远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5926 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5926-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2025-5263 CVE-2025-5264 CVE-2025-5266 CVE-2025-5267 CVE-2025-5268 CVE-2025-5269

    已在 Mozilla Firefox Web 浏览器中发现多个安全问题其可能导致执行任意代码或跨源泄露。

    对于稳定发行版本 (bookbird)已在版本 128.11.0esr-1~deb12u1 中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4182 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4182-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 5 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包syslog-ng 版本3.28.1-2+deb11u2 CVE ID CVE-2024-47619

    在增强日志后台程序 syslog-ng 中发现一个安全问题。在之前的版本中“tls_wildcard_match()”在诸如“foo.*.bar”等证书上匹配尽管这是不允许的。也可能传递部分通配符例如 glib 匹配但应避免/失效的“foo.a*c.bar”。此问题可能会影响 TLS 连接例如在中间人情况下。

    对于 Debian 11 Bullseye已在版本 3.28.1-2+deb11u2 中修复此问题。

    我们建议您升级 syslog-ng 程序包。

    有关 syslog-ng 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/syslog-ng

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4181 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4181-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 5 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：glibc 版本：2.31-13+deb11u13 CVE ID：CVE-2025-4802

    在 GNU C 库（Debian 使用的 C 标准库实现）的动态链接支援中发现一个缺陷。

    由于不受信任的 LD_LIBRARY_PATH 环境变量漏洞，调用 dlopen() 的静态编译 setuid 二进制文件中可能出现特权提升。这包括对 glibc 本身内部的 dlopen() 的调用，该调用在用户调用 setlocale() 或 NSS 函数（例如 getaddrinfo()）之后进行。

    对于 Debian 11 bullseye，已在版本 2.31-13+deb11u13 中修复此问题。

    建议您升级 glibc 程序包。

    如需了解 glibc 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/glibc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4180 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4180-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 5 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包pgbouncer 版本1.15.0-1+deb11u1 CVE ID CVE-2021-3935 CVE-2025-2291 Debian 缺陷1103394

    PgBouncer 是 PostgreSQL 的轻量级连接池程序。

    CVE-2021-3539

        当 PgBouncer 配置为使用 cert 认证时尽管使用了 TLS 证书验证和加密首次建立连接时中间人攻击者可注入任意 SQL 查询。此缺陷影响 1.16.1之前的 PgBouncer 版本。

    CVE-2025-2291

        在 PgBouncer 中可以使用过期密码由于 auth_query 未考虑 Postgres 的 VALID UNTIL 值从而允许攻击者使用已过期的密码进行登录

    对于 Debian 11 Bullseye这些问题已在 1.15.0-1+deb11u1 版本中修复。

    我们建议您升级 pgbouncer 程序包。

    如需 pgbouncer 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/pgbouncer

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4179 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4179-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 5 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libavif 版本0.8.4-2+deb11u2 CVE ID CVE-2025-48174 CVE-2025-48175 Debian 缺陷11058831105885

    在用于处理 .avif 文件的库 libavif 中发现多个漏洞。

    CVE-2025-48174

        在 1.3.0之前的 libavif 中stream.c 的 makeRoom 在 stream->offset+size 中存在整数溢出及由此产生的缓冲区溢出。

    CVE-2025-48175

        在 1.3.0之前的 libavif 中reformat.c 中的 avifImageRGBToYUV 在涉及 rgbRowBytes、yRowBytes、uRowBytes 和 vRowBytes 的乘法运算中存在整数溢出。

    对于 Debian 11 Bullseye这些问题已在 0.8.4-2+deb11u2 版本中修复。

    我们建议您升级 libavif 程序包。

    有关 libavif 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libavif

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4176 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4176-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 5 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：openssl 版本：1.1.1w-0+deb11u3 CVE ID：CVE-2024-13176 Debian 缺陷：1094027

