Adam Chester 发现，在打印机后台打印程序用来将传入 PostScript 数据转换为打印机本机格式的 foomatic-filters 中存在一个注入漏洞。这可导致执行任意命令。

在 DLA 365-1 中应用的修补程序可阻止使用（非转义）反撇号，此更新通过对分号起到同样作用对之前的更新进行补充。

对于 Debian 6 Squeeze，已在 foomatic-filters 版本 4.0.5-6+squeeze2+deb6u12 中修复此问题。

（感谢 Yann Soubeyrand 准备此更新后的 Debian 程序包）

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Cédric Krier 在 Tryton（使用 Python 编写的一种应用程序框架）的服务器端中发现了一个漏洞。经过认证的恶意用户可在记录字段中写入任意值，原因是在编写多条记录时错过了访问权限的检查。

旧稳定发行版本 (wheezy) 不受影响。

Ivan Zhakov 发现 mod_dav_svn 中存在整数溢出，允许具有服务器写入访问权限的攻击者执行任意代码或造成拒绝服务。

旧稳定发行版本 (wheezy) 不受影响。

已在 Cacti（以 PHP 语言编写的 RRDTool 前端）中发现多个 SQL 注入漏洞。攻击者可在 graph.php 脚本的 rra_id 值中使用特别构建的输入，来对数据库执行任意 SQL 命令。

已在 Iceweasel（Debian 版本的 Mozilla Firefox Web 浏览器）中发现多种安全问题：多种内存安全错误、整数溢出、释放后使用和其他实现错误，可能导致任意代码执行、同源策略绕过或拒绝服务。

Cybersecurity UPV Research Group 的 Hector Marco 和 Ismael Ripoll 在 Grub2（一种流行的引导加载程序）中发现了一个整数下溢漏洞。本地攻击者可通过插入构建的输入作为用户名或密码来绕过 Grub2 认证。

更多信息：
http://hmarco.org/bugs/CVE-2015-8370-Grub2-authentication-bypass.html CVE-2015-8370

已发现，BIND DNS 服务器未正确处理传入响应的解析，并允许 BIND 接受具有错误类的一些记录，而未因其畸形而将其拒绝。缓存这些记录后，可触发 REQUIRE 断言故障。远程攻击者可利用此缺陷对执行递归查询的服务器造成拒绝服务。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现，BIND DNS 服务器未正确处理传入响应的解析，并允许 BIND 接受具有错误类的一些记录，而未因其畸形而将其拒绝。缓存这些记录后，可触发 REQUIRE 断言故障。远程攻击者可利用此缺陷对执行递归查询的服务器造成拒绝服务。

Adam Chester 发现在 foomatic-rip 打印过滤器中缺少输入审查，可能导致任意代码执行。

已发现 pygments（一种以 Python 编写的语法强调程序包）中存在 shell 注入漏洞。

对于 Debian 6 Squeeze，已在 pygments 版本 1.3.1+dfsg-1+deb6u11 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。

- CVE-2015-6788 在处理扩展时发现类型混淆问题。

- CVE-2015-6789 cloudfuzzer 发现一个释放后使用问题。

- CVE-2015-6790 Inti De Ceukelaire 发现将 HTML 注入序列化网页的方式。

- CVE-2015-6791 在内部审计期间，chrome 47 开发团队发现并修复了各种问题。还修复了 v8 JavaScript 库，版本 4.7.80.23 中的多个问题。

来自 Horst Görtz Institute for IT Security 的 Tibor Jager、Jörg Schwenk 和 Juraj Somorovsky 在 ESORICS 2015 上发表了一篇论文，他们在该论文中描述了 Bouncy Castle Crypto（一种 Java 加密库）中的一种无效曲线攻击。攻击者能够恢复不同应用程序（例如 TLS 服务器）中的私有椭圆曲线密钥。

更多信息：
http://web-in-security.blogspot.ca/2015/09/practical-invalid-curve-att acks.html TLS-ECDH 上的实际无效曲线攻击：
http://euklid.org/pdf/ECC_Invalid_Curve.pdf

Takeshi Terada 在 PHPMailer 中发现一个漏洞，许多 CMS 都使用此 PHP 库进行电子邮件传输。此库接受包含换行符的电子邮件地址和 SMTP 命令，这可能被攻击者滥用于注入消息。

