问题的后续修复。在尚未加载 sctp 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-sctp.conf install sctp false

CVE-2017-6214

Dmitry Vyukov 报告了 TCP 实现对 splice() 系统调用中的紧急数据的处理中存在一个缺陷。远程攻击者可利用此错误对通过 splice() 从 TCP 套接字读取的应用程序进行拒绝服务（挂起）。

CVE-2017-6345

Andrey Konovalov 报告 LLC 2 类实现错误分配套接字缓冲区所有权。本地用户可利用此问题导致拒绝服务（内存损坏或崩溃）或权限升级。在尚未加载 llc2 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-llc2.conf install llc2 false

CVE-2017-6346

Dmitry Vyukov 报告原始数据包 (af_packet) 扇出功能中存在一个争用条件。具有 CAP_NET_RAW 能力（在任何用户命名空间中）的用户可利用此问题造成拒绝服务或可能的权限升级。

CVE-2017-6348

Dmitry Vyukov 报告 IrDA 子系统中的通用队列实现未正确管理多个锁可能允许本地用户在 IrDA 设备上通过特制的操作导致拒绝服务死锁。

对于 Debian 7“Wheezy”，这些问题已在 3.2.86-1 版本中修复。

对于 Debian 8“Jessie”，这些问题已在 3.16.39-1+deb8u2 版本中修复。

建议您升级 linux 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Linux 内核中发现多个可能导致权限升级、拒绝服务或造成其他影响的漏洞。

  - CVE-2016-9588 Jim Mattson 发现，Intel x86 处理器的 KVM 实现未正确处理 L2（嵌套）虚拟机中的 #BP 和 #OF 异常。L2 客户机 VM 中的本地攻击者可利用此缺陷造成 L1 客户机 VM 的拒绝服务。

  - CVE-2017-2636 Alexander Popov 在 n_hdlc 线路规则中发现一个争用条件缺陷，可能导致双重释放。本地非特权用户可利用此缺陷进行权限升级。在尚未加载 n_hdlc 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-n_hdlc.conf install n_hdlc false

  - CVE-2017-5669 Gareth Evans 报告特权用户可通过 shmat() 系统调用在地址 0 映射内存。
    由于此问题的存在，可能更容易通过 set-UID 程序利用其他内核安全漏洞。

  - CVE-2017-5986 Alexander Popov 报告 SCTP 实现中存在一个争用条件，本地用户可利用此争用条件导致拒绝服务（崩溃）。初始修复不正确并且引入了进一步的安全问题 (CVE-2017-6353 )。此更新包含可避免这些问题的后续修复。在尚未加载 sctp 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-sctp.conf install sctp false

  - CVE-2017-6214 Dmitry Vyukov 报告了 TCP 实现对 splice() 系统调用中的紧急数据的处理中存在一个缺陷。
    远程攻击者可利用此错误对通过 splice() 从 TCP 套接字读取的应用程序进行拒绝服务（挂起）。

  - CVE-2017-6345 Andrey Konovalov 报告 LLC 2 类实现错误分配套接字缓冲区所有权。本地用户可利用此错误导致拒绝服务（崩溃）。在尚未加载 llc2 模块的系统上此问题可通过禁用此模块来缓解echo >> /etc/modprobe.d/disable-llc2.conf install llc2 false

  - CVE-2017-6346 Dmitry Vyukov 报告了原始数据包 (af_packet) 扇出功能中的一个争用条件。具有 CAP_NET_RAW 能力（在任何用户命名空间中）的本地用户可利用此问题造成拒绝服务或可能的权限升级。

  - CVE-2017-6348 Dmitry Vyukov 报告 IrDA 子系统中的通用队列实现未正确管理多个锁，可能允许本地用户在 IrDA 设备上通过特制的操作导致拒绝服务（死锁）。

TeX 系统允许从 TeX 源代码内调用外部程序。很长一段时间以来这都仅限于少数程序。遗憾的是，事实证明列表中的一个程序 mpost 允许依次确定要运行的其他程序，因而在编译 TeX 文档时允许执行任意代码。对于 Debian 7“Wheezy”，这些问题已在 2012.20120611-5+deb7u1 版本中修复。建议您升级 texlive-base 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现提供基本 TeX 程序和文件的 texlive 程序包 texlive-base 将 mpost 列入白名单，作为要在 TeX 源代码内运行的外部程序（称为 \write18）。由于 mpost 允许指定其他要运行的程序，因此攻击者可以在编译 TeX 文档时利用此缺陷执行任意代码。

