远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6106 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6106-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 1 月 22 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：inetutils CVE ID：CVE-2026-24061 Debian 缺陷：1126047

    Kyu Neushwastein 发现，inetutils 中的 telnetd 在将 USER 环境变量传递到登录前未进行净化处理。远程攻击者可以利用此缺陷，以根用户的身份登录，从而绕过正常的身份验证过程。

    对于旧稳定发行版本 (bookworm)，已在 2:2.4-2+deb12u2 版本中修复此问题。

    对于稳定发行版本 (trixie)，已在 2:2.6-3+deb13u1 版本中修复此问题。

    我们建议您升级 inetutils 程序包。

    如需了解 inetutils 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/inetutils

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6105 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6105-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包modsecurity-crs CVE ID CVE-2026-21876

    发现 OWASP ModSecurity 核心规则集中的其中一个规则未能正确解析某些多部分请求。

    对于旧稳定发行版本 (bookbird)已在版本 3.3.4-1+deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)已在版本 3.3.7-1+deb13u1 中修复此问题。

    我们建议您升级 modsecurity-crs 程序包。

    如需了解 modsecurity-crs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6104 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6104-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包python-keystonemiddleware CVE ID CVE-2026-22797

    Grzegorz Grasza 发现 Openstack 中间件中存在一个漏洞用于为 Web 服务而不是 Keystone 服务提供认证和授权功能如果配置了外部 OAuth 提供程序则认证标头不能得到充分审查从而导致权限升级或用户假冒。

    旧稳定发行版本 (bookbird) 不受影响。

    对于稳定发行版本 (trixie)已在版本 10.9.0-2+deb13u1 中修复此问题。

    我们建议您升级 python-keystonemiddleware 程序包。

    有关 python-keystonemiddleware 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/python-keystonemiddleware

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4445 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4445-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u4 CVE ID：CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837

    cPython 中的多个安全补丁3.9。

    CVE-2022-37454

        Keccak XKCP SHA-3 实现在 sponge 函数接口中存在整数溢出和缓冲区溢出。这允许攻击者执行任意代码或消除预期的加密属性。

    CVE-2025-4516

        bytes.decode(unicode_escape, error=ignore|replace) 中的问题可导致崩溃。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。

    CVE-2025-6075

        如果传递给 os.path.expandvars() 的值由用户控制，扩展环境变量时可能导致性能降低。

    CVE-2025-8194

        tar 实现会处理具有负偏移的 tar 存档而不发生错误，从而在解析恶意构建的 tar 存档的过程中导致无限循环和死锁。

    CVE-2025-8291

        “zipfile”模块不会检查ZIP64中央目录结尾 (EOCD) 定位器记录偏移值的有效性，也不会用于定位 ZIP64EOCD 记录，而是假定 ZIP64EOCD 记录是上一个 ZIP 存档中存在的记录。攻击者可滥用此漏洞创建“zipfile”模块以有别于其他 ZIP 实现的方式处理的 ZIP 存档。

    CVE-2025-12084

        当使用 xml.dom.minidom 方法（例如与 _clear_id_cache() 存在依存关系的 appendChild()）构建嵌套元素时，算法为二次算法。构建过度嵌套的文档时，可用性可能会受到影响。

    CVE-2025-13836

        从服务器读取 HTTP 响应时，如果未指定读取量，则默认行为是使用 Content-Length。这使得恶意服务器能够让客户端将大量数据读取到内存中，可能导致 OOM 或其他 DoS。

    CVE-2025-13837

        加载 plist 文件时，plistlib 模块会按文件本身指定的大小读取数据，这意味着恶意文件可以造成 OOM 和 DoS 问题。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u4 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4443 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4443-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2026 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包dcmtk 版本3.6.5-1+deb11u6 CVE ID CVE-2025-14607 CVE-2025-14841 Debian 缺陷11229261123584

    已解决 DCMTK这是实现大部分医疗图像 DICOM 标准的库与应用程序的集合。

    CVE-2025-14607

        由 DcmByteString 函数处理的数据集中的非法属性可能造成内存损坏。

    CVE-2025-14841

        发送到 dcmqrscp即图像中心测试节点的无效消息可能会触发分段错误这是因为取消引用空指针所致。

    对于 Debian 11 Bullseye这些问题已在 3.6.5-1+deb11u6 版本中修复。

    建议您升级 dcmtk 程序包。

    如需了解 dcmtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dcmtk

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有受 dla-4444 公告中提及的漏洞影响的程序包。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4444-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2026 年 1 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包apache-log4j2 版本2.17.1-1~deb11u2 CVE ID CVE-2025-68161 Debian 缺陷1123744

    在 Java 日志框架 Apache Log4j2 中套接字 Appender 不对对等机证书执行 TLS 主机名验证即使 verifyHostName 配置属性或 log4j2.sslVerifyHostName 系统属性设置为 true。此问题可能允许中间人攻击者在特定且难以利用的条件下拦截或重定向日志流量。

    对于 Debian 11 Bullseye已在版本 2.17.1-1~deb11u2 中修复此问题。

    我们建议您升级 apache-log4j2 程序包。

    有关 apache-log4j2 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/apache-log4j2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4442 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4442-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 1 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包thunderbird版本 1:140.7.0esr-1~deb11u1 CVE ID CVE-2025-14327 CVE-2026-0877 CVE-2026-0878 CVE-2026-0879 CVE-2026-0880 CVE-2026-0882 CVE-2026-0883 CVE-2026-0884 CVE-2026-0885 CVE-2026-0886 CVE-2026-0887 CVE-2026-0890 CVE-2026-0891

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:140.7.0esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4441 公告中提及的多个漏洞影响。

    -lts-announce@lists.debian.org 主题：[安全] [DLA 4441-1] gpsd 安全更新

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4441-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 1 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：gpsd 版本：3.22-4+deb11u1 CVE ID：CVE-2025-67268 CVE-2025-67269 Debian 缺陷：1124799 1124800

