Willem Pinckaers 发现，用于启用在线匿名功能的工具 Tor 未正确处理从网络读取的所有数据。
通过提供特别构建的数据包，远程攻击者可造成 Tor 发生堆溢出，进而使进程崩溃。尚未确认任意代码运行是否可行，但仍有潜在风险。

在稳定发行版本 (lenny) 中，此更新也纳入了 Tor 目录颁发机构 gabelmoo 的 IP 地址更新，并解决程序包的 postinst 维护者脚本中的漏洞。

Leviathan Security Group 的 Joel Voss 在 xpdf 渲染引擎中发现两个漏洞，如果打开畸形 PDF 文件，可能导致执行任意代码。

在 exim4 中发现数个漏洞，可允许远程攻击者以根用户身份执行任意代码。在通常环境中已发现有人利用这些问题。

此更新修正了一个内存损坏问题，其允许远程攻击者以 Debian-exim 用户身份执行任意代码 (CVE-2010-4344 )。

现在正在检查允许 Debian-exim 用户取得根权限的其他问题的补丁 (CVE-2010-4345 ) 是否存在兼容性问题。其尚未包含在此升级中，但很快将会在此公告的更新中发布。

在通过 Web 管理 MySQL 的工具 phpMyAdmin 中发现多个远程漏洞。通用漏洞和暴露计划识别以下问题：

  - CVE-2009-1150 导出页面中的跨站脚本漏洞允许攻击者放置由用户构建的 Cookie，以注入任意 Web 脚本或 HTML。

  - CVE-2009-1151 静态代码注入漏洞允许远程攻击者通过 setup.php 脚本将任意代码注入到 phpMyAdmin 中。在 Debian 中，此脚本正常情况下会受到 Apache 认证的保护。
    但是，由于最近有蠕虫恶意利用此漏洞，因此我们一定会修补漏洞，以保护仍会以某种方式泄露 setup.php 脚本的安装程序。

ID	名称	严重性
51398	Debian DSA-2136-1：tor - 缓冲区溢出	critical
51397	Debian DSA-2135-1：xpdf - 数个漏洞	medium
51128	Debian DSA-2131-1：exim4 - 任意代码执行	high
39569	Debian DSA-1824-1：phpmyadmin - 多个漏洞	high

检测

Nessus 的 Debian Local Security Checks 系列

critical

medium

high

high