    已修复密码库 OpenSSL 中 ECDSA 签名计算中的定时边信道。

    对于 Debian 11 bullseye，已在 1.1.1w-0+deb11u3 版本中修复此问题。

    建议您升级 openssl 程序包。

    如需了解 openssl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4178 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4178-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2025 年 5 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：linux 版本：5.10.237-1 CVE ID： CVE-2021-47247 CVE-2021-47489 CVE-2022-48893 CVE-2022-49046 CVE-2022-49190 CVE-2022-49219 CVE-2022-49309 CVE-2022-49546 CVE-2022-49728 CVE-2023-52572 CVE-2023-52621 CVE-2023-52752 CVE-2023-52757 CVE-2023-53034 CVE-2024-26686 CVE-2024-26928 CVE-2024-26982 CVE-2024-35867 CVE-2024-35943 CVE-2024-36908 CVE-2024-38611 CVE-2024-39494 CVE-2024-41073 CVE-2024-42322 CVE-2024-44938 CVE-2024-46753 CVE-2024-46812 CVE-2024-46816 CVE-2024-46821 CVE-2024-47726 CVE-2024-47730 CVE-2024-49960 CVE-2024-50047 CVE-2024-50154 CVE-2024-50280 CVE-2024-53144 CVE-2024-54458 CVE-2024-56599 CVE-2024-56608 CVE-2024-56658 CVE-2024-56664 CVE-2024-57834 CVE-2024-57973 CVE-2024-57977 CVE-2024-57979 CVE-2024-57980 CVE-2024-57981 CVE-2024-57986 CVE-2024-58001 CVE-2024-58002 CVE-2024-58005 CVE-2024-58007 CVE-2024-58010 CVE-2024-58014 CVE-2024-58016 CVE-2024-58017 CVE-2024-58020 CVE-2024-58051 CVE-2024-58052 CVE-2024-58055 CVE-2024-58058 CVE-2024-58063 CVE-2024-58069 CVE-2024-58071 CVE-2024-58072 CVE-2024-58083 CVE-2024-58085 CVE-2024-58090 CVE-2025-21647 CVE-2025-21700 CVE-2025-21702 CVE-2025-21704 CVE-2025-21708 CVE-2025-21711 CVE-2025-21715 CVE-2025-21718 CVE-2025-21719 CVE-2025-21721 CVE-2025-21722 CVE-2025-21726 CVE-2025-21727 CVE-2025-21728 CVE-2025-21731 CVE-2025-21735 CVE-2025-21736 CVE-2025-21744 CVE-2025-21745 CVE-2025-21749 CVE-2025-21753 CVE-2025-21756 CVE-2025-21760 CVE-2025-21761 CVE-2025-21762 CVE-2025-21763 CVE-2025-21764 CVE-2025-21765 CVE-2025-21767 CVE-2025-21772 CVE-2025-21776 CVE-2025-21779 CVE-2025-21781 CVE-2025-21782 CVE-2025-21785 CVE-2025-21787 CVE-2025-21791 CVE-2025-21795 CVE-2025-21796 CVE-2025-21799 CVE-2025-21802 CVE-2025-21804 CVE-2025-21806 CVE-2025-21811 CVE-2025-21814 CVE-2025-21823 CVE-2025-21826 CVE-2025-21835 CVE-2025-21844 CVE-2025-21846 CVE-2025-21848 CVE-2025-21853 CVE-2025-21858 CVE-2025-21859 CVE-2025-21862 CVE-2025-21871 CVE-2025-21872 CVE-2025-21875 CVE-2025-21877 CVE-2025-21878 CVE-2025-21898 CVE-2025-21904 CVE-2025-21905 CVE-2025-21909 CVE-2025-21910 CVE-2025-21914 CVE-2025-21916 CVE-2025-21917 CVE-2025-21920 CVE-2025-21922 CVE-2025-21925 CVE-2025-21926 CVE-2025-21928 CVE-2025-21934 CVE-2025-21935 CVE-2025-21941 CVE-2025-21943 CVE-2025-21948 CVE-2025-21956 CVE-2025-21957 CVE-2025-21959 CVE-2025-21968 CVE-2025-21971 CVE-2025-21975 CVE-2025-21981 CVE-2025-21991 CVE-2025-21992 CVE-2025-21993 CVE-2025-21996 CVE-2025-21999 CVE-2025-22004 CVE-2025-22005 CVE-2025-22007 CVE-2025-22008 CVE-2025-22010 CVE-2025-22014 CVE-2025-22018 CVE-2025-22020 CVE-2025-22021 CVE-2025-22025 CVE-2025-22027 CVE-2025-22035 CVE-2025-22044 CVE-2025-22045 CVE-2025-22054 CVE-2025-22055 CVE-2025-22056 CVE-2025-22063 CVE-2025-22075 CVE-2025-22079 CVE-2025-22086 CVE-2025-23136 CVE-2025-23138 CVE-2025-23140 CVE-2025-23142 CVE-2025-23144 CVE-2025-23145 CVE-2025-23146 CVE-2025-23147 CVE-2025-23148 CVE-2025-23150 CVE-2025-23156 CVE-2025-23157 CVE-2025-23158 CVE-2025-23159 CVE-2025-23163 CVE-2025-37738 CVE-2025-37739 CVE-2025-37740 CVE-2025-37741 CVE-2025-37749 CVE-2025-37756 CVE-2025-37757 CVE-2025-37765 CVE-2025-37766 CVE-2025-37768 CVE-2025-37770 CVE-2025-37773 CVE-2025-37780 CVE-2025-37781 CVE-2025-37782 CVE-2025-37785 CVE-2025-37788 CVE-2025-37789 CVE-2025-37792 CVE-2025-37794 CVE-2025-37796 CVE-2025-37797 CVE-2025-37803 CVE-2025-37808 CVE-2025-37810 CVE-2025-37812 CVE-2025-37817 CVE-2025-37823 CVE-2025-37824 CVE-2025-37829 CVE-2025-37836 CVE-2025-37838 CVE-2025-37839 CVE-2025-37840 CVE-2025-37841 CVE-2025-37844 CVE-2025-37850 CVE-2025-37851 CVE-2025-37857 CVE-2025-37858 CVE-2025-37859 CVE-2025-37862 CVE-2025-37867 CVE-2025-37871 CVE-2025-37881 CVE-2025-37885 CVE-2025-38637 CVE-2025-39728 CVE-2025-39735

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于 Debian 11 bullseye，已在 5.10.237-1 版本中修复这些问题。其中还额外包含了来自于稳定更新 5.10.235-5.10.237 的大量错误修复。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4177 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4177-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 5 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libphp-adodb 版本5.20.19-1+deb11u2 CVE ID CVE-2025-46337 Debian 缺陷1104548

    已在 PHP 的 ADOdb 数据库访问库中修复 PostgreSQL 驱动程序中的 SQL 注入。

    对于 Debian 11 Bullseye已在版本 5.20.19-1+deb11u2 中修复此问题。

    建议您升级 libphp-adodb 程序包。

    有关 libphp-adodb 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libphp-adodb

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5925 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5925-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 5 月 24 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID：CVE-2024-26618 CVE-2024-26783 CVE-2024-26807 CVE-2024-28956 CVE-2024-35790 CVE-2024-36903 CVE-2024-36927 CVE-2024-43840 CVE-2024-46751 CVE-2024-53203 CVE-2024-53209 CVE-2024-57945 CVE-2025-21645 CVE-2025-21839 CVE-2025-21931 CVE-2025-22062 CVE-2025-37819 CVE-2025-37890 CVE-2025-37897 CVE-2025-37901 CVE-2025-37902 CVE-2025-37903 CVE-2025-37905 CVE-2025-37909 CVE-2025-37911 CVE-2025-37912 CVE-2025-37913 CVE-2025-37914 CVE-2025-37915 CVE-2025-37917 CVE-2025-37921 CVE-2025-37923 CVE-2025-37924 CVE-2025-37927 CVE-2025-37928 CVE-2025-37929 CVE-2025-37930 CVE-2025-37932 CVE-2025-37936 CVE-2025-37947 CVE-2025-37948 CVE-2025-37949 CVE-2025-37951 CVE-2025-37953 CVE-2025-37959 CVE-2025-37961 CVE-2025-37962 CVE-2025-37963 CVE-2025-37964 CVE-2025-37967 CVE-2025-37969 CVE-2025-37970 CVE-2025-37972 CVE-2025-37990 CVE-2025-37991

