在 libimage-exiftool-perl（用于读取多媒体文件中的元信息和在其中写入元信息的库和程序）中发现一个漏洞，如果处理畸形 DjVu 文件，则可导致执行任意代码。

对于 Debian 9 Stretch，已在版本 10.40-1+deb9u1 中修复此问题。

我们建议您升级 libimage-exiftool-perl 程序包。

如需了解 libimage-exiftool-perl 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libimage-exiftool-perl

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在项目管理 Web 应用程序 Redmine 中发现多个问题，这些问题可导致跨站脚本、信息泄露和从服务器读取任意文件。

对于 Debian 9 Stretch，已在版本 3.3.1-4+deb9u4 中修复这些问题。

我们建议您升级 redmine 程序包。

如需了解 redmine 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/redmine

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在 PostgreSQL 数据库系统中发现多个安全问题，这些问题可导致执行任意代码或泄露内存内容。

已在 libgetdata 中发现一个安全问题

CVE-2021-20204

在处理恶意构建的 dirfile 数据库时，可触发堆内存损坏问题（释放后使用）。这会降低将 libgetdata 用作库的第三方软件的机密性、完整性和可用性。

对于 Debian 9 Stretch，已在版本 0.9.4-1+deb9u1 中修复此问题。

我们建议您升级 libgetdata 程序包。

如需了解 libgetdata 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libgetdata

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

CVE-2018-10196

在 dotgen 库中，lib/dotgen/conc.c 的 rebuild_vlists 函数内存在空指针取消引用漏洞，此漏洞允许远程攻击者通过构建的文件造成拒绝服务（应用程序崩溃）。

CVE-2020-18032

在 Graphviz 中发现一个缓冲区溢出漏洞，此漏洞可能会在处理畸形文件时导致任意代码执行。

对于 Debian 9 Stretch，已在版本 2.38.0-17+deb9u1 中修复这些问题。

我们建议您升级 graphviz 程序包。

如需了解 graphviz 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/graphviz

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Graphviz 中发现一个缓冲区溢出漏洞，此漏洞可能会在处理畸形文件时导致任意代码执行。

据发现，lz4 压缩算法库中存在一个潜在内存损坏漏洞。

对于 Debian 9“Stretch”，已在版本 0.0~r131-2+deb9u1 中修复此问题。

我们建议您升级 lz4 程序包。

如需了解 lz4 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/lz4

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

CVE-2021-22885

当对不受信任的用户输入使用“redirect_to”或“polymoric_url”辅助函数时，Action Pack 中可能存在信息泄露/非预期方法执行漏洞。

CVE-2021-22904

Action Controller 中的 Token Authentication 逻辑中可能存在 DoS 漏洞。受影响的代码使用“authenticate_or_request_with_http_token”或“authenticate_with_http_token”对请求进行身份验证。

对于 Debian 9 Stretch，已在版本 2:4.2.7.1-1+deb9u5 中修复这些问题。

我们建议您升级 rails 程序包。

如需了解 rails 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/rails

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据发现，PHP 的依存关系管理器 composer 未正确审查 Mercurial URL，这会导致任意代码执行。

对于 Debian 9 Stretch，已在版本 1.2.2-1+deb9u1 中修复此问题。

我们建议您升级 composer 程序包。

如需了解 composer 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/composer

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

Jemery Galindo 在用于解析 Windows Registry hive 文件的库 Hivex 中发现一个越界内存访问漏洞。

对于 Debian 9 Stretch，已在版本 1.3.13-2+deb9u1 中修复此问题。

我们建议您升级 hivex 程序包。

如需了解 hivex 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/hivex

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Jeremy Galindo 在用于解析 Windows Registry hive 文件的库 Hivex 中发现一个越界内存访问漏洞。

据发现，libxml2 （一款提供支持读取、修改以及写入 XML 和 HTML 文件的库）中存在多个漏洞，这些漏洞会在解析特别构建的文件时通过应用程序崩溃造成拒绝服务。

对于 Debian 9 Stretch，已在版本 2.9.4+dfsg1-2.2+deb9u4 中修复这些问题。

我们建议您升级 libxml2 程序包。

如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxml2

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Qualys Research Labs 报告称，邮件传输代理 Exim 中存在多个漏洞，这些漏洞可导致本地特权提升和远程代码执行。