    修复了 gpsd 中的多种漏洞。gpsd 是一种服务后台程序，用于监控一个或多个 GNSS (GPS) 或 AIS 接收器，而该接收器通过串行端口或 USB 端口连接到主机。

    CVE-2025-67268

        gpsd 的 drivers/driver_nmea2000.c 文件中包含一个基于堆的越界写入漏洞。
        处理 NMEA2000 PGN 129540 (GNSS 视图中的 Satellites) 数据包的 hnd_129540 函数无法对照 skyview 数组的大小 (184 个元素) 验证用户提供的卫星数量。这让攻击者可以提供高达 255 的卫星计数，引发超出数组边界写入问题，进而导致内存损坏、拒绝服务 (DoS)，甚至可能导致任意代码执行。

    CVE-2025-67269

        `gpsd/packet.c` 的 `nextstate()` 函数中存在一个整数下溢漏洞。
        解析 NAVCOM 数据包时，系统直接使用 `lexer->length = (size_t)c - 4` 计算负载长度，而未检查输入字节 `c` 是否小于 4。这会导致无符号整数下溢，并将 `lexer->length` 设置为极大值 (接近 `SIZE_MAX`)。然后，解析器会进入尝试消耗此大量字节的循环，从而导致 100% CPU 利用率和拒绝服务 (DoS) 情况。

    对于 Debian 11 bullseye，已在 3.22-4+deb11u1 版本中修复这些问题。

    我们建议您升级 gpsd 程序包。

    如需了解 gpsd 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gpsd

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6103 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6103-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包thunderbird CVE ID CVE-2025-14327 CVE-2026-0877 CVE-2026-0878 CVE-2026-0879 CVE-2026-0880 CVE-2026-0882 CVE-2026-0883 CVE-2026-0884 CVE-2026-0885 CVE-2026-0886 CVE-2026-0887 CVE-2026-0890 CVE-2026-0891

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于旧稳定发行版本 (book蠕虫)这些问题已在版本 1:140.7.0esr-1~deb12u1 中修复。

    对于稳定发行版本 (trixie)已在版本 1:140.7.0esr-1~deb13u1 中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6102 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6102-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 1 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包python-urllib3 CVE ID CVE-2025-50181 CVE-2025-66418 CVE-2026-21441 Debian 缺陷1108076 1122030 1125062

    在 python-urllib3带有 Python3 线程安全连接池的 HTTP 库中发现数个漏洞其可导致拒绝服务或请求伪造。

    对于旧稳定发行版本 (bookbird)已在版本 1.26.12-1+deb12u2 中修复这些问题。

    对于稳定发行版本 (trixie)已在版本 2.3.0-3+deb13u1 中修复这些问题。

    我们建议您升级 python-urllib3 程序包。

    如需了解 python-urllib3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-urllib3

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4440 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4440-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 1 月 16 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：ffmpeg 版本：7:4.3.9-0+deb11u2 CVE ID：CVE-2023-6603 CVE-2024-36615 CVE-2025-1594 CVE-2025-7700 CVE-2025-9951 CVE-2025-10256 CVE-2025-63757 Debian 缺陷：

    在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

    CVE-2023-6603

        在 FFmpeg 的 HLS 播放列表解析过程中发现一个缺陷。攻击者可能利用此漏洞，在初始化期间通过恶意构建的 HLS 播放列表触发空指针取消引用，从而造成拒绝服务。

    CVE-2024-36615

        FFmpeg n7.0 的 VP9 解码器中存在争用条件漏洞。这可能在视频编码参数导出过程中造成数据争用，因为端点数据在解码器线程附加的同时，会在输出线程被读取。

    CVE-2025-1594

        在 FFmpeg 7.1 和之前版本中发现一个归类为“严重”的漏洞。这会影响组件 AAC 编码器中 libavcodec/aacenc_tns.c 文件的函数 ff_aac_search_for_tns。攻击者可利用此漏洞造成基于堆栈的缓冲区溢出。可以远程发起攻击。该漏洞已被公开并可被使用。

    CVE-2025-7700

        在 FFmpegs ALS 音频解码器中发现一个缺陷，其未能对内存分配失败情况进行适当检查。这可能造成应用程序在处理某些畸形音频文件时崩溃。尽管该漏洞不会导致数据遭窃或系统失陷，但仍可被攻击者用以扰乱服务，造成拒绝服务。

    CVE-2025-9951

        jpeg2000dec FFmpeg 中存在堆缓冲区溢出写入漏洞，攻击者可能通过 JPEG2000 的通道定义 cdef 原子实现远程代码执行或造成拒绝服务。

    CVE-2025-10256

        FFmpegs Firequalizer 过滤器 (libavfilter/af_firequalizer.c) 中存在空指针取消引用漏洞，原因是其在 config_input() 函数中未检查 av_malloc_array() 的返回值。攻击者可利用此漏洞，诱骗受害者在启用 Firequalizer 过滤器的情况下处理精心构造的媒体文件，从而造成应用程序取消引用空指针并崩溃，最终导致拒绝服务。

    CVE-2025-63757

        FFmpeg 8.0 的 libswscale/output.c 中的 yuv2ya16_X_c_template 函数存在整数溢出漏洞。

    对于 Debian 11 bullseye，这些问题已在 7:4.3.9-0+deb11u2 版本中修复。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6101 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6101-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Packagefirefox-esr CVE ID CVE-2025-14327 CVE-2026-0877 CVE-2026-0878 CVE-2026-0879 CVE-2026-0880 CVE-2026-0882 CVE-2026-0883 CVE-2026-0884 CVE-2026-0885 CVE-2026-0886 CVE-2026-0887 CVE-2026-0890 CVE-2026-0891