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于受 ITS（间接目标选择）影响的 CPU，若要彻底缓解该漏洞，还需要更新 DSA 5924-1 中发布的 intel-microcode 内核程序包。

    有关间接目标选择 (ITS) 漏洞的详细信息，请参阅 https://www.vusec.net/projects/training-solo/ 和 https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/advisory-guidance/indirect-target-selection.html。

    对于稳定发行版本 (bookworm)，已在版本 6.1.140-1 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的一个程序包受到 dsa-5924 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5924-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 5 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：intel-microcode 版本：CVE-2024-28956 CVE-2024-43420 CVE-2024-45332 CVE-2025-20012 CVE-2025-20054 CVE-2025-20103 CVE-2025-20623 CVE-2025-24495 Debian 错误：1105172

    此更新随附了部分类型的 Intel CPU 更新后的 CPU 微代码。特别是间接目标选择 (ITS) 漏洞 (CVE-2024-28956) 和分支权限注入漏洞 (CVE-2024-45332) 的缓解措施。

    对于受 ITS（间接目标选择）影响的 CPU，若要彻底缓解该漏洞，还需要更新单独且即将发布的 DSA 中的 Linux kernel 内核程序包。

    有关间接目标选择 (ITS) 漏洞的详细信息，请参阅 https://www.vusec.net/projects/training-solo/ 和 https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/advisory-guidance/indirect-target-selection.html。

    有关分支权限注入漏洞的详细信息，请参阅 https://comsec.ethz.ch/research/microarch/branch-privilege-injection/

    对于稳定发行版本 (bookworm)，已在 3.20250512.1~deb12u1 版本中修复这些问题。

    建议您升级 intel-microcode 程序包。

    如需了解 intel-microcode 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/intel-microcode

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4175 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4175-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2025 年 5 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包mongo-c-driver 版本1.17.6-1+deb11u1 CVE ID CVE-2021-32050 CVE-2023-0437 CVE-2024-6381 CVE-2024-6383 CVE-2025-0755

    在 MongoDB C Driver 中发现多个漏洞。

    CVE-2021-32050

        一些 MongoDB 驱动程序可能会错误地将包含身份验证相关数据的事件发布到应用程序配置的命令监听器。在执行特定认证相关命令时，已发布的事件可能包含安全敏感数据。
        应用程序可能会不慎泄露此敏感信息，例如将其写入日志文件。仅当应用程序启用了命令监听器功能时（默认未启用），才会出现此问题。

    CVE-2023-0437

        在某些输入上调用 bson_utf8_validate 时可能发生含有无法达到的退出条件的循环即无限循环。

    CVE-2024-6381

        MongoDB C 驱动程序库中的 bson_strfreev 函数可能容易受到整数溢出该函数将尝试释放负偏移处的内存影响。这可能导致内存损坏。

    CVE-2024-6383

        MongoDB C Driver 中的 bson_string_append 函数可能容易受到缓冲区溢出的影响该函数可能会尝试分配过小的缓冲区并可能导致邻近堆内存的内存损坏。

    CVE-2025-0755

        执行可导致最终 BSON 文档超过最大允许大小 (INT32_MAX) 的操作时MongoDB C 驱动程序库中的各种 bson_append 函数可能容易受到缓冲区溢出的影响从而导致分段错误并可能导致应用程序崩溃。

    对于 Debian 11 Bullseye这些问题已在 1.17.6-1+deb11u1 版本中修复。

    我们建议您升级 mongo-c-driver 程序包。

    如需 mongo-c-driver 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/mongo-c-driver

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4173 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4173-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 5 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package : openjdk-17 Version : 17.0.15+6-1~deb11u1 CVE ID : CVE-2025-21587 CVE-2025-30691 CVE-2025-30698

    在 OpenJDK Java Runtime 中发现数个漏洞其可导致拒绝服务、信息泄露或绕过沙盒限制。

    对于 Debian 11 Bullseye这些问题已在 17.0.15+6-1~deb11u1 版本中修复。

    我们建议您升级 openjdk-17 程序包。

    如需了解 openjdk-17 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-17

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4172 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4172-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 5 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：firefox-esr 版本：128.10.1esr-1~deb11u1 CVE ID：CVE-2025-4083 CVE-2025-4087 CVE-2025-4091 CVE-2025-4093 CVE-2025-4918 CVE-2025-4919

    在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行或绕过沙盒限制。

    对于 Debian 11 bullseye，已在 128.10.1esr-1~deb11u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4174 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4174-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 5 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package : openjdk-11 版本 : 11.0.27+6-1~deb11u1 CVE ID CVE-2025-21587 CVE-2025-30691 CVE-2025-30698

    在 OpenJDK Java Runtime 中发现数个漏洞其可导致拒绝服务、信息泄露或绕过沙盒限制。

    对于 Debian 11 Bullseye这些问题已在 11.0.27+6-1~deb11u1 版本中修复。

    我们建议您升级 openjdk-11 程序包。

    如需了解 openjdk-11 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-11

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4171 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4171-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2025 年 5 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 wireless-regdb 版本 : 2025.02.20-1~deb11u1

    此更新包含 wireless-regdb 中的变更 2025.02.20反映了许多国家/地区的无线电法规变更。

    对于 Debian 11 Bullseye此更新提供版本 2025.02.20-1~deb11u1。

    建议您升级 wireless-regdb 程序包。

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4167 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4167-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lee Garrett 2025 年 5 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:128.10.1esr-1~deb11u1 CVE ID：CVE-2025-2817 CVE-2025-4082 CVE-2025-4083 CVE-2025-4084 CVE-2025-4087 CVE-2025-4091 CVE-2025-4093 CVE-2025-3875 CVE-2025-3877 CVE-2025-3909 CVE-2025-3932