瓦伦西亚理工大学网络安全团队的 Hector Marco-Gisbert 报告，在启动过程中检查密码时 grub2 中存在缓冲区溢出。

对于 Debian 6“Squeeze”，已在 grub2 版本 1.98+20100804-14+squeeze2 中修复了此问题。我们建议您升级 grub2 程序包。

有关 Debian 长期支持 (LTS) 项目以及如何应用这些更新的信息，请参阅 https://wiki.debian.org/LTS/

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

据报告，kdelibs 使用不安全的 mktemp() 函数创建其用于托管用户特定套接字的临时目录。因此另一个用户可能劫持此临时目录并获取本不应具有的套接字访问权限。

在 Debian 6 'Squeeze' 中，已使用更安全的 mkdtemp() 函数在 kdelibs 3.5.10.dfsg.1-5+deb6u1 中解决了此问题。我们建议您升级 kdelibs 程序包。

其他 Debian 版本具有更新版本的库 (kdelibs4)，不受到此问题影响。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

据报告，arts 使用不安全的 mktemp() 函数创建其用于托管用户特定套接字的临时目录。
因此另一个用户可能劫持此临时目录并获取本不应具有的 IPC 访问权限。

在 Debian 6 'Squeeze' 中，已使用更安全的 mkdtemp() 函数在 arts 1.5.9-3+deb6u1 中解决了此问题。我们建议您升级 arts 程序包。

其他 Debian 版本没有 arts 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。

- CVE-2015-1302 Rub Wu 在 pdfium 库中发现了信息泄漏。

- CVE-2015-6764 Guang Gong 在 v8 JavaScript 库中发现了越界读取问题。

- CVE-2015-6765 发现 AppCache 中存在释放后使用问题。

- CVE-2015-6766 发现 AppCache 中存在释放后使用问题。

- CVE-2015-6767 发现 AppCache 中存在释放后使用问题。

- CVE-2015-6768 Mariusz Mlynski 发现绕过同源策略的方式。

- CVE-2015-6769 Mariusz Mlynski 发现绕过同源策略的方式。

- CVE-2015-6770 Mariusz Mlynski 发现绕过同源策略的方式。

- CVE-2015-6771 在 v8 JavaScript 库中发现越界读取问题。

- CVE-2015-6772 Mariusz Mlynski 发现绕过同源策略的方式。

- CVE-2015-6773 cloudfuzzer 在 skia 库中发现了越界读取问题。

- CVE-2015-6774 在扩展绑定中发现了释放后使用问题。

- CVE-2015-6775 Atte Kettunen 在 pdfium 库中发现了类型混淆问题。

- CVE-2015-6776 Hanno Böck 在 pdfium 使用的 openjpeg 库中发现了越界访问问题。

- CVE-2015-6777 Long Liu 发现了释放后使用问题。

- CVE-2015-6778 Karl Skomski 在 pdfium 库中发现了越界读取问题。

- CVE-2015-6779 Til Jasper Ullrich 发现 pdfium 库不审查“chrome:”URL。

- CVE-2015-6780 Khalil Zhani 发现了释放后使用问题。

- CVE-2015-6781 miaubiz 在 sfntly 库中发现了整数溢出问题。

- CVE-2015-6782 Luan Herrera 发现了 URL 欺骗问题。

- CVE-2015-6784 Inti De Ceukelaire 发现将 HTML 注入序列化网页的方式。

- CVE-2015-6785 Michael Ficarra 发现了绕过内容安全策略的方式。

- CVE-2015-6786 Michael Ficarra 发现了另一种绕过内容安全策略的方式。

在 Xen 虚拟化解决方案中发现多种安全问题，可能导致拒绝服务或信息泄露。

已发现在打印机后台打印程序用来将传入 PostScript 数据转换为打印机本机格式的 foomatic-filters 中存在一个注入漏洞。

对于 Debian 6 Squeeze，已在 foomatic filters 版本 4.0.5-6+squeeze2+deb6u11 中修复此问题

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Hanno Böck 发现 GnuTLS（一种实现 TLS 和 SSL 协议的库）未正确验证 CBC 模式中的第一个填充字节。远程攻击者可利用此缺陷执行 padding oracle 攻击。

对于 Debian 6 'Squeeze'，已在 gnutls26 版本 2.8.6-1+squeeze6 中修复此问题。我们建议您升级 gnutls26 程序包。