已发现字体渲染库 freetype 中存在拒绝服务漏洞。parse_charstrings 函数未确保字体包含字形名称，从而允许远程攻击者通过特制文件导致拒绝服务。对于 Debian 7“Wheezy”，此问题已在 freetype 版本 2.4.9-1.1+deb7u4 中修复。建议您升级 freetype 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现用于读写 zip 文件的 Ruby 模块 libzip-ruby 容易受到目录遍历漏洞的影响。攻击者可利用此缺陷在存档提取期间通过提取的文件名中的 ..（点点）来覆盖任意文件。对于 Debian 7“Wheezy”，这些问题已在 0.9.4-1+deb7u1 版本中修复。建议您升级 libzip-ruby 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Zabbix 网络监控系统的 web 前端的“最新数据”页面中发现了一个 SQL 注入漏洞。

已发现用于读写 zip 文件的 Ruby 模块 ruby-zip 容易受到目录遍历漏洞的影响。攻击者可利用此缺陷在存档提取期间通过提取的文件名中的 ..（点点）来覆盖任意文件。

Marco Romano 发现用于读写 QuickTime 文件的库 libquicktime 容易受到整数溢出攻击。特制的 MP4 文件在打开时可使应用程序崩溃，从而导致拒绝服务。

此更新可修复 imagemagick 中的数个漏洞：如果处理格式错误的 TIFF、WPG、IPL、MPC 或 PSB 文件，多个内存处理问题和缺少或不完整输入清理的情况可导致拒绝服务或执行任意代码。

X41 D-Sec GmbH 的 Eric Sesterhenn 在用于解压缩 application/ms-tnef 类型 MIME 附件的工具 tnef 中发现数个漏洞。通过诱骗用户打开恶意附件，可利用多个堆溢出、类型混淆以及越界读写漏洞。这可能导致拒绝服务（通过应用程序崩溃）或执行任意代码。

在 qemu（快速处理器仿真器）中发现多个漏洞。通用漏洞和暴露计划识别以下问题：CVE-2017-2615 qemu 中的 Cirrus CLGD 54xx VGA 仿真器容易受到越界访问问题的影响。在后向模式下以 bitblt 副本的方式复制 VGA 数据时，会发生上述情况。客户机中的特权用户可利用此缺陷使 Qemu 进程崩溃，进而导致 DoS，或可能在主机上以 Qemu 进程的权限执行任意代码。CVE-2017-2620 qemu 中的 Cirrus CLGD 54xx VGA 仿真器容易受到越界访问问题的影响。此问题可能在 cirrus_bitblt_cputovideo 中复制 VGA 数据时发生。客户机中的特权用户可利用此缺陷使 Qemu 进程崩溃，进而导致 DoS，或可能在主机上以 Qemu 进程的权限执行任意代码。CVE-2017-5898 CCID 卡设备仿真器支持容易受到整数溢出缺陷的影响。此缺陷可能在通过命令/响应数据包将消息传递至主机或从主机传出时发生。客户机中的特权用户可利用此缺陷使主机上的 Qemu 进程崩溃，从而导致 DoS。CVE-2017-5973 qemu 中的 USB xHCI 控制器仿真器支持容易受到无限循环问题的影响。此问题可能在 xhci_kick_epctx 中处理控制传输描述符的序列时发生。客户机中的特权用户可利用此缺陷使 Qemu 进程崩溃，从而导致 DoS。此更新还更新了 CVE-2016-9921 修复，因为该修复过于严格，致使某些客户机损坏。针对 Debian 7“Wheezy”，这些问题已在版本 1.1.2+dfsg-6+deb7u20 中修复。我们建议您升级 qemu 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已在 PDF 查看器 MuPDF 中发现多个漏洞，如果打开格式错误的 PDF 文件，可导致拒绝服务或执行任意代码。

Marco“nemux”Romano发现 libquicktime 1.2.4 及更低版本中 quicktime_read_pascal 函数中的整数溢出允许远程攻击者通过特制的 hdlr MP4 原子导致拒绝服务或可能造成其他不明影响。对于 Debian 7“Wheezy”，这些问题已在 2:1.2.4-3+deb7u1 版本中修复。建议您升级 libquicktime 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