    在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。

    对于 Debian 11 bullseye，已在 1:128.10.1esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4170 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4170-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 5 月 18 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 : intel-microcode 版本 : 3.20250512.1~deb11u1 CVE ID CVE-2024-28956 CVE-2024-43420 CVE-2024-45332 CVE-2025-20012 CVE-2025-20054 CVE-2025-20103 CVE-2025-20623 CVE-2025-24495 Debian 缺陷 1105172

    已为 Intel(R) 处理器发布微代码更新其解决可能允许拒绝服务或信息泄露的多种潜在漏洞。

    CVE-2024-28956

        某些 Intel(R) 处理器的瞬态执行期间共享微架构结构中的敏感信息暴露可能允许经身份验证的用户通过本地访问造成信息泄露。

    CVE-2024-43420

        影响某些 Intel Atom(R) 处理器瞬态执行的共享微架构预测器状态造成的敏感信息暴露可能会允许经过身份验证的用户通过本地访问造成信息泄露。

    CVE-2024-45332

        暴露由影响某些 Intel(R) 处理器的间接分支预测器中的暂时执行的共享微架构预测器状态造成的敏感信息可能会允许经身份验证的用户通过本地访问泄露信息。

    CVE-2025-20012

        某些 Intel(R) Core Ultra 处理器的不正确的行为顺序可能允许未经身份验证的用户通过物理访问造成信息泄露。

    CVE-2025-20054

        某些 Intel(R) 处理器的核心管理机制中的未捕获异常可能允许经身份验证的用户通过本地访问启用拒绝服务。

    CVE-2025-20103

        某些 Intel(R) 处理器的核心管理机制中资源池不足可能允许经过身份验证的用户通过本地访问造成拒绝服务。

    CVE-2025-20623

        暴露由影响某些 Intel(R) 核心处理器第 10 代处理器暂时执行的共享微架构预测器状态造成的敏感信息暴露可能会允许经身份验证的用户通过本地访问造成信息泄露。

    CVE-2025-24495

        某些 Intel(R) Core Ultra 处理器的分支预测单元中错误的资源初始化可能允许经身份验证的用户通过本地访问泄露信息。

    对于 Debian 11 bullseye，已在 3.20250512.1~deb11u1 版本中修复这些问题。

    建议您升级 intel-microcode 程序包。

    如需了解 intel-microcode 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/intel-microcode

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的程序包受到 dsa-5923 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5923-2 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 5 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：net-tools Debian 缺陷：1106147

     DSA 5923-1 中公告的 net-tools 更新引入了始终显示零值数据包计数器的 ifconfig 回归。现在可使用更新后的程序包来修复此问题。此更新解决了两个额外的基于堆栈的缓冲区溢出缺陷。

    对于稳定发行版本 (bookworm)，已在版本 2.10-0.1+deb12u2 中修复此问题。

    我们建议您升级 net-tools 程序包。

    如需了解 net-tools 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/net-tools

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4169 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4169-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 5 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包dropbear 版本2020.81-3+deb11u3 CVE ID CVE-2025-47203

    Marcin Nowak 发现带有逗号用于多跳的 dbclient(1) 主机名参数被传递到 shell可导致在本地运行任意 shell 命令。这可能是向 dbclient(1) 传递不受信任的主机名参数情况下的安全问题。

    对于 Debian 11 Bullseye已在版本 2020.81-3+deb11u3 中修复此问题。

    建议您升级 dropbear 程序包。

    有关 dropbear 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/dropbear

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4168 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4168-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 9 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 openafs 版本 1.8.6-5+deb11u2


    由于缺少提交 DLA-4168-1中发布的 openafs 更新在 Basic OverSeer bos 中引入了一个回归。



    对于 Debian 11 Bullseye已在版本 1.8.6-5+deb11u2 中修复此问题。

    我们建议您升级 openafs 程序包。

    如需了解 openafs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openafs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4166 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4166-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith PA 2025 年 5 月 16 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：xrdp 版本：0.9.21.1-1~deb11u2 CVE ID：CVE-2023-40184 CVE-2023-42822 CVE-2024-39917

    在远程桌面协议 (RDP) 服务器 xrdp 中发现多个漏洞


    CVE-2023-40184

        未正确处理会话建立错误可导致绕过操作系统级别的会话限制。`auth_start_session` 函数可以返回非零值（例如 PAM 错误），这可能会导致会话限制，例如绕过 PAM 每个用户的最大并发会话数。

    CVE-2023-42822

        对 xrdp_painter.c 中字体字形的访问不会受到边界检查。由于其中一些数据是由用户控制的，因此可能会导致 xrdp 可执行文件内的越界读取。该漏洞允许在潜在特权进程中进行越界读取。

    CVE-2024-39917

        允许攻击者进行无限登录尝试的漏洞。最大登录尝试次数应受到“/etc/xrdp/sesman.ini”中的配置参数“MaxLoginRetry”的限制。但是，此机制未有效运行。因此，xrdp 允许无限次的登录尝试。

    对于 Debian 11 bullseye，已在 0.9.21.1-1~deb11u2 版本中修复这些问题。

    建议您升级 xrdp 程序包。

    如需了解 xrdp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/xrdp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5921 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5921-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2025-3875 CVE-2025-3877 CVE-2025-3909 CVE-2025-3932

    在 Thunderbird 中发现多个安全问题这可导致伪造 From: 邮件标头、执行 JavaScript 或信息泄露。

    对于稳定发行版本 (bookbird)已在版本 1:128.10.1esr-1~deb12u1 中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5920 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5920-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 5 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-4609 CVE-2025-4664