有关 Debian 长期支持 (LTS) 项目以及如何应用这些更新的信息，请参阅 https://wiki.debian.org/LTS/

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 libphp-phpmailer（即 PHP 的电子邮件传输库）中存在标头注入漏洞。

对于 Debian 6 Squeeze，已在 libphp-phpmailer 版本 5.1-1+deb6u11 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Guido Vranken 在模糊处理发送到 dhcpcd 的 DHCP 消息时发现多个与内存相关的漏洞。

对于 Debian 6“Squeeze”，已在版本 1:3.2.3-5+squeeze2 中修复这些问题。

CVE-2012-6698

具有特别构建的 DHCP 消息的越界写入。

CVE-2012-6699

具有特别构建的 DHCP 消息的越界读取。

CVE-2012-6700

具有特别构建的 DHCP 消息的释放后使用。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

1.51 之前的 Bouncy Castle Java 库不会验证某个点是否在椭圆曲线内部，这使远程攻击者更容易通过一系列构建的椭圆曲线 Diffie Hellman (ECDH) 密钥交换来获取私钥，又称“无效曲线攻击”。

对于 Debian 6 Squeeze，已在 1.44+dfsg-2+deb6u1 版本的 bouncycastle 中修复此问题。

非常感谢上游作者 Peter Dettmann 审查我们准备的向后移植。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了如下所述的 CVE。

CVE-2013-7446

Dmitry Vyukov 发现本地 (AF_UNIX) 套接字中特定顺序的有效操作可导致释放后使用。
这可以被利用来造成拒绝服务（崩溃），或可能实现权限升级。

CVE-2015-7799

&#x90ED;&#x6C38;&#x521A; 发现已获得 /dev/ppp 访问授权的用户可通过向 PPPIOCSMAXCID ioctl 传递无效的参数，造成拒绝服务（崩溃）。这也适用于 ISDN PPP 设备节点。

CVE-2015-7833

Sergej Schumilo、Hendrik Schwartke 和 Ralf Spenneberg 发现，处理 usbvision 驱动程序中的特定 USB 设备描述符时，存在一个缺陷。具有系统物理访问权限的攻击者可利用此缺陷造成系统崩溃。

CVE-2015-7990

已发现针对 CVE-2015-6937 的修复不完整。在未绑定的套接字上发送消息时存在争用条件，仍可造成空指针取消引用。远程攻击者能够通过发送构建的数据包造成拒绝服务（崩溃）。

CVE-2015-8324

“Valintinr”报告尝试挂载已损坏的 ext4 文件系统可能导致内核错误。获准挂载文件系统的用户可利用此缺陷导致系统崩溃。

对于旧稳定发行版本 (squeeze)，已在版本 2.6.32-48squeeze17 中修复了这些问题。我们建议您升级 linux-2.6 程序包。

对于旧稳定 (wheezy) 和稳定 (jessie) 发行版本，CVE-2015-7833、CVE-2015-7990 和 CVE-2015-8324 已修复，其他问题也将很快修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在安全套接字层工具包 OpenSSL 中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2015-3194 Qnective AG 的 Loic Jonas Etienne 发现，如果具有使用 RSA PSS 算法和缺少的掩码生成函数参数的 ASN.1 签名，签名验证例程将出现空指针取消引用并崩溃。远程攻击者可利用此缺陷造成任何证书验证操作崩溃和执行拒绝服务攻击。

- CVE-2015-3195 Google/BoringSSL 的 Adam Langley 发现，当具有畸形 X509_ATTRIBUTE 结构时，OpenSSL 将泄漏内存。

- CVE-2015-3196 已发现 PSK 身份提示处理中的一个争用条件缺陷，该缺陷可能导致身份提示数据的双重释放。

Luca Bruno 发现了一个整数溢出缺陷，该缺陷可在持久性键值数据库 redis 中导致基于堆栈的缓冲区溢出。
远程攻击者可利用此缺陷造成拒绝服务（应用程序崩溃）。

通过畸形 X509_ATTRIBUTE 结构显示时，OpenSSL 将泄漏内存。此结构由 PKCS#7 和 CMS 例程使用，因此任何从非受信源中读取 PKCS#7 或 CMS 数据的应用程序均会受影响。SSL/TLS 不受影响。