    已在 Mozilla Firefox Web 浏览器中发现多个安全问题其可能导致执行任意代码、沙盒逃逸、信息泄露或欺骗。

    对于旧稳定发行版本 (bookbird)已在版本 140.7.0esr-1~deb12u1 中修复这些问题。

    对于稳定发行版本 (trixie)已在版本 140.7.0esr-1~deb13u1 中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4439 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4439-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 1 月 15 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包firefox-esr 版本 140.7.0esr-1~deb11u1 CVE ID CVE-2025-14327 CVE-2026-0877 CVE-2026-0878 CVE-2026-0879 CVE-2026-0880 CVE-2026-0882 CVE-2026-0883 CVE-2026-0884 CVE-2026-0885 CVE-2026-0886 CVE-2026-0887 CVE-2026-0890 CVE-2026-0891

    已在 Mozilla Firefox Web 浏览器中发现多个安全问题其可能导致执行任意代码、沙盒逃逸、信息泄露或欺骗。

    对于 Debian 11 Bullseye这些问题已在 140.7.0esr-1~deb11u1 版本中修复。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6100 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6100-1 security@debian.org https://www.debian.org/security/Andres Salomon 2026 年 1 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包chromium CVE ID CVE-2026-0899 CVE-2026-0900 CVE-2026-0901 CVE-2026-0902 CVE-2026-0903 CVE-2026-0904 CVE-2026-0905 CVE-2026-0906 CVE-2026-0907 CVE-2026-0908

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧稳定发行版本 (bookbird)已在版本 144.0.7559.59-1~deb12u1 中修复这些问题。

    对于稳定发行版本 (trixie)已在版本 144.0.7559.59-1~deb13u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4436 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4436-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2026 年 1 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    软件包：linux-6.1 版本：6.1.159-1~deb11u1 CVE ID：CVE-2024-47666 CVE-2025-37899 CVE-2025-38057 CVE-2025-38556 CVE-2025-38593 CVE-2025-38678 CVE-2025-39805 CVE-2025-40083 CVE-2025-40211 CVE-2025-40214 CVE-2025-40248 CVE-2025-40252 CVE-2025-40253 CVE-2025-40254 CVE-2025-40257 CVE-2025-40258 CVE-2025-40259 CVE-2025-40261 CVE-2025-40262 CVE-2025-40263 CVE-2025-40264 CVE-2025-40269 CVE-2025-40271 CVE-2025-40272 CVE-2025-40273 CVE-2025-40275 CVE-2025-40277 CVE-2025-40278 CVE-2025-40279 CVE-2025-40280 CVE-2025-40281 CVE-2025-40282 CVE-2025-40283 CVE-2025-40284 CVE-2025-40285 CVE-2025-40286 CVE-2025-40288 CVE-2025-40292 CVE-2025-40293 CVE-2025-40294 CVE-2025-40297 CVE-2025-40301 CVE-2025-40304 CVE-2025-40306 CVE-2025-40308 CVE-2025-40309 CVE-2025-40312 CVE-2025-40313 CVE-2025-40314 CVE-2025-40315 CVE-2025-40317 CVE-2025-40318 CVE-2025-40319 CVE-2025-40321 CVE-2025-40322 CVE-2025-40323 CVE-2025-40324 CVE-2025-40331 CVE-2025-40341 CVE-2025-40342 CVE-2025-40343 CVE-2025-40345 CVE-2025-40360 CVE-2025-40363 CVE-2025-68168 CVE-2025-68171 CVE-2025-68173 CVE-2025-68176 CVE-2025-68177 CVE-2025-68185 CVE-2025-68191 CVE-2025-68192 CVE-2025-68194 CVE-2025-68200 CVE-2025-68204 CVE-2025-68214 CVE-2025-68217 CVE-2025-68218 CVE-2025-68220 CVE-2025-68227 CVE-2025-68229 CVE-2025-68231 CVE-2025-68233 CVE-2025-68237 CVE-2025-68238 CVE-2025-68241 CVE-2025-68244 CVE-2025-68245 CVE-2025-68246 CVE-2025-68282 CVE-2025-68283 CVE-2025-68284 CVE-2025-68285 CVE-2025-68286 CVE-2025-68287 CVE-2025-68288 CVE-2025-68289 CVE-2025-68290 CVE-2025-68295 CVE-2025-68301 CVE-2025-68302 CVE-2025-68303 CVE-2025-68307 CVE-2025-68308 CVE-2025-68310 CVE-2025-68312 CVE-2025-68321 CVE-2025-68327 CVE-2025-68328 CVE-2025-68330 CVE-2025-68331 CVE-2025-68339 CVE-2025-68343 CVE-2025-68734 Debian Bug：919350 1106411 1114557 1119232 1120602 1120680

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于 Debian 11 Bullseye这些问题已在 6.1.159-1~deb11u1 版本中修复。此更新还修复报告给 Debian 的多个错误，它还包括稳定更新 6.1.159中提供的许多缺陷修复。

    建议您升级 linux-6.1 程序包。

    如需了解 linux-6.1 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux-6.1

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4437 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4437-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2026 年 1 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包gnupg2 版本2.2.27-2+deb11u3 CVE ID CVE-2025-68973 Debian 缺陷1124221

    在用于安全通信和数据存储的工具 gnupg2 中发现了多个问题。

    CVE-2025-68973

        GnuPG 的 armour 解析代码中存在内存损坏可被利用于提供越界缓冲区读取和写入等原语。这可能被利用到远程代码执行 (RCE) 的程度。

    其他问题

        + 潜在的密钥签名摘要算法降级。

          由于从未初始化的内存读取GnuPG 可能会在签名检查期间将消息摘要算法降级为不安全的 SHA1 算法。这会将用户 ID 证书签名的安全性降低为 SHA1 的安全性。SHA1 受到诸如选择前缀攻击之类的已知加密漏洞的影响。