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookbird)已在版本 136.0.7103.113-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4106 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4106-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 4 月 05 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 jetty9 版本 9.4.57-0+deb11u2

    安装 jetty9 二进制程序包时jetty9 的安全更新 DLA-4106-1 错误地要求 sysvinit-utils >= 3.05 上不可用的依存关系。
    通过恢复为仅需要 lsb-base 二进制程序包此问题已得到解决。

    对于 Debian 11 Bullseye已在版本 9.4.57-0+deb11u2 中修复此问题。

    我们建议您升级 jetty9 程序包。

    如需了解 jetty9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/jetty9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4107 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4107-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 4 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包openjpeg2 版本2.4.0-3+deb11u1 CVE ID CVE-2021-3575 CVE-2021-29338 CVE-2022-1122 CVE-2024-56826 CVE-2024-56827 Debian 缺陷989775 987276 1092675 1092676

    在开源 JPEG 2000 编解码器 openjpeg2 中发现了多种漏洞如果处理格式错误的图像可导致拒绝服务或执行任意代码。

    对于 Debian 11 Bullseye这些问题已在 2.4.0-3+deb11u1 版本中修复。

    我们建议您升级 openjpeg2 程序包。

    如需了解 openjpeg2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjpeg2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5895 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5895-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：xz-utils CVE ID：CVE-2025-31115

    Harri K. Koskinen 发现 xz-utils（XZ 格式压缩实用工具）的多线程 .xz 解码器 lzma_stream_decoder_mt 中存在一个缺陷，可能导致拒绝服务（应用程序崩溃）或任意代码执行。

    对于稳定发行版本 (bookworm)，已在版本 5.4.1-1 中修复此问题。

    我们建议您升级 xz-utils 程序包。

    如需了解 xz-utils 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/xz-utils

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4141 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4141-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包poppler 版本20.09.0-3.1+deb11u2 CVE ID CVE-2020-36023 CVE-2020-36024 CVE-2022-37050 CVE-2022-37051 CVE-2022-37052 CVE-2022-38349 CVE-2024-56378 CVE-2025-32364 CVE-2025-32365 Debian 缺陷1091322 1102190 1102191

    修复了 PDF 渲染库 poppler 中的多种漏洞。

    CVE-2020-36023

        FoFiType1C::cvtGlyph 中的无限循环

    CVE-2020-36024

        FoFiType1C::convertToType1 中的空取消引用

    CVE-2022-37050

        PDFDoc::savePageAs 中的崩溃

    CVE-2022-37051

        pdfunite 工具中的崩溃

    CVE-2022-37052

        XRef::add 失败时可访问断言

    CVE-2022-38349

        损坏文件中的 pdfunite 崩溃

    CVE-2024-56378

        JBIG2Bitmap::combine 中的越界读取

    CVE-2025-32364

        PSStack::roll 中的浮点异常

    CVE-2025-32365

        JBIG2:Bitmap::combine 中的越界读取

    对于 Debian 11 Bullseye这些问题已在 20.09.0-3.1+deb11u2 版本中修复。

    我们建议您升级 poppler 程序包。

    如需了解 poppler 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/poppler

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4163 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4163-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas kanashiro 2025 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包rubygems 版本3.2.5-2+deb11u1 CVE ID CVE-2021-43809 CVE-2023-28755 CVE-2025-27221

    在包含用于 Ruby 的程序包管理框架和用于 Ruby 应用程序的依存关系管理器的 rubygems 中发现多个漏洞。

    CVE-2021-43809

        在 2.2.33之前的捆绑程序中使用不受信任且明显无害的“Gemfile”时预期它们不会导致执行外部代码除非在“Gemfile”本身内的 ruby 代码中明确指出。但是如果“Gemfile”包含“gem”条目该条目使用的“git”选项具有无效但看似无害的值且带有前导破折号则这可能是 false。为处理来自 Git 存储库而非注册表的依存关系Bundler 会使用各种命令例如“git clone”。正在使用用户输入例如存储库的 URL 构建这些命令。构建命令时 2.2.33 之前版本的 Bundler 会通过传递参数数组而非命令字符串正确避免命令注入漏洞。但是用户输入可能以破折号 (`-`) 开头因此被视为可选参数而不是位置参数。这可导致代码执行因为某些命令具有可用于运行任意可执行文件的选项。

    CVE-2023-28755

        在 Ruby 及之前版本的 URI 组件 0.12.0 中发现 ReDoS 问题 3.2.1。URI 解析器错误处理具有特定字符的无效 URL，这会导致将字符串解析为 URI 对象的执行时间增加。

    CVE-2025-27221

        URI 处理方法URI.join、URI#merge、URI#+会无意间泄漏认证凭据因为即使在更改主机之后也会保留 userinfo。

    对于 Debian 11 Bullseye这些问题已在 3.2.5-2+deb11u1 版本中修复。

    建议您升级 rubygems 程序包。

    有关 rubygems 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/rubygems

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4165 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4165-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 5 月 14 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：open-vm-tools 版本：2:11.2.5-2+deb11u4 CVE ID：CVE-2025-22247 Debian 缺陷：1105159

    open-vm-tools 是为 VMware 上托管的虚拟机提供 Open VMware Tools 的程序包。

    CVE-2025-22247

        修复了不安全的文件处理漏洞。
        客户机 VM 上具有非管理权限的恶意执行者可借机篡改本地文件，从而在该虚拟机内触发不安全的文件操作。 VMSA-2025-0007


    对于 Debian 11 bullseye，已在 2:11.2.5-2+deb11u4 版本中修复此问题。

    我们建议您升级 open-vm-tools 程序包。

    如需了解 open-vm-tools 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/open-vm-tools

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5919 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5919-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：open-vm-tools CVE ID：CVE-2025-22247 Debian 缺陷：1105159

    发现 open-vm-tools（VMware Tools 的开源实现）中的不安全文件处理可能让非特权本地访客用户得以篡改本地文件，从而在该 VM 中触发不安全的文件操作。