Kurt

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Michal Kowalczyk 发现在 foomatic-rip 打印过滤器中缺少输入审查，可能导致任意代码执行。。

旧稳定发行版本 (wheezy) 不受影响。

在 Icedove（Debian 版本的 Mozilla Thunderbird 邮件客户端）中发现多个安全问题：多个内存安全错误、整数溢出、缓冲区溢出及其他实现错误，可能导致任意代码执行或拒绝服务。

已发现在 PuTTY 的终端仿真器中处理 ECH（擦除字符）控制序列期间存在内存损坏整数溢出。远程攻击者可利用此缺陷来挂载拒绝服务，或可能执行任意代码。

已发现 GnuTLS（一个实现 TLS 和 SSL 协议的库）在 CBC 模式下未正确验证填充的第一个字节。远程攻击者可利用此缺陷执行 padding oracle 攻击。

已发现模拟 Web 浏览器的 PHP 类 Snoopy 中缺少输入审查可能导致任意命令执行。

对于旧稳定发行版本 (squeeze-lts)，已在版本 2.0.0-1~deb6u1 中修复此问题。

我们建议您升级 libphp-snoopy 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

CVE-2014-9496

libsndfile 的 sd2.c 中的 sd2_parse_rsrc_fork 函数允许攻击者通过与 (1) 映射偏移或 (2) rsrc 标记相关的矢量产生不明影响，这会触发越界读取。

CVE-2014-9756

libsndfile 的 file_io.c 中的 psf_fwrite 函数允许攻击者通过与 headindex 变量相关的不明矢量造成拒绝服务（除以零错误和应用程序崩溃）。

CVE-2015-7805

libsndfile 1.0.25 中基于堆的缓冲区溢出允许远程攻击者通过 AIFF 文件标头中的 headindex 值产生不明影响。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Hanno Boeck 在 Debian 程序包管理系统 dpkg 的 dpkg-deb 组件中发现一个基于堆栈的缓冲区溢出。如果某个用户或自动化系统受到诱骗处理特别构建的 Debian 二进制程序包 (.deb)，且此程序包为老式 Debian 二进制程序包格式，则此缺陷可造成执行任意代码。

此更新还包括更新后的翻译和额外的缺陷补丁。

已发现 NetScape Portable Runtime 库中错误的内存分配可能导致拒绝服务或任意代码执行。

Tero Marttila 发现，smokeping 的 Debian 程序包采用的安装方法是：Apache httpd (mod_cgi) 的 CGI 实现将附加参数传递给 smokeping_cgi 程序，从而可能在响应构建的 HTTP 请求时导致任意代码执行。

Ryan Butterfield 在高级 Python Web 开发框架 python-django 中发现日期模板过滤器中的一个漏洞。远程攻击者可利用此缺陷获取应用程序设置中的任何秘密。

CVE-2015-8241 xmlNextChar 中的 XML 解析器的缓冲区越界读取

CVE-2015-8317

- xmlParseXMLDecl 函数中的问题：如果处理 XMLDecl 的编码声明时未能转换当前输入流，则仅在此处中止而不尝试报告更多错误更安全。

- 如果未正确中止该字符串，则不尝试转换为给定编码。

针对 CVE-2015-7942 的上一个修补程序中的差一错误的又一个补丁（感谢 Salvatore 发现此错误）

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 Mozilla Network 安全服务库 nss 中存在多个漏洞。通用漏洞和暴露计划识别以下问题：

CVE-2015-7181

sec_asn1d_parse_leaf 函数错误地限制对不明数据结构的访问，从而允许远程攻击者通过与“不明故障后使用”问题相关的构建 OCTET STRING 数据造成拒绝服务（应用程序崩溃）或可能执行任意代码。

CVE-2015-7182

ASN.1 解码器中存在基于堆的缓冲区溢出，允许远程攻击者通过构建的 OCTET STRING 数据造成拒绝服务（应用程序崩溃）并可能执行任意代码。

对于旧稳定发行版本 (squeeze)，已在版本 3.12.8-1+squeeze13 中修复这些问题。

我们建议您升级 nss 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

将特别构建的图标 (.ico) 或 .pict 图像提交到 ImageMagick 可触发整数溢出，这可导致缓冲区溢出和内存分配问题。这可能导致拒绝服务甚至可能更糟，具体视情况而定。