可在 https://www.qualys.com/2021/05/04/21nails/21nails.txt 处 Qualys 公告中找到详细信息

对于 Debian 9 Stretch，已在版本 4.89-2+deb9u8 中修复这些问题。

我们建议您升级 exim4 程序包。

如需了解 exim4 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/exim4

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

最新上游版本用于解决 CVE-2021-30152 的修补程序无法移植到 stretch-security 版本，从而导致 MediaWiki API 失败。此更新包含上游 REL_31 版本的修补程序，该程序可修复此问题。 

对于 Debian 9 Stretch，已在版本 1:1.27.7-1~deb9u9 中修复此问题。

我们建议您升级 mediawiki 程序包。

如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

位于德国亚琛市的 X41 D-SEC 的安全研究人员在 Unbound（一种验证、递归、缓存 DNS 解析器）中发现多个安全漏洞。整数溢出、断言失败、越界写入和无限循环漏洞可能会导致拒绝服务或对数据机密性产生负面影响。

对于 Debian 9 Stretch，已在版本 1.9.0-2+deb10u2~deb9u2 中修复这些问题。

我们建议您升级 unbound1.9 程序包。

如需了解 unbound1.9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/unbound1.9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在基于常见 Python 的 Web 开发框架 Django 中发现一个潜在目录遍历漏洞。

MultiPartParser、UploadedFile 和 FieldFile 允许攻击者通过包含适当构建之文件名的已上传文件发动目录遍历攻击。为缓解此风险，现已应用更严格的库名和路径审查。具体来说，具有点段的空文件名和路径将被拒绝。

对于 Debian 9“Stretch”，已在版本 1:1.10.7-2+deb9u13 中修复此问题。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Qualys Research Labs 报告称，邮件传输代理 Exim 中存在多个漏洞，这些漏洞可导致本地特权提升和远程代码执行。

可在 https://www.qualys.com/2021/05/04/21nails/21nails.txt 处 Qualys 公告中找到详细信息

在 DNS 服务器实现 BIND 中发现数个漏洞。

CVE-2021-25214

Greg Kuechle 发现，畸形传入 IXFR 传输可在 named 中触发断言失败，从而导致拒绝服务。

CVE-2021-25215

Siva Kakarla 发现，当在 DNAME 追踪期间放入 ANSWER 部分的 DNAME 记录是对客户端查询的最终回答时，named 可能会崩溃。

CVE-2021-25216

据发现，BIND 使用的 SPNEGO 实现容易受到缓冲区溢出漏洞的影响。此更新切换为使用 Kerberos 库的 SPNEGO 实现。

对于 Debian 9 Stretch，已在版本 1:9.10.3.dfsg.P4-12.3+deb9u9 中修复这些问题。

我们建议您升级 bind9 程序包。

有关 bind9 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/bind9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 cgal 中发现四个安全问题。CGAL 的 Nef 多边形解析功能中存在一个代码执行漏洞。

CVE-2020-28601

Nef_2/PM_io_parser.h PM_io_parser: : read_vertex() Face_of[] OOB read 中存在一个 oob 读取漏洞。攻击者可提供恶意输入来触发此漏洞。

CVE-2020-28636

Nef_S2/SNC_io_parser.h SNC_io_parser: : read_sloop() slh->twin() 中存在一个 oob 读取漏洞。攻击者可提供恶意输入来触发此漏洞。

CVE-2020-35628

Nef_S2/SNC_io_parser.h SNC_io_parser: : read_sloop() slh->incident_sface 中存在一个 oob 读取漏洞。攻击者可提供恶意输入来触发此漏洞。

CVE-2020-35636

Nef_S2/SNC_io_parser.h SNC_io_parser: : read_sface() sfh->volume() 中存在一个 oob 读取漏洞。攻击者可提供恶意输入来触发此漏洞。

对于 Debian 9 Stretch，已在版本 4.9-1+deb9u1 中修复这些问题。

我们建议您升级 cgal 程序包。

如需了解 cgal 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/cgal

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。

  - CVE-2021-21227 Gengming Liu 在 v8 JavaScript 库中发现一个数据验证问题。

  - CVE-2021-21228 Rob Wu 发现一个策略执行错误。

  - CVE-2021-21229 Mohit Raj 在文件下载程序中发现一个用户界面错误。

  - CVE-2021-21230 Manfred Paul 发现使用了错误的类型。

  - CVE-2021-21231 Sergei Glazunov 在 v8 JavaScript 库中发现一个数据验证问题。

  - CVE-2021-21232 Abdulrahman Alqabandi 在开发人员工具中发现一个释放后使用问题。

  CVE-2021-21233 Omair 在 ANGLE 库中发现一个缓冲区溢出问题。

已在 subversion 中发现一个安全问题：

CVE-2020-17525 :