    对于稳定发行版本 (bookworm)，已在版本 2:12.2.0-1+deb12u3 中修复此问题。

    我们建议您升级 open-vm-tools 程序包。

    如需了解 open-vm-tools 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/open-vm-tools

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5918 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5918-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 varnish CVE ID 尚不可用

    Ben Kallus 发现 Varnish Web 加速器中未正确解析分块传输编码可能会导致 HTTP 请求走私或缓存中毒。

    对于稳定发行版本 (bookbird)已在版本 7.1.1-2+deb12u1 中修复此问题。

    我们建议您升级 varnish 程序包。

    如需了解 varnish 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/varnish

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4164 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4164-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libeconf 版本0.3.8-1+deb11u1 CVE ID CVE-2023-22652 Debian 缺陷1037333

    发现配置文件解析器 libeconf 中存在潜在的缓冲区溢出漏洞。这可能被通过恶意构建的配置文件利用。

    对于 Debian 11 Bullseye已在版本 0.3.8-1+deb11u1 中修复此问题。

    我们建议您升级 libeconf 程序包。

    有关 libeconf 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libeconf

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4162 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4162-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包redis 版本 5:6.0.16-1+deb11u6 CVE ID CVE-2025-21605 Debian 缺陷1104010

    已修复键值数据库 Redis 中未经身份验证的客户端的无限输出缓冲区。

    对于 Debian 11 Bullseye此问题已在版本 5:6.0.16-1+deb11u6 中修复。

    建议您升级 redis 程序包。

    如需了解 redis 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/redis

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4161 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4161-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包simplesamlphp 版本1.19.0-1+deb11u2 CVE ID CVE-2025-27773 Debian 缺陷1100595

    在身份验证框架 SimpleSAMLphp 中发现一个漏洞主要通过 SAML 协议引起。

    CVE-2025-27773

        SimpleSAMLphp SAML2 库是用于 SAML2 相关功能的 PHP 库。 4.17.0 和 5.0.0-alpha.20 之前的版本中HTTPRedirect 绑定存在签名混淆攻击。
        攻击者通过 HTTP-Redirect 绑定具有任何已签名的 SAMLResponse，可导致应用程序接受未签名的消息。
        版本 4.17.0 和 5.0.0-alpha.20 包含针对 问题的修复。

    对于 Debian 11 Bullseye已在版本 1.19.0-1+deb11u2 中修复此问题。

    建议您升级 simplesamlphp 程序包。

    如需了解 simplesamlphp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/simplesamlphp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4159 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4159-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：postgresql-13 版本：13.21-0+deb11u1 CVE ID：CVE-2025-4207 Debian 错误：

    在 PostgreSQL 数据库系统中发现安全问题。在某些情况下，使用 libpq 的服务器或应用程序可能崩溃，从而导致拒绝服务。

    对于 Debian 11 bullseye，已在 13.21-0+deb11u1 版本中修复此问题。

    建议您升级 postgresql-13 程序包。

    如需了解 postgresql-13 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-13

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个安装的程序包该程序包受到 dla-4160 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4160-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Roberto C. Snchez 2025 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libbson-xs-perl 版本 0.8.4-1+deb11u1 CVE ID CVE-2017-14227 CVE-2018-16790 CVE-2023-0437 CVE-2024-6381 CVE-2024-6383 CVE-2025-0755

    在 MongoDB BSON 序列化的 Perl XS 实现 libbson-xs-perl 中发现数个漏洞。

    CVE-2017-14227

        bson-iter.c 中的 bson_iter_codewscope 函数误算 bson_utf8_validate 长度参数其允许远程攻击者造成拒绝服务bson-utf8.c 的 bson_utf8_validate 函数中基于堆的缓冲区过度读取bson- 即为一例。 to-json.c。

    CVE-2018-16790

        _bson_iter_next_internal 存在通过特制的 bson 缓冲区造成的基于堆的缓冲区过度读取。

    CVE-2023-0437

        在某些输入上调用 bson_utf8_validate 时可能发生含有无法达到的退出条件的循环即无限循环。

    CVE-2024-6381

        MongoDB C 驱动程序库中的 bson_strfreev 函数可能容易受到整数溢出该函数将尝试释放负偏移处的内存影响。这可能导致内存损坏。

    CVE-2024-6383

        MongoDB C Driver 中的 bson_string_append 函数可能容易受到缓冲区溢出的影响该函数可能会尝试分配过小的缓冲区并可能导致邻近堆内存的内存损坏。

    CVE-2025-0755

        执行可导致最终 BSON 文档超过最大允许大小 (INT32_MAX) 的操作时MongoDB C 驱动程序库中的各种 bson_append 函数可能容易受到缓冲区溢出的影响从而导致分段错误并可能导致应用程序崩溃。

    对于 Debian 11 Bullseye已在版本 0.8.4-1+deb11u1 中修复这些问题。

    建议您升级 libbson-xs-perl 程序包。

    有关 libbson-xs-perl 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libbson-xs-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有受 dla-4158 公告中提及的漏洞影响的程序包。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4158-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 5 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包fossil 版本 1:2.15.2-1+deb11u1 Debian 缺陷1070069

    Fossil 是一款内置的缺陷跟踪、wiki 和 Web 界面的一体化 DSCM（分布式软件配置管理）。
    在修复 apache2 的 CVE-2024-24795 之后fossil HTTP 客户端无法再克隆已修复的 Apache 服务器上托管的远程 Fossil 存储库。

    对于 Debian 11 Bullseye此问题已在版本 1:2.15.2-1+deb11u1 中修复。

    我们建议您升级 fossil 程序包。

    如需了解 fossil 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/fossil

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5917 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5917-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包libapache2-mod-auth-openidc CVE ID CVE-2025-3891

    在用于实现 OpenID Connect 依赖方功能的 Apache HTTP 服务器的 OpenID Certified 认证和授权模块 mod_auth_openidc 中发现一个漏洞