        + 对分离的 PGP 签名的多种明文攻击。

          当 GnuPG 用户使用「--decrypt」查看与查看分离的签名时验证时攻击者可任意交换向 GnuPG 用户显示的明文。此攻击允许欺骗用户验证消息 遵循关于使用分离签名签名的消息内容的 GnuPG 使用最佳实践。请注意在许多情况下可以在签名类型之间进行转换即将不同的签名类型转换为分离的签名。

        + GnuPG 接受文字数据中的路径分隔符和路径遍历。

          GnuPG 接受未签名 Literal Data 数据包文件名字段中的任意文件路径并使用未经充分审查的值。结合诱骗用户使 ANSI 格式的输出更改通过明显的欺骗性 GnuPG 日志更改 GnuPG 输出可能导致在系统上创建或覆盖用户可写入的任何文件包括用户之后可能执行的可执行文件。

    对于 Debian 11 Bullseye这些问题已在 2.2.27-2+deb11u3 版本中修复。

    我们建议您升级 gnupg2 程序包。

    有关 gnupg2 详细的安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/gnupg2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4438 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4438-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2026 年 1 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包mongo-c-driver 版本1.17.6-1+deb11u2 CVE ID CVE-2025-12119

    在 mongo-c-driver(MongoDB C 客户端库) 中发现一个漏洞。如果传递大型选项mongoc_bulk_operation_t 可能读取无效内存。

    对于 Debian 11 Bullseye已在版本 1.17.6-1+deb11u2 中修复此问题。

    我们建议您升级 mongo-c-driver 程序包。

    如需 mongo-c-driver 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/mongo-c-driver

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6099 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6099-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包python-parsl CVE ID CVE-2026-21892

    Viral Vaghela 发现ParslPython 的并行脚本库中存在 SQL 注入漏洞。

    对于稳定发行版本 (trixie)此问题已在版本 2025.01.13+ds-1+deb13u1 中修复。

    我们建议您升级 python-parsl 程序包。

    有关 python-parsl 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/python-parsl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6098 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6098-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 1 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包: net-snmp CVE ID : CVE-2025-68615 Debian 缺陷: 1123861

    在简单网络管理协议应用程序套件 net-snmp 的 snmptrapd 后台程序中发现一个漏洞，此漏洞可导致拒绝服务或任意代码执行。

    对于旧稳定发行版本 (bookworm)，已在版本 5.9.3+dfsg-2+deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)，已在版本 5.9.4+dfsg-2+deb13u1 中修复此问题。

    我们建议您升级 net-snmp 程序包。

    如需了解 net-snmp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/net-snmp

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4434 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4434-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 1 月 6 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包sogo 版本5.0.1-4+deb11u3 CVE ID CVE-2024-34462 CVE-2025-63499 Debian 缺陷1071163 1121952

    在 groupware 服务器 SOGo 中发现多个 XSS 漏洞。

    CVE-2024-34462

        附件预览期间发生 XSS。

    CVE-2025-63499

        通过主题参数的跨站脚本 (XSS)。

    对于 Debian 11 Bullseye这些问题已在 5.0.1-4+deb11u3 版本中修复。

    我们建议您升级 sogo 程序包。

    有关 sogo 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/sogo

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6097 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6097-1 security@debian.org https://www.debian.org/security/Andres Salomon 2026 年 1 月 9 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2026-0628

    在 Chromium 中发现一个安全问题，此问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧的稳定发行版本 (bookworm)，已在版本 143.0.7499.192-1~deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)，已在版本 143.0.7499.192-1~deb13u1 中修复此问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6096 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6096-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：vlc CVE ID： 尚未提供

    在 VLC 媒体播放器中发现了多个漏洞打开畸形视频文件可导致拒绝服务或执行任意代码。

    对于旧稳定发行版本 (bookbird)已在版本 3.0.23-0+deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)已在版本 3.0.23-0+deb13u1 中修复此问题。

    建议您升级 vlc 程序包。

    如需了解 vlc 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/vlc

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6095 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6095-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包foomuuri CVE ID CVE-2025-67603 CVE-2025-67858

    Matthias Gerstner 发现 Foomuuri 防火墙发生器中存在两个漏洞可导致未经授权的用户篡改防火墙配置。

    对于稳定发行版本 (trixie)已在版本 0.27-2+deb13u1 中修复这些问题。

    我们建议您升级 foomuuri 程序包。

    有关 foomuuri 详细的安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/foomuuri

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4435 公告中提及的漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4435-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 1 月 7 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包libsodium 版本1.0.18-1+deb11u1 CVE ID CVE-2025-69277 Debian 缺陷1124374

    已发现 Sodium 加密库的 crypto_core_ed25519_is_valid_point() 函数错误处理有效椭圆曲线点的检查。

    对于 Debian 11 Bullseye已在版本 1.0.18-1+deb11u1 中修复此问题。

    我们建议您升级 libsodium 程序包。

    有关 libsodium 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libsodium

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6094 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6094-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Packagelibsodium CVE ID CVE-2025-69277

    已发现 Sodium 加密库的 crypto_core_ed25519_is_valid_point() 函数错误处理有效椭圆曲线点的检查。

    对于旧稳定发行版本 (bookbird)已在版本 1.0.18-1+deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)已在版本 1.0.18-1+deb13u1 中修复此问题。

    我们建议您升级 libsodium 程序包。

    有关 libsodium 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libsodium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4433 公告中提及的漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4433-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 1 月 5 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包ruby-rmagick 版本2.16.0-7+deb11u1 CVE ID CVE-2023-5349

    在 ruby-magickRuby 和 ImageMagick 之间的接口中发现内存泄漏缺陷。此问题可通过内存耗尽导致拒绝服务 (DOS)。

    对于 Debian 11 Bullseye已在版本 2.16.0-7+deb11u1 中修复此问题。

    我们建议您升级 ruby-rmagick 程序包。

    有关 ruby-rmagick 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/ruby-rmagick

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4432 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4432-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2026 年 1 月 4 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包curl 版本7.74.0-1.3+deb11u16 CVE ID CVE-2025-9086 Debian 缺陷