如果服务器使用具有 AuthzSVNReposRelativeAccessFile 选项的存储库内 authz 规则，并且客户端发送对不存在的存储库 URL 的请求，则 Subversion 的 mod_authz_svn 模块会崩溃。
这可导致用户的服务中断。

对于 Debian 9 Stretch，已在版本 1.9.5-1+deb9u6 中修复此问题。

我们建议您升级 subversion 程序包。

如需了解 subversion 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/subversion

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据发现，强大的高性能对象/关系持久性和查询服务 libhibernate3-java 容易受到 SQL 注入漏洞的影响，此漏洞让攻击者可以访问未经授权的信息或可能发起进一步攻击。

在 DNS 服务器实现 BIND 中发现数个漏洞。

  - CVE-2021-25214 Greg Kuechle 发现，畸形传入 IXFR 传输可在 named 中触发断言失败，从而导致拒绝服务。

  - CVE-2021-25215 Siva Kakarla 发现，当在 DNAME 追踪期间放入 ANSWER 部分的 DNAME 记录是对客户端查询的最终回答时，named 可能会崩溃。

  - CVE-2021-25216 据发现，BIND 使用的 SPNEGO 实现容易受到缓冲区溢出漏洞的影响。此更新切换为使用 Kerberos 库的 SPNEGO 实现。

据发现，PHP 的依存关系管理器 composer 未正确审查 Mercurial URL，这会导致任意代码执行。

在 libimage-exiftool-perl（用于读取多媒体文件中的元信息和在其中写入元信息的库和程序）中发现一个漏洞，如果处理畸形 DjVu 文件，则可导致执行任意代码。

对于 Debian 9 Stretch，已在版本 0~20161202.7bbe0b3e-1+deb9u2 中修复这些问题。

我们建议您升级 edk2 程序包。

如需了解 edk2 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/edk2

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

已发现在 Chromium Web 浏览器中存在多个漏洞。

  - CVE-2021-21201 Gengming Liu 和 Jianyu Chen 发现一个释放后使用问题。

  - CVE-2021-21202 David Erceg 在扩展中发现一个释放后使用问题。

  - CVE-2021-21203 asnine 在 Blink/Webkit 中发现一个释放后使用问题。

  - CVE-2021-21204 Tsai-Simek、Jeanette Ulloa 和 Emily Voigtlander 在 Blink/Webkit 中发现一个释放后使用问题。

  - CVE-2021-21205 Alison Huffman 发现一个策略执行错误。

  - CVE-2021-21207 koocola 和 Nan Wang 在索引数据库中发现一个释放后使用问题。

  - CVE-2021-21208 Ahmed Elsobky 在 QR 代码扫描程序中发现一个数据验证错误。

  - CVE-2021-21209 Tom Van Goethem 在 Storage API 中发现一个实现错误。

  - CVE-2021-21210 @bananabr 在 Networking 实现中发现一个错误。

  - CVE-2021-21211 Akash Labade 在 Navigation 实现中发现一个错误。

  - CVE-2021-21212 Hugo Hue 和 Sze Yui Chau 在网络配置用户界面中发现一个错误。

  - CVE-2021-21213 raven 在 WebMIDI 实现中发现一个释放后重用问题。

  - CVE-2021-21214 在网络实现中发现一个释放后使用问题。

  - CVE-2021-21215 Abdulrahman Alqabandi 在自动填充功能中发现一个错误。

  - CVE-2021-21216 Abdulrahman Alqabandi 在自动填充功能中发现一个错误。

  - CVE-2021-21217 Zhou Aiting 在 pdfium 库中发现使用未初始化的内存。

  - CVE-2021-21218 Zhou Aiting 在 pdfium 库中发现使用未初始化的内存。

  - CVE-2021-21219 Zhou Aiting 在 pdfium 库中发现使用未初始化的内存。

  - CVE-2021-21221 Guang Gong 发现不受信任的输入未经充分验证。

  - CVE-2021-21222 Guang Gong 在 v8 JavaScript 库中发现一个缓冲区溢出问题。

  - CVE-2021-21223 Guang Gong 发现一个整数溢出问题。

  - CVE-2021-21224 Jose Martinez 在 v8 JavaScript 库中发现一个类型错误。

  - CVE-2021-21225 Brendon Tiszka 在 v8 JavaScript 库中发现一个越界内存访问问题。

  - CVE-2021-21226 Brendon Tiszka 在网络实现中发现一个释放后使用问题。

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

对于 Debian 9 Stretch，已在版本 1.10.4-1+deb9u1 中修复此问题。

我们建议您升级 gst-plugins-ugly1.0 程序包。

如需了解 gst-plugins-ugly1.0 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gst-plugins-ugly1.0