    未经身份验证的攻击者可在启用“OIDCPreservePost”指令的情况下通过发送无 Content-Type 标头的 POST 请求造成 Apache httpd 进程崩溃进而导致拒绝服务。

    对于稳定发行版本 (bookbird)已在版本 2.4.12.3-2+deb12u4 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    如需 libapache2-mod-auth-openidc 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4157 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4157-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2025 年 5 月 8 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包request-tracker4版本 4.4.4+dfsg-2+deb11u4 CVE ID CVE-2024-3262 CVE-2025-2545 CVE-2025-30087 Debian 缺陷10684521104424

    在可扩展故障单跟踪系统 Request Tracker 中发现了多个漏洞其可导致信息泄露、跨站脚本以及 S/MIME 电子邮件使用弱加密。

    对于 Debian 11 Bullseye这些问题已在 4.4.4+dfsg-2+deb11u4 版本中修复。

    建议您升级 request-tracker4 程序包。

    有关 request-tracker4 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/request-tracker4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4156 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4156-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Colin Watson 2025 年 5 月 8 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包: openssh 版本: 1:8.4p1-5+deb11u5 CVE ID : CVE-2025-32728 Debian Bug：1102603

    Tim Rice 发现 DisableForwarding 指令被记录为禁用 X11 和代理转发，但未能执行此操作。


    对于 Debian 11 bullseye，已在 1:8.4p1-5+deb11u5 版本中修复此问题。

    建议您升级 openssh 程序包。

    如需了解 openssh 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssh

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4155 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4155-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Moritz Schlarb 2025 年 5 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libapache2-mod-auth-openidc 版本2.4.9.4-0+deb11u6 CVE ID CVE-2025-3891 Debian 缺陷1104484

    已修复 mod_auth_openidc 中的一个漏洞Apache 2.x HTTP 服务器的 OpenID Certified 认证和授权模块可实现 OpenID Connect 依赖方功能。

    当 mod_auth_openidc 中启用了 OIDCPreservePost 时未经身份验证的攻击者可通过发送没有 Content-Type 标头的 POST 请求来导致 Apache httpd 进程崩溃。这会导致拒绝服务。

    变通方案是禁用 OIDCPreservePost 指令。

    对于 Debian 11 Bullseye已在版本 2.4.9.4-0+deb11u6 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    如需 libapache2-mod-auth-openidc 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4154 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4154-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 5 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：mariadb-10.5 版本：1:10.5.28-0+deb11u2 CVE ID：CVE-2023-52969 CVE-2023-52970

    常用的数据库引擎 MariaDB 受到两个漏洞影响。

    CVE-2023-52969

        MariaDB 因空回溯日志而崩溃。

    CVE-2023-52970

        MariaDB 在函数 Item_direct_view_ref::derived_field_transformer_for_where 中崩溃。

    对于 Debian 11 bullseye，这些问题已在 1:10.5.28-0+deb11u2 版本中修复。

    我们建议您升级 mariadb-10.5 程序包。

    如需了解 mariadb-10.5 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mariadb-10.5

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5916 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5916-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 5 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-4372

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (book蠕虫)已在版本 136.0.7103.92-1~deb12u1 中修复此问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5914 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5914-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 5 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-4050 CVE-2025-4051 CVE-2025-4052 CVE-2025-4096

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookbird)已在版本 136.0.7103.59-2~deb12u2 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4153 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4153-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 5 月 4 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包containerd 版本 1.4.13~ds1-1~deb11u5 CVE ID CVE-2024-40635 Debian 缺陷1100806

    containerd 是一个容器运行时。在 containerd 中发现一个缺陷其中以大于最大 32 位有符号整数的用户设置为 `UID:GID` 启动的容器会造成溢出情况即容器最终以根用户身份 (UID 0) 运行。这可能会造成需要以非根用户身份运行容器的环境中发生意外行为。

    对于 Debian 11 Bullseye已在版本 1.4.13~ds1-1~deb11u5 中修复此问题。

    建议您升级 containerd 程序包。

    有关 containerd 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/containerd

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5915 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5915-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 5 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 vips CVE ID CVE-2025-29769

    在 vips一种设计时考虑效率的快速图像处理库中发现基于堆的缓冲区溢出漏洞如果处理特别构建的 TIFF 图像文件可导致拒绝服务应用程序崩溃。

    对于稳定发行版本 (bookbird)已在版本 8.14.1-3+deb12u2 中修复此问题。

    建议您升级 vips 程序包。

    如需了解 vips 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/vips

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5913 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5913-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包openjdk-17 CVE ID CVE-2025-21587 CVE-2025-30691 CVE-2025-30698

    在 OpenJDK Java Runtime 中发现数个漏洞其可导致拒绝服务、信息泄露或绕过沙盒限制。

    对于稳定发行版本 (bookbird)已在版本 17.0.15+6-1~deb12u1 中修复这些问题。

    我们建议您升级 openjdk-17 程序包。

    如需了解 openjdk-17 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4152 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4152-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 5 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包nodejs 版本 12.22.12~dfsg-1~deb11u7 CVE ID CVE-2025-47153 Debian 缺陷922075 1076350

    流行的服务器端 javascript 引擎 Node.js 受到 32 位架构上一个漏洞的影响。

    为 32 位系统构建 libuv 和 Node.js 进程有不一致的 off_t 大小例如在 i386 上构建 Debian 总是使用
    _FILE_OFFSET_BITS=64 处理 libuv 动态库而是将 _FILE_OFFSET_BITS 全局系统默认值 32 用于 nodejs从而导致越界访问。

    还重建了以下反向依存关系以便修复漏洞
    node-expat node-iconv node-leveldown node-modern-syslog node-nodedbi node-opencv node-re2 node-sqlite3 node-sass node-srs node-websocket node-zipfile r-cran-v8