    易于使用的客户端 URL 传输库及命令行工具 Curl 中发现漏洞。它可造成崩溃或可能造成内存越界读取。

    对于 Debian 11 Bullseye已在版本 7.74.0-1.3+deb11u16 中修复此问题。

    建议您升级 curl 程序包。

    如需了解 curl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/curl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6093 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6093-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 4 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包gimp CVE ID CVE-2025-14422 CVE-2025-14424 CVE-2025-14425

    GIMP (GNU 图像处理程序) 中发现数个漏洞如果打开格式错误的 XCF、JPEG 2000 或 PNM 文件可导致拒绝服务或执行任意代码。

    对于旧稳定发行版本 (bookbird)已在版本 2.10.34-1+deb12u6 中修复这些问题。

    对于稳定发行版本 (trixie)已在版本 3.0.4-3+deb13u4 中修复这些问题。

    建议您升级 gimp 程序包。

    如需了解 gimp 的详细安全状态，请参阅其安全跟踪页面:
    https://security-tracker.debian.org/tracker/gimp

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4431 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4431-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 1 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包gimp 版本2.10.22-4+deb11u5 CVE ID CVE-2022-30067 CVE-2025-14422 CVE-2025-14425 Debian 缺陷

    在 GIMPGNU 图像操纵程序 (GNU Image Manipulation Program) 中发现数个漏洞如果打开格式错误的 XCF、PNM 和 JP2 文件可导致缓冲区溢出并可能执行任意代码。

    CVE-2022-30067

        GIMP 2.10.30 和 2.99.10 容易受到缓冲区溢出的影响。通过构建的 XCF 文件程序将分配大量内存从而导致内存不足或程序崩溃。

    CVE-2025-14422

        GIMP PNM 文件解析整数溢出远程代码执行漏洞。
        此漏洞可让远程攻击者在受影响的 GIMP 安装上执行任意代码。利用此漏洞需要用户交互，因为目标必须访问恶意页面或打开恶意文件。解析 PNM 文件时存在特定缺陷。此问题是未正确验证用户提供的数据所致，这可导致在分配缓冲区前出现整数溢出。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-28273。

    CVE-2025-14425

        GIMP JP2 文件解析基于堆的缓冲区溢出远程代码执行漏洞。
        此漏洞可让远程攻击者在受影响的 GIMP 安装上执行任意代码。利用此漏洞需要用户交互，因为目标必须访问恶意页面或打开恶意文件。解析 JP2 文件时存在特定缺陷。造成这一问题的原因是，在将用户提供的数据复制到基于堆的缓冲区之前，未正确验证这些数据的长度。
        攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-28248。


    对于 Debian 11 Bullseye这些问题已在 2.10.22-4+deb11u5 版本中修复。

    建议您升级 gimp 程序包。

    如需了解 gimp 的详细安全状态，请参阅其安全跟踪页面:
    https://security-tracker.debian.org/tracker/gimp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6092 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6092-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 1 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包smb4k CVE ID CVE-2025-66002 CVE-2025-66003 Debian 缺陷1122381

    在 smb4k一种 KDE 桌面实用工具中发现两个漏洞允许非特权挂载 Samba/CIFS 网络共享进而可导致本地拒绝服务或本地权限升级。

    对于稳定发行版本 (trixie)已在版本 4.0.0-1+deb13u1 中修复这些问题。

    我们建议您升级 smb4k 程序包。

    有关 smb4k 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/smb4k

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4430 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4430-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 1 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：net-snmp 版本：5.9+dfsg-4+deb11u3 CVE ID：CVE-2025-68615 Debian 缺陷：1069087 1123861

    net-snmp 是 SNMP 应用程序库、工具和后台程序。

    发送至 net-snmp snmptrapd 后台程序的特别构建的数据包可造成缓冲区溢出及后台程序崩溃。

    （永远不应向公共网络开放 SNMP 端口。除了确保 snmptrapd 的端口受到适当的防火墙保护或通过升级来确保 snmptrapd 端口外，无可用的缓解措施。）

    此外，还修复了解析 Linux >= 6.7 上的 /proc/net/snmp 的问题（包含额外 OutTransmits 字段）。

    对于 Debian 11 bullseye，已在版本 5.9+dfsg-4+deb11u3 中修复此问题。

    我们建议您升级 net-snmp 程序包。

    如需了解 net-snmp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/net-snmp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4429 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4429-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 12 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包imagemagick 版本 8:6.9.11.60+dfsg-1.3+deb11u8 CVE ID CVE-2025-65955 CVE-2025-66628 CVE-2025-68469 CVE-2025-68618 CVE-2025-68950 CVE-2025-69204 Debian 缺陷1122584 1122827

    修复了流行的图像处理套件 imagemagick 中的多种漏洞。

    CVE-2025-65955

         在 ImageMagick 的 Magick ++ 层中发现漏洞在通过空字符串调用 Options::fontFamily 时会出现。清除字体系列调用 中的 RelinquishMagickMemory
        _drawInfo->font释放字体字符串但使 _drawInfo->font 指向已释放的内存同时将 _drawInfo->family 设置为该指针现已无效。此后对 _drawInfo->font 的任何清理或重复使用都会导致空悬内存被重新释放或取消引用。DestroyDrawInfo 和其他 setterOptions::font、Image::font假定 _drawInfo->font 仍然有效因此销毁或后续更新会触发崩溃或堆损坏

    CVE-2025-66628

        TIM (PSX TIM) 映像解析器在其 ReadTIMImage 函数 (coders/tim.c) 中包含一个危急整数溢出漏洞。该代码从文件标头读取宽度和高度16 位值并计算 image_size = 2 * 宽度 * 高度而不检查溢出。在 32 位系统或 size_t 为 32 位的系统中当宽度和高度很大例如 65535时此计算可能会溢出封装为一个较小的值