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据发现，Shibboleth Service Provider 容易受到基于 Cookie 的会话恢复功能中空指针取消引用缺陷的影响。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务（shibd 后台程序/服务中发生崩溃）。

有关其他信息，请参阅 (https://shibboleth.net/community/advisories/secadv_20210426.txt) 处的上游公告

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

对于 Debian 9 Stretch，已在版本 1.10.4-1+deb9u1 中修复此问题。

我们建议您升级 gst-libav1.0 程序包。

如需了解 gst-libav1.0 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gst-libav1.0

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

对于 Debian 9 Stretch，已在版本 1.10.4-1+deb9u2 中修复此问题。

我们建议您升级 gst-plugins-base1.0 程序包。

如需了解 gst-plugins-base1.0 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gst-plugins-base1.0

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

对于 Debian 9 Stretch，已在版本 1.10.4-1+deb9u2 中修复此问题。

我们建议您升级 gst-plugins-bad1.0 程序包。

如需了解 gst-plugins-bad1.0 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

在 Jackson Databind 中发现多个安全漏洞。

CVE-2020-24616

2.9.10.6 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPDataSource（又称 Anteros-DBCP）相关。

CVE-2020-24750

2.9.10.6 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.pastdev.httpcomponents.configuration.JndiConfiguration 相关。

CVE-2020-25649

在 FasterXML Jackson Databind 中发现一个缺陷，即未正确保护实体扩展。此缺陷带来的漏洞可招致 XML 外部实体 (XXE) 攻击。此漏洞最主要的威胁对象是数据完整性。

CVE-2020-35490

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.datasources.PerUserPoolDataSource 相关。

CVE-2020-35491

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.datasources.SharedPoolDataSource 相关。

CVE-2020-35728

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 org.glassfish.web/javax.servlet.jsp.jstl 中的嵌入式 Xalan）相关。

CVE-2020-36179

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36180

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36181

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36182

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36183

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool 相关。

CVE-2020-36184

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource 相关。

CVE-2020-36185

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource 相关。

CVE-2020-36186

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource 相关。

CVE-2020-36187

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource 相关。

CVE-2020-36188

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.newrelic.agent.deps.ch.qos.logback.core.db.JNDICS 相关。

CVE-2020-36189

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.newrelic.agent.deps.ch.qos.logback.core.db.DMCS 相关。

CVE-2021-20190

在 2.9.10.7 之前的 jackson-databind 中发现一个缺陷。FasterXML 未正确处理序列化小工具和输入之间的交互。
此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

对于 Debian 9 Stretch，已在版本 2.8.6-1+deb9u9 中修复这些问题。

建议您升级 jackson-databind 程序包。

如需了解 jackson-databind 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/jackson-databind

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 OpenJDK Java 运行时中发现多个漏洞，导致绕过沙盒限制。

对于 Debian 9 Stretch，已在版本 8u292-b10-0+deb8u1 中修复这些问题。

我们建议您升级 openjdk-8 程序包。

如需了解 openjdk-8 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/openjdk-8

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Drupal 项目在于 _filter_xss_arttributes 函数中执行的审查中发现一个漏洞，此漏洞可能导致跨站脚本，并授予其 Drupal 安全公告 ID SA-CORE-2021-002 ：

https://www.drupal.org/sa-core-2021-002

尚未公布 CVE 编号。

对于 Debian 9“Stretch”，已在版本 7.52-2+deb9u15 中向后移植此问题的修复程序。

我们建议您升级 drupal7 程序包。

如需了解 drupal7 的详细安全状态，请参阅其安全跟踪页面：

https://security-tracker.debian.org/tracker/source-package/drupal7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