    对于 Debian 11 Bullseye此问题已在版本 12.22.12~dfsg-1~deb11u7 中修复。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5912 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5912-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2025-2830 CVE-2025-3522 CVE-2025-3523 CVE-2025-4083 CVE-2025-4087 CVE-2025-4091 CVE-2025-4093

    在 Thunderbird 中发现多个安全问题其可导致执行任意代码或信息泄露。

    对于稳定发行版本 (bookbird)已在版本 1:128.10.0esr-1~deb12u1 中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有受 dla-4151 公告中提及的漏洞影响的程序包。

    - ------------------------------------------------- ------------------------- Debian LTS 公告 DLA-4151-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 5 月 1 日 https://wiki.debian.org/LTS
    - --------------------------------------------------------------------------

    程序包golang-github-gorilla-csrf 版本1.6.2-2+deb11u1 CVE ID CVE-2025-24358 Debian 缺陷1103584

    在 Go 的 gorilla/csrf 程序包中发现以下漏洞

        在 1.7.3之前的版本中gorilla/csrf 未针对允许列表验证 Origin 标头。仅当其认为正在通过 TLS 为请求提供服务时才会针对跨源请求执行其 Referer 标头验证。它通过检查 r.URL.Scheme 值来确定这一点。但是根据 Go 规范从未为服务器请求填充此值因此实际中并未运行此检查。此漏洞允许已在子域或顶级域上获得 XSS 的攻击者对共享相同顶级域的 gorilla/csrf 保护目标执行经身份验证的表单提交。

    对于 Debian 11 Bullseye已在版本 1.6.2-2+deb11u1 中修复此问题。

    已重新构建以下 Go 程序包以修复此问题：

    golang-chroma golang-github-alecthomas-chroma-devgolang-github-niklasfasching-go-org-devgolang-github-yuin-goldmark-highlighting-devgo-org hugo

    我们建议您升级这些程序包。

    如需 golang-github-gorilla-csrf 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/golang-github-gorilla-csrf

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
237415	Debian dsa-5926firefox-esr - 安全更新	medium
237408	Debian dla-4182syslog-ng - 安全更新	high
237337	Debian dla-4181：glibc-doc - 安全更新	high
237294	Debian dla-4180pgbouncer - 安全更新	high
237269	Debian dla-4179libavif-bin - 安全更新	medium
237256	Debian dla-4176：libcrypto1.1-udeb - 安全更新	medium
237255	Debian dla-4178：ata-modules-5.10.0-34-armmp-di - 安全更新	high
237254	Debian dla-4177libphp-adodb - 安全更新	critical
237223	Debian dsa-5925：affs-modules-6.1.0-33-4kc-malta-di - 安全更新	medium
237206	Debian dla-5924：intel-microcode - 安全更新	medium
236989	Debian dla-4175libbson-1.0-0 - 安全更新	high
236959	Debian dla-4173openjdk-17-dbg - 安全更新	high
236958	Debian dla-4172：firefox-esr - 安全更新	critical
236957	Debian dla-4174openjdk-11-dbg - 安全更新	high
236952	Debian dla-4171wireless-regdb - 安全更新	high
236944	Debian dla-4167：thunderbird - 安全更新	critical
236930	Debian dla-4170intel-microcode - 安全更新	medium
236929	Debian dsa-5923：net-tools - 安全更新	medium
236887	Debian dla-4169dropbear - 安全更新	medium
236886	Debian dla-4168libafsauthent2 - 安全更新	medium
236872	Debian dla-4166：xrdp - 安全更新	critical
236871	Debian dsa-5921thunderbird - 安全更新	high
236812	Debian dsa-5920chromium - 安全更新	medium
236777	Debian dla-4106jetty9 - 安全更新	high
236776	Debian dla-4107libopenjp2-7 - 安全更新	high
236775	Debian dsa-5895：liblzma-dev - 安全更新	high
236774	Debian dla-4141gir1.2-poppler-0.18 - 安全更新	medium
236773	Debian dla-4163bundler - 安全更新	low
236772	Debian dla-4165：open-vm-tools - 安全更新	medium
236765	Debian dsa-5919：open-vm-tools - 安全更新	medium
235836	Debian dsa-5918libvarnishapi-dev - 安全更新	high
235730	Debian dla-4164libeconf-dev - 安全更新	medium
235722	Debian dla-4162redis - 安全更新	high
235669	Debian dla-4161simplesamlphp - 安全更新	high
235668	Debian dla-4159：libecpg-compat3 - 安全更新	medium
235667	Debian dla-4160libbson-xs-perl - 安全更新	high
235655	Debian dla-4158fossil - 安全更新	medium
235620	Debian dsa-5917libapache2-mod-auth-openidc - 安全更新	medium
235610	Debian dla-4157request-tracker4 - 安全更新	low
235598	Debian dla-4156：openssh-client - 安全更新	medium
235597	Debian dla-4155libapache2-mod-auth-openidc - 安全更新	medium
235499	Debian dla-4154：libmariadb-dev - 安全更新	medium
235498	Debian dsa-5916chromium - 安全更新	high
235456	Debian dsa-5914chromium - 安全更新	medium
235113	Debian dla-4153containerd - 安全更新	medium
235099	Debian dsa-5915gir1.2-vips-8.0 - 安全更新	high
235078	Debian dsa-5913openjdk-17-dbg - 安全更新	high
235077	Debian dla-4152libnode-dev - 安全更新	medium
235066	Debian dsa-5912thunderbird - 安全更新	critical
235057	Debian dla-4151 golang-github-gorilla-csrf-dev - 安全更新	medium

检测

Nessus 的 Debian Local Security Checks 系列

medium

high

high

high

medium

medium

high

critical

medium

medium

high

high

critical

high

high

critical

medium

medium

medium

medium

critical

high

medium

high

high

high

medium

low

medium

medium

high

medium

high

high

medium

high

medium

medium

low

medium

medium

medium

high

medium

medium

high

high

medium

critical

medium