    CVE-2025-68469

        ImageMagick 在处理构建的 TIFF 文件时崩溃

    CVE-2025-68618

        Magick 无法限制 SVG 文件读取的深度造成了 DoS 攻击。

    CVE-2025-68950

        Magick 未能限制形成循环的 MVG 相互引用

    CVE-2025-69204

        将恶意 MVG 文件转换为 SVG 造成整数溢出。

    对于 Debian 11 Bullseye这些问题已在版本 8:6.9.11.60+dfsg-1.3+deb11u8 中修复。

    建议您升级 imagemagick 程序包。

    如需了解 imagemagick 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/imagemagick

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4428 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4428-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 12 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包mediawiki 版本 1:1.35.13-1+deb11u6 CVE ID CVE-2025-67475 CVE-2025-67478 CVE-2025-67479 CVE-2025-67480 CVE-2025-67481 CVE-2025-67482 CVE-2025-67484

    mediawiki用于协同工作的网站引擎中发现多个安全漏洞这可导致信息泄露、拒绝服务或权限升级。

    CVE-2025-67475

        自动注释链接中的方括号并不总是转义。

    CVE-2025-67478

        RFC 2822 样式标头中不分隔值的逗号未转义因此可在下游解释为值分隔符。

    CVE-2025-67479

        “data-*”属性名称中的下划线和宽下划线未始终经过审查。

    CVE-2025-67480

        ApiQueryRevisionsBase 未检查目标页面的读取权限。

    CVE-2025-67481

        客户端消息中“style”属性审查不足 (jqueryMsg)。

        由于此类属性难以正确审查当浏览器供应商开发新的 CSS 功能时需要不断更新逻辑并且它们在客户端消息中的使用案例极为罕见因此不再允许使用。

        如果需要，“class”和“id”仍然允许，因此正常样式表可以定位这些元素。

    CVE-2025-67482

        Scribunto 扩展大整数 unpack() 中的段错误会影响某些 Lua 版本。

    CVE-2025-67484

        针对具有 editinterface 权限的用户的 xslt 选项造成的跨站脚本 (XSS) 漏洞。xslt 选项现在默认为禁用状态。如果需要以前的不安全行为可通过将“$wgEnableUnsafeXsltOption`设置为 true 来重新启用此行为。

    对于 Debian 11 Bullseye这些问题已在版本 1:1.35.13-1+deb11u6 中修复。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4427 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4427-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 12 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：php-dompdf 版本：0.6.2+dfsg-3.1+deb11u1 CVE ID：CVE-2021-3838 CVE-2022-2400

    在用于将 HTML 转换为 PDF 的 PHP 库 php-dompdf 中发现两个漏洞。

    CVE-2021-3838

        php-dompdf 容易受到 PHAR 反序列化攻击，因为在将其传递到 file_get_contents() 函数之前缺少协议检查。能够向服务器上传任何类型文件的攻击者可传入 phar:// 协议，以对上传的文件进行反序列化并实例化任意 PHP 对象。这可导致远程代码执行，尤其是将 DOMPdf 与具有已记录的 POP 链的框架（如 Laravel）或易受攻击的开发者代码一起使用时

    CVE-2022-2400

        php-dompdf 容易受到文件名外部控制攻击，攻击者可借此绕过未经允许的访问验证。

    对于 Debian 11 bullseye，已在版本 0.6.2+dfsg-3.1+deb11u1 中修复这些问题。

    我们建议您升级 php-dompdf 程序包。

    如需了解 php-dompdf 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php-dompdf

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4426 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4426-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 12 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包osslsigncode 版本2.5-4~deb11u1 CVE ID CVE-2023-36377 Debian 缺陷1035875

    在用于 PE/MSI/Java CAB 文件的基于 OpenSSL 的 Authenticode 签名工具 osslsigncode 中发现缓冲区溢出漏洞其可能允许恶意攻击者在签署特制文件时执行任意代码。

    对于 Debian 11 Bullseye已在版本 2.5-4~deb11u1 中修复此问题。

    我们建议您升级 osslsigncode 程序包。

    有关 osslsigncode 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/osslsigncode

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4425 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4425-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 12 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包python-django 版本 2:2.2.28-1~deb11u10 CVE ID CVE-2025-64459 CVE-2025-64460 Debian 缺陷1121788

    发现基于 Python 的 Web 开发框架 Django 中存在两个问题

     * CVE-2025-64459可能通过 QuerySet/Q 对象中的 _connector 关键字参数进行 SQL 注入。使用适当构建的字典作为 _connector 参数时QuerySet filter()、exclude() 和 get() 方法以及 Q() 类会受到 SQL 注入。

     * CVE-2025-64460XML 序列化程序文本提取中潜在的拒绝服务漏洞。django.core.serializers.xml_serializer.getInnerText() 中的算法复杂性问题允许远程攻击者通过提交到调用 XML Deserializer 的服务的特别构建的 XML 输入来造成潜在的拒绝服务触发 CPU 和内存耗尽。该漏洞源于递归收集文本节点时的重复字符串连接可产生超线性计算。

    对于 Debian 11 Bullseye这些问题已在版本 2:2.2.28-1~deb11u10 中修复。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4424 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4424-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 12 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包openjpeg2 版本 2.4.0-3+deb11u2 CVE ID CVE-2025-50952

    在组件 openjp2/dwt.c 中发现一个空指针取消引用。

    对于 Debian 11 Bullseye已在版本 2.4.0-3+deb11u2 中修复此问题。

    我们建议您升级 openjpeg2 程序包。

    如需了解 openjpeg2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjpeg2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4423 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4423-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 12 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包kodi 版本 2:19.1+dfsg2-2+deb11u2 CVE ID CVE-2023-23082 CVE-2023-30207