据发现，DMARC 的 milter 实现 OpenDMARC 在函数 opendmarc_xml_parse 中存在不当的空终止漏洞，此漏洞可在解析特别构建的 DMARC 聚合报告时导致 opendmarc_xml 中的一个字节堆溢出。当“\0”字节覆盖下一个区块的堆元数据及其 PREV_INUSE 标记时，此漏洞会导致远程内存损坏。

对于 Debian 9 Stretch，已在版本 1.3.2-2+deb9u3 中修复此问题。

我们建议您升级 opendmarc 程序包。

如需了解 opendmarc 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/opendmarc

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据发现，OpenJDK Java 平台未完全强制执行 Jar 签名验证中使用的配置设置。

在 GStreamer 媒体框架的 Matroska 插件中发现一个释放后使用漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

对于 Debian 9 Stretch，已在版本 1.10.4-1+deb9u1 中修复此问题。

我们建议您升级 gst-plugins-good1.0 程序包。

如需了解 gst-plugins-good1.0 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gst-plugins-good1.0

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、信息泄露、特权提升或欺骗。

对于 Debian 9 Stretch，已在版本 78.10.0esr-1~deb9u1 中修复这些问题。

建议您升级 firefox-esr 程序包。

如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/firefox-esr

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在模块化的 Java/J2EE 应用程序框架 libspring-java 中发现多个漏洞。攻击者可能在特定配置中执行代码、执行 XST 攻击、发出未经授权的跨域请求或造成 DoS（拒绝服务）。

CVE-2018-1270

Spring Framework 允许应用程序通过 spring-messaging 模块，使用简单、内存内 STOMP 代理在 WebSocket 端点上暴露 STOMP。恶意用户（或攻击者）可向代理发送可导致远程代码执行攻击的消息。

CVE-2018-11039

Spring Framework 允许 Web 应用程序使用 Spring MVC 中的 HiddenHttpMethodFilter 将 HTTP 请求方法更改为任何 HTTP 方法（包括 TRACE）。如果应用程序具有预先存在的 XSS 漏洞，恶意用户（或攻击者）可使用此过滤器升级为 XST（跨站跟踪）攻击。

CVE-2018-11040

Spring Framework 允许 Web 应用程序通过 JSONP（带 Padding 的 JSON），通过针对 REST 控制器的 AbstractJsonpResponseBodyAdvice 和针对浏览器请求的 MappingJackson2JsonView 启用跨域请求。默认情况下，Spring Framework 和 Spring Boot 中均未启用两者，但当在应用程序中配置 MappingJackson2JsonView 时，便可通过“jsonp”和“callback”JSONP 参数自动准备好使用 JSONP 支持，从而启用跨域请求。

CVE-2018-15756

当通过 ResourceHttpRequestHandler 服务静态资源，或在注释的控制器返回 org.springframework.core.io.Resource 时启动 5.0，Spring Framework 将为范围请求提供支持。恶意用户（或攻击者）可以添加带有大量范围、带有重叠宽范围或两者兼具的范围标头，发起拒绝服务攻击。

对于 Debian 9 Stretch，已在版本 4.3.5-1+deb9u1 中修复这些问题。

建议您升级 libspring-java 程序包。

如需了解 libspring-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libspring-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 PJ Project 的一组库 pjproject 中发现一个问题。由于未正确处理针对 INVITE 的连续两个构建的答案，攻击者可导致服务器崩溃，从而造成拒绝服务。

对于 Debian 9 Stretch，已在版本 2.5.5~dfsg-6+deb9u2 中修复此问题。

我们建议您升级 pjproject 程序包。

如需了解 pjproject 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/pjproject

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 wpa_supplicant 和 hostapd 中发现多个漏洞。

  - CVE-2020-12695 据发现，hostapd 在某些情况下未正确处理 UPnP 订阅消息，这允许攻击者造成拒绝服务。

  - CVE-2021-0326 据发现，wpa_supplicant 未正确处理来自活动群组所有者的 P2P (Wi-Fi Direct) 群组信息。运行 P2P 的设备的辐射范围内的攻击者可利用此缺陷造成拒绝服务，或执行任意代码。

  - CVE-2021-27803 据发现，wpa_supplicant 未正确处理 P2P (Wi-Fi Direct) 配置发现请求。
    运行 P2P 的设备的辐射范围内的攻击者可利用此缺陷造成拒绝服务，或执行任意代码。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。
此外，已在 OpenPGP 支持中解决了多个安全问题。