对于 Debian 6 Squeeze，已在 imagemagick 8:6.6.0.4-3+squeeze7 中修复这些问题。我们建议您升级程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Apache Commons 集合遇到安全问题，使得应用程序接受来自非信任源的序列化对象。
远程攻击者可能利用这些问题执行任意 Java 函数，甚至注入被操纵的字节码。

此版本的 libcommons-collection3-java 通过禁用仿函数类的反序列化来防止这些问题，除非系统属性 org.apache.commons.collections.enableUnsafeSerialization 设置为“true”。以下类被视为不安全的类：CloneTransformer、ForClosure、InstantiateFactory、InstantiateTransformer、InvokerTransformer、PrototypeCloneFactory、PrototypeSerializationFactory 和 WhileClosure。

对于 Debian 6 “Squeeze”，已在 libcommons-collections3-java 版本 3.2.1-4+deb6u1 中修复这些问题。我们建议您升级 libcommons-collections3-java 程序包。

有关 Debian 长期支持 (LTS) 项目以及如何应用这些更新的信息，请参阅 https://wiki.debian.org/LTS/

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现基于 Web 的缺陷和项目管理工具 Redmine 中存在一个数据泄露漏洞。

时间日志记录表单可泄露不可见/不公开的问题的主题。由 Holger Just 提供修补程序。

对于 Debian 6 Squeeze，已在 redmine 版本 1.0.1-2+deb6u11 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

strxfrm() 函数在计算内存分配大小时容易受到整数溢出的影响（类似于 CVE-2012-4412）。
此外，由于它在 malloc() 失败时回退以使用 alloca()，因此容易受到基于堆栈的缓冲区溢出的影响（类似于 CVE-2012-4424）。

已在带 eglibc 2.11.3-4+deb6u8 的 Debian 6 Squeeze 中修复这些问题。我们建议您升级由 eglibc 提供的 libc6 及其他程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 Django（一个 Web 开发框架）的日期模板过滤器中存在潜在的设置泄漏。

如果应用程序允许用户为日期指定未经验证的格式，并将此格式传递到日期过滤器（如 {{last_updated|date:user_date_format }}），则恶意用户可以通过指定一个设置密钥（如“SECRET_KEY”，而非“j/m/Y”这样的日期格式）获取应用程序设置中的任何秘密。

为修补此问题，日期模板过滤器使用的底层函数 django.utils.formats.get_format() 现在只允许访问日期/时间格式设置。

对于 Debian 6 Squeeze，已在 python-django 版本 1.2.3-3+squeeze15 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

CVE-2013-4168

次要 XSS 问题已在上游 2.6.9 中解决，该问题由 Steven Chamberlain 发现，并由 LTS 安全团队进行向后移植。

-

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 PuTTY 的终端仿真器未正确验证 ECH（删除字符）控制序列的参数，可造成拒绝服务并可能执行远程代码。

对于旧稳定发行版本 (squeeze)，已在版本 0.60+2010-02-20-1+squeeze4 中修复此问题。

对于旧稳定发行版本 (wheezy) 和稳定发行版本 (jessie)，此问题将很快得到修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新向后移植来自 commons-collections 3.2.2 的更改，其禁用仿函数类的反序列化，除非将系统属性 org.apache.commons.collections.enableUnsafeSerialization 设置为“true”。这修复了不安全的应用程序中在不审查输入数据的情况下对来自非受信源的对象进行反序列化的漏洞。以下类被视为不安全的类：CloneTransformer、ForClosure、InstantiateFactory、InstantiateTransformer、InvokerTransformer、PrototypeCloneFactory、PrototypeSerializationFactory 和 WhileClosure。

已发现 symfony（一个创建网站和 Web 应用程序的框架）中存在多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2015-8124 RedTeam Pentesting GmbH 团队发现“Remember Me”登录功能中存在会话固定漏洞，可允许攻击者在事先获知会话 ID 值后冒充受害者使用 Web 应用程序。

- CVE-2015-8125 已发现 Symfony Security 组件的类中以及 Symfony Form 组件的旧 CSRF 实现中存在多种潜在的远程时序攻击漏洞。