    在媒体播放器兼娱乐中心 Kodi 中发现了多个漏洞。

    CVE-2023-23082

        Kodi 中存在堆缓冲区溢出漏洞允许攻击者由于未正确长度传递到偏移参数值而造成拒绝服务。

    CVE-2023-30207

        在 Kodi 中发现的除以零问题允许攻击者通过使用构建的 mp3 文件造成拒绝服务

    对于 Debian 11 Bullseye这些问题已在版本 2:19.1+dfsg2-2+deb11u2 中修复。

    我们建议您升级 kodi 程序包。

    有关 kodi 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/kodi

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4422 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4422-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 12 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包pgbouncer 版本1.15.0-1+deb11u2 CVE ID CVE-2025-12819 Debian 缺陷

    PgBouncer 是 PostgreSQL 的轻量级连接池程序。

    CVE-2025-12819

        在低于 1.25.1 的 PgBouncer 中auth_query 连接处理程序中的不受信任搜索路径允许未经身份验证的攻击者通过 StartupMessage 中的恶意 search_path 参数在认证期间执行任意 SQL。

    对于 Debian 11 Bullseye已在版本 1.15.0-1+deb11u2 中修复此问题。

    我们建议您升级 pgbouncer 程序包。

    如需 pgbouncer 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/pgbouncer

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4416 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4416-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 12 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包rails 版本 2:6.0.3.7+dfsg-2+deb11u4 CVE ID CVE-2025-24293 CVE-2025-55193 Debian 缺陷1111106

    在 Rails Web 框架中发现多个安全问题可导致命令注入或记录非转义 ANSI 序列。

    对于 Debian 11 Bullseye这些问题已在版本 2:6.0.3.7+dfsg-2+deb11u4 中修复。

    我们建议您升级 rails 程序包。

    如需了解 rails 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rails

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个安装的程序包该程序包受到 dla-4421 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4421-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 12 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包python-urllib3 版本1.26.5-1~exp1+deb11u2 CVE ID CVE-2025-50181 CVE-2025-66418 Debian 缺陷1108076 1122030

    在 python-urllib3带有 Python 线程安全连接池的 HTTP 库中发现多个漏洞可导致拒绝服务或请求伪造。

    CVE-2025-50181

        PoolManager 实例化中禁用重试时未禁用重定向。尝试通过在 PoolManager 级别禁用重定向来缓解 SSRF 或开放重定向漏洞的应用程序仍然容易受到攻击。

    CVE-2025-66418

        解压缩链中的链接数量不受限制可让恶意服务器插入数量几乎不受限制的压缩步骤可导致拒绝服务。

    对于 Debian 11 Bullseye这些问题已在 1.26.5-1~exp1+deb11u2 版本中修复。

    我们建议您升级 python-urllib3 程序包。

    如需了解 python-urllib3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-urllib3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4420 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4420-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 12 月 26 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包postgresql-13 版本 13.23-0+deb11u1 CVE ID CVE-2025-12817 CVE-2025-12818

    在广受欢迎的数据库管理系统 postgresql-13 中发现两个漏洞

    CVE-2025-12817

        PostgreSQL CREATE STATISTICS 命令中缺少授权允许表所有者通过在任何方案中创建 来实现对其他 CREATE STATISTICS 用户的拒绝服务。之后具有 CREATE 权限的用户执行相同名称的 CREATE STATISTICS 命令将会失败。

    CVE-2025-12818

        多个 PostgreSQL libpq 客户端库函数中的整数回绕允许应用程序输入提供程序或网络对等机造成 libpq 分配大小过小并写入数百兆字节的越界。这会导致使用 libpq 的应用程序出现分段错误。

    对于 Debian 11 Bullseye这些问题已在 13.23-0+deb11u1 版本中修复。

    建议您升级 postgresql-13 程序包。

    如需了解 postgresql-13 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-13

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4419 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4419-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 12 月 25 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包gst-plugins-good1.0 版本1.18.4-2+deb11u4 CVE ID CVE-2025-47183 CVE-2025-47219

    在 GStreamer 媒体框架的插件中发现多个漏洞可能会造成信息泄露。

    CVE-2025-47183

        在 GStreamer 中解析 MP4 文件时isomp4 插件的 qtdemux_parse_tree 函数可能会读取超过堆缓冲区的末尾从而导致信息泄露。

    CVE-2025-47219

        在 GStreamer 中解析 MP4 文件时isomp4 插件的 qtdemux_parse_trak 函数可能会读取超过堆缓冲区的末尾从而可能导致信息泄露。

    对于 Debian 11 Bullseye这些问题已在 1.18.4-2+deb11u4 版本中修复。

    我们建议您升级 gst-plugins-good1.0 程序包。

    如需了解 gst-plugins-good1.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gst-plugins-good1.0

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4418 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4418-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 12 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包python- Mechanize 版本 1:0.4.5-2+deb11u1 CVE ID CVE-2021-32837

    GitHub Security Lab 的 Erik Krogh Kristensen 和 Rasmus Petersen 在 python- Mechanize一个用于自动与在 Perl 模块 WWW::Mechanize 之后建模的网站进行交互的库中发现一个 ReDoS正则表达式拒绝服务漏洞可导致拒绝服务解析畸形认证标头时的服务。

    对于 Debian 11 Bullseye此问题已在版本 1:0.4.5-2+deb11u1 中修复。

    我们建议您升级 python- Mechanize 程序包。

    有关 python- Mechanize 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/python-mechanize

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4417 公告中提及的漏洞的影响。

    - ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4417-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 12 月 21 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    程序包usbmuxd 版本1.1.1-2+deb11u1 CVE ID CVE-2025-66004 Debian 缺陷1122507

    发现 iPhone 和 iPod Touch 设备的 USB 多路复用器后台程序 usbmuxd 未能正确处理通过 SavePairRecord 命令接收的某些路径。本地攻击者可能利用此问题在任意位置删除和写入名为 *.plist 的文件。

    对于 Debian 11 Bullseye已在版本 1.1.1-2+deb11u1 中修复此问题。

    我们建议您升级 usbmuxd 程序包。

    有关 usbmuxd 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/usbmuxd

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6091 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6091-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包wordpress CVE ID CVE-2025-58246 CVE-2025-58674