对于 Debian 9 Stretch，已在版本 1:78.10.0-1~deb9u1 中修复这些问题。

我们建议您升级 thunderbird 程序包。

如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。
此外，已在 OpenPGP 支持中解决了多个安全问题。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些问题允许远程攻击者执行 XML 外部实体 (XXE) 攻击和访问私人内容。

ID	名称	严重性
149515	Debian DLA-2663-1：libimage-exiftool-perl 安全更新	high
149492	Debian DLA-2658-1：redmine 安全更新	critical
149490	Debian DSA-4915-1：postgresql-11 - 安全更新	high
149488	Debian DLA-2660-1：libgetdata 安全更新	critical
149485	Debian DLA-2659-1：graphviz 安全更新	high
149482	Debian DSA-4914-1：graphviz - 安全更新	high
149460	Debian DLA-2657-1：lz4 安全更新	critical
149427	Debian DLA-2655-1：rails 安全更新	high
149426	Debian DLA-2654-1：composer 安全更新	high
149423	Debian DLA-2656-1：hivex 安全更新	medium
149373	Debian DSA-4913-1：hivex - 安全更新	medium
149372	Debian DLA-2653-1：libxml2 安全更新	high
149345	Debian DLA-2650-1：exim4 安全更新	critical
149344	Debian DLA-2648-2：mediawiki 回归更新	medium
149342	Debian DLA-2652-1：unbound1.9 安全更新	critical
149339	Debian DLA-2651-1：python-django 安全更新	high
149275	Debian DSA-4912-1：exim4 - 安全更新	critical
149262	Debian DLA-2647-1：bind9 安全更新	critical
149261	Debian DLA-2649-1：cgal 安全更新	critical
149250	Debian DSA-4911-1：chromium - 安全更新	high
149246	Debian DLA-2646-1：子版本安全更新	high
149232	Debian DSA-4908-1：libhibernate3-java - 安全更新	high
149229	Debian DSA-4909-1：bind9 - 安全更新	critical
149219	Debian DSA-4907-1：composer - 安全更新	high
149218	Debian DSA-4910-1：libimage-exiftool-perl - 安全更新	high
149103	Debian DLA-2645-1：edk2 安全更新	high
149082	Debian DSA-4906-1：chromium - 安全更新	critical
149040	Debian DLA-2643-1：gst-plugins-ugly1.0 安全更新	high
149038	Debian DSA-4905-1：shibboleth-sp - 安全更新	high
149037	Debian DLA-2644-1：gst-libav1.0 安全更新	high
149036	Debian DLA-2641-1：gst-plugins-base1.0 安全更新	high
149034	Debian DLA-2642-1：gst-plugins-bad1.0 安全更新	high
149020	Debian DSA-4903-1：gst-plugins-base1.0 - 安全更新	high
149019	Debian DLA-2638-1：jackson-databind 安全更新	high
149017	Debian DSA-4902-1：gst-plugins-bad1.0 - 安全更新	high
149016	Debian DLA-2634-1：openjdk-8 安全更新	medium
149015	Debian DLA-2637-1：drupal7 安全更新	high
149014	Debian DLA-2639-1：opendmarc 安全更新	critical
149011	Debian DSA-4900-1：gst-plugins-good1.0 - 安全更新	high
149010	Debian DSA-4899-1：openjdk-11 - 安全更新	medium
149009	Debian DLA-2640-1：gst-plugins-good1.0 安全更新	high
149008	Debian DLA-2633-1：firefox-esr 安全更新	high
149007	Debian DSA-4901-1：gst-libav1.0 - 安全更新	high
149005	Debian DSA-4904-1：gst-plugins-ugly1.0 - 安全更新	high
149004	Debian DLA-2635-1：libspring-java 安全更新	critical
149003	Debian DLA-2636-1：pjproject 安全更新	medium
148967	Debian DSA-4898-1：wpa - 安全更新	high
148965	Debian DLA-2632-1：thunderbird 安全更新	high
148964	Debian DSA-4897-1：thunderbird - 安全更新	high
148963	Debian DSA-4896-1：wordpress - 安全更新	medium

检测

Nessus 的 Debian Local Security Checks 系列

high

critical

high

critical

high

high

critical

high

high

medium

medium

high

critical

medium

critical

high

critical

critical

critical

high

high

high

critical

high

high

high

critical

high

high

high

high

high

high

high

high

medium

high

critical

high

medium

high

high

high

high

critical

medium

high

high

high

medium