已在 OpenJDK（Oracle Java 平台的实现）中发现多个漏洞。这些漏洞与任意代码执行、Java 沙盒中断、信息泄露及拒绝服务相关。

对于 Debian 6“Squeeze”，已在 openjdk-6 版本 6b37-1.13.9-1~deb6u1 中修复这些问题。

我们建议您升级 openjdk-6 程序包。

有关 Debian 长期支持 (LTS) 项目以及如何应用这些更新的信息，请参阅 https://wiki.debian.org/LTS/

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现重新绑定定向方法句柄的接收器可能导致攻击者访问受保护的方法。

ID	名称	严重性
87508	Debian DLA-371-1：foomatic-filters 安全更新	high
87479	Debian DSA-3425-1：tryton-server - 安全更新	medium
87431	Debian DSA-3424-1：subversion - 安全更新	high
87430	Debian DSA-3423-1：cacti - 安全更新	high
87429	Debian DSA-3422-1：iceweasel - 安全更新	critical
87428	Debian DSA-3421-1：grub2 - 安全更新	medium
87427	Debian DLA-370-1：bind9 安全更新	medium
87384	Debian DSA-3420-1：bind9 - 安全更新	medium
87383	Debian DSA-3419-1：cups-filters - 安全更新	high
87382	Debian DLA-369-1：pygments 安全更新	critical
87360	Debian DSA-3418-1：chromium 浏览器 - 安全更新	critical
87359	Debian DSA-3417-1：bouncycastle - 安全更新	medium
87331	Debian DSA-3416-1：libphp-phpmailer - 安全更新	medium
87330	Debian DLA-368-1：grub2 安全更新	medium
87316	Debian DLA-367-1：kdelibs 安全更新	high
87315	Debian DLA-366-1：arts 安全更新	high
87289	Debian DSA-3415-1：chromium 浏览器 - 安全更新	critical
87288	Debian DSA-3414-1：xen - 安全更新	medium
87287	Debian DLA-365-1：foomatic-filters 安全更新	high
87286	Debian DLA-364-1：gnutls26 安全更新	medium
87268	Debian DLA-363-1：libphp-phpmailer 安全更新	medium
87267	Debian DLA-362-1：dhcpcd 安全更新	high
87266	Debian DLA-361-1：bouncycastle 安全更新	medium
87265	Debian DLA-360-1：linux-2.6 安全更新	medium
87212	Debian DSA-3413-1：openssl - 安全更新	high
87187	Debian DSA-3412-1：redis - 安全更新	high
87186	Debian DLA-358-1：openssl 安全更新	medium
87175	Debian DSA-3411-1：cups-filters - 安全更新	high
87164	Debian DSA-3410-1：icedove - 安全更新	critical
87163	Debian DSA-3409-1：putty - 安全更新	medium
87162	Debian DSA-3408-1：gnutls26 - 安全更新	medium
87112	Debian DLA-357-1：libphp-snoopy 安全更新	critical
87111	Debian DLA-356-1：libsndfile 安全更新	critical
87080	Debian DSA-3407-1：dpkg - 安全更新	high
87079	Debian DSA-3406-1：nspr - 安全更新	high
87078	Debian DSA-3405-1：smokeping - 安全更新	high
87077	Debian DSA-3404-1：python-django - 安全更新	medium
87076	Debian DLA-355-1：libxml2 安全更新	medium
87075	Debian DLA-354-1：nss 安全更新	critical
87074	Debian DLA-353-1：imagemagick 安全更新	high
87073	Debian DLA-352-1：libcommons-collections3-java 安全更新	high
87072	Debian DLA-351-1：redmine 安全更新	medium
87071	Debian DLA-350-1：eglibc 安全更新	high
87070	Debian DLA-349-1：python-django 安全更新	medium
87069	Debian DLA-348-1：smokeping 安全更新	medium
87068	Debian DLA-347-1：putty 安全更新	medium
87058	Debian DSA-3403-1：libcommons-collections3-java - 安全更新	high
87057	Debian DSA-3402-1：symfony - 安全更新	high
87056	Debian DLA-346-1：openjdk-6 安全更新	critical
86998	Debian DSA-3401-1：openjdk-7 - 安全更新	medium

检测

Nessus 的 Debian Local Security Checks 系列

high

medium

high

high

critical

medium

medium

medium

high

critical

critical

medium

medium

medium

high

high

critical

medium

high

medium

medium

high

medium

medium

high

high

medium

high

critical

medium

medium

critical

critical

high

high

high

medium

medium

critical

high

high

medium

high

medium

medium

medium

high

high

critical

medium