CVE-2017-3135 使用 DNS64 和 RPZ 时断言失败可导致崩溃。针对 Debian 7“Wheezy”，这些问题已在版本 1:9.8.4.dfsg.P1-6+nmu2+deb7u15 中修复。我们建议您升级 bind9 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	严重性
99000	Debian DLA-872-1：xrdp 安全更新	high
97967	Debian DSA-3817-1：jbig2dec - 安全更新	medium
97966	Debian DLA-871-1：python3.2 安全更新	medium
97965	Debian DLA-870-1：libplist 安全更新	medium
97964	Debian DLA-869-1：cgiemail 安全更新	high
97963	Debian DLA-868-1：imagemagick - 安全更新	medium
97923	Debian DSA-3816-1：samba - 安全更新	high
97922	Debian DSA-3815-1：wordpress - 安全更新	medium
97921	Debian DLA-867-1：audiofile 安全更新	medium
97920	Debian DLA-866-1：libxslt 安全更新	high
97900	Debian DSA-3814-1：audiofile - 安全更新	high
97899	Debian DLA-865-1：suricata 安全更新	high
97898	Debian DLA-864-1：jhead 安全更新	high
97802	Debian DSA-3813-1：r-base - 安全更新	high
97801	Debian DSA-3812-1：ioquake3 - 安全更新	high
97800	Debian DSA-3811-1：wireshark - 安全更新	high
97799	Debian DLA-863-1：deluge 安全更新	high
97798	Debian DLA-861-1：r-base 安全更新	high
97797	Debian DLA-860-1：wordpress 安全更新	medium
97796	Debian DLA-859-1：calibre 安全更新	medium
97783	Debian DSA-3810-1：chromium 浏览器 - 安全更新	high
97782	Debian DLA-858-1：wireshark 安全更新	high
97781	Debian DLA-857-1：libdatetime-timezone-perl 新上游版本	high
97780	Debian DLA-856-1：tzdata 新上游版本	high
97757	Debian DSA-3809-1：mariadb-10.0 - 安全更新	medium
97699	Debian DSA-3808-1：imagemagick - 安全更新	high
97698	Debian DLA-855-1：roundcube 安全更新	medium
97697	Debian DLA-854-1：icoutils 安全更新	medium
97670	Debian DSA-3807-1：icoutils - 安全更新	medium
97669	Debian DLA-853-1：pidgin 安全更新	critical
97668	Debian DLA-852-1：firefox-esr 安全更新	critical
97644	Debian DSA-3806-1：pidgin - 安全更新	critical
97643	Debian DSA-3805-1：firefox-esr - 安全更新	critical
97642	Debian DLA-851-1：wget 安全更新	medium
97641	Debian DLA-850-1：vim 安全更新	critical
97640	Debian DLA-849-1 linux 安全更新	high
97615	Debian DSA-3804-1：linux - 安全更新	high
97614	Debian DLA-847-1：texlive-base 安全更新	critical
97589	Debian DSA-3803-1：texlive-base - 安全更新	critical
97588	Debian DLA-848-1：freetype 安全更新	high
97559	Debian DLA-846-1：libzip-ruby 安全更新	critical
97530	Debian DSA-3802-1：zabbix - 安全更新	critical
97529	Debian DSA-3801-1：ruby-zip - 安全更新	critical
97498	Debian DSA-3800-1：libquicktime - 安全更新	high
97475	Debian DSA-3799-1：imagemagick - 安全更新	critical
97474	Debian DSA-3798-1：tnef - 安全更新	high
97473	Debian DLA-845-1：qemu 安全更新	critical
97442	Debian DSA-3797-1：mupdf - 安全更新	high
97441	Debian DLA-844-1：libquicktime 安全更新	high
97440	Debian DLA-843-1：bind9 安全更新	medium

检测

Nessus 的 Debian Local Security Checks 系列

high

medium

medium

medium

high

medium

high

medium

medium

high

high

high

high

high

high

high

high

high

medium

medium

high

high

high

high

medium

high

medium

medium

medium

critical

critical

critical

critical

medium

critical

high

high

critical

critical

high

critical

critical

critical

high

critical

high

critical

high

high

medium