    在 WordPress 博客工具中发现多个安全问题这可导致跨站脚本或信息泄露。

    对于稳定发行版本 (trixie)这些问题已在版本 6.8.3+dfsg1-0+deb13u1 中修复。

    我们建议您升级 wordpress 程序包。

    如需了解 wordpress 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/wordpress

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6090 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6090-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package rails CVE ID CVE-2025-24293 CVE-2025-55193

    在 Rails Web 框架中发现多个安全问题可导致命令注入或记录非转义 ANSI 序列。

    对于旧稳定发行版本 (bookbird)这些问题已在版本 2:6.1.7.10+dfsg-1~deb12u2 中修复。

    对于稳定发行版本 (trixie)这些问题已在版本 2:7.2.2.2+dfsg-2~deb13u1 中修复。

    我们建议您升级 rails 程序包。

    如需了解 rails 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rails

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6088 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6088-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包php8.4 CVE ID CVE-2025-14177 CVE-2025-14178 CVE-2025-14180

    广泛使用的开源通用脚本语言 PHP 中发现多个安全问题可导致拒绝服务或内存泄露。

    对于稳定发行版本 (trixie)已在版本 8.4.16-1~deb13u1 中修复这些问题。

    我们建议您升级 php8.4 程序包。

    有关 php8.4 详细的安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/php8.4

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6089 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6089-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 12 月 21 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-14765 CVE-2025-14766

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在版本 143.0.7499.169-1~deb12u1 中修复这些问题。

    对于稳定发行版本 (trixie)，已在版本 143.0.7499.169-1~deb13u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包该程序包受到 dsa-6086 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6086-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 12 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Packagedropbear CVE ID CVE-2025-14282

    Turistu 发现Dropbear SSH 服务器中错误的权限处理可导致权限升级。

    旧稳定发行版本 (bookbird) 不受影响。

    对于稳定发行版本 (trixie)已在版本 2025.89-1~deb13u1 中修复此问题。

    建议您升级 dropbear 程序包。

    有关 dropbear 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/dropbear

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
294968	Debian dsa-6106：inetutils - 安全更新	critical
294903	Debian dsa-6105modsecurity-crs - 安全更新	medium
294807	Debian dsa-6104python-keystonemiddleware-doc - 安全更新	critical
294786	Debian dla-4445：idle-python3.9 - 安全更新	medium
293761	Debian dla-4443dcmtk - 安全更新	medium
293760	Debian dla-4444liblog4j2-java - 安全更新	medium
291356	Debian dla-4442thunderbird - 安全更新	high
291321	Debian dla-4441 : gpsd - 安全更新	critical
291303	Debian dsa-6103thunderbird - 安全更新	high
291292	Debian dsa-6102python3-urllib3 - 安全更新	high
291274	Debian dla-4440：ffmpeg - 安全更新	high
287950	Debian dsa-6101firefox-esr - 安全更新	high
287949	Debian dla-4439firefox-esr - 安全更新	high
284795	Debian dsa-6100chromium - 安全更新	critical
284514	Debian dla-4436linux-config-6.1 - 安全更新	high
284513	Debian dla-4437dirmngr - 安全更新	high
284512	Debian dla-4438libbson-1.0-0 - 安全更新	medium
283689	Debian dsa-6099python-parsl-doc - 安全更新	high
282609	Debian dsa-6098 : libnetsnmptrapd40 - 安全更新	critical
282560	Debian dla-4434sogo - 安全更新	medium
282535	Debian dsa-6097：chromium - 安全更新	high
282483	Debian dsa-6096libvlc-bin - 安全更新	high
282352	Debian dsa-6095foomuuri - 安全更新	high
282343	Debian dla-4435libsodium-dev - 安全更新	medium
281783	Debian dsa-6094libsodium-dev - 安全更新	medium
281763	Debian dla-4433ruby-rmagick - 安全更新	low
281645	Debian dla-4432curl - 安全更新	high
281643	Debian dsa-6093gimp - 安全更新	high
281613	Debian dla-4431gimp - 安全更新	medium
281598	Debian dsa-6092smb4k - 安全更新	high
281597	Debian dla-4430：libnetsnmptrapd40 - 安全更新	critical
281533	Debian dla-4429imagemagick - 安全更新	medium
280692	Debian dla-4428mediawiki - 安全更新	medium
280147	Debian dla-4427：php-dompdf - 安全更新	critical
280138	Debian dla-4426osslsigncode - 安全更新	high
280137	Debian dla-4425python-django-doc - 安全更新	medium
280125	Debian dla-4424libopenjp2-7 - 安全更新	medium
280114	Debian dla-4423kodi - 安全更新	medium
280099	Debian dla-4422pgbouncer - 安全更新	high
280081	Debian dla-4416rails - 安全更新	critical
280071	Debian dla-4421python3-urllib3 - 安全更新	high
279986	Debian dla-4420libecpg-compat3 - 安全更新	medium
279953	Debian dla-4419gstreamer1.0-gtk3 - 安全更新	high
279499	Debian dla-4418python3- Mechanize - 安全更新	high
279497	Debian dla-4417usbmuxd - 安全更新	medium
279495	Debian dsa-6091wordpress - 安全更新	medium
279494	Debian dsa-6090rails - 安全更新	critical
279493	Debian dsa-6088libapache2-mod-php8.4 - 安全更新	high
279492	Debian dsa-6089：chromium - 安全更新	high
279441	Debian dsa-6086dropbear - 安全更新	medium

检测

Nessus 的 Debian Local Security Checks 系列

critical

medium

critical

medium

medium

medium

high

critical

high

high

high

high

high

critical

high

high

medium

high

critical

medium

high

high

high

medium

medium

low

high

high

medium

high

critical

medium

medium

critical

high

medium

medium

medium

high

critical

high

medium

high

high

medium

medium

critical

high

high

medium