远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4150 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4150-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包u-boot 版本 2021.01+dfsg-5+deb11u1 CVE ID CVE-2019-14196 CVE-2022-2347 CVE-2022-30552 CVE-2022-30767 CVE-2022-30790 CVE-2022-33103 CVE-2022-33967 CVE-2022-34835 CVE-2024-57254 CVE-2024-57255 CVE-2024-57256 CVE-2024-57257 CVE-2024-57258 CVE-2024-57259 Debian 缺陷1014470 1014471 1014528 1014529 1014959 1098254


    在嵌入式系统 u-boot 的引导加载程序中发现多个漏洞。

    CVE-2022-2347

       未检查长度字段可导致堆溢出。

    CVE-2022-30552 和 CVE-2022-30790

       缓冲区溢出。

    CVE-2022-30767 (CVE-2019-14196)

       长度检查失败的 memcpy 无限循环导致缓冲区溢出。存在此问题的原因是对 CVE-2019-14196的修复不正确。

    CVE-2022-33103

       越界写入。

    CVE-2022-33967

       基于堆的缓冲区溢出漏洞可导致拒绝服务 (DoS)。

    CVE-2022-34835

       整数符号错误和由此产生的基于堆栈的缓冲区溢出。

    CVE-2024-57254

       整数溢出。

    CVE-2024-57255

       整数溢出。

    CVE-2024-57256

       整数溢出。

    CVE-2024-57257

       堆栈消耗问题。

    CVE-2024-57258

       多个整数溢出。

    CVE-2024-57259

       导致堆内存损坏的差一错误。


    对于 Debian 11 bullseye，已在 2021.01+dfsg-5+deb11u1 版本中修复这些问题。

    建议您升级 u-boot 程序包。

    有关 u-boot 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/u-boot

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4149 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4149-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包nagvis 版本 1:1.9.25-2+deb11u1 CVE ID CVE-2021-33178 CVE-2022-3979 CVE-2022-46945 CVE-2023-46287 CVE-2024-13722 CVE-2024-13723 CVE-2024-47093

    在 NagvisNagios 或 Icinga 的可视化插件中发现多个漏洞。

    CVE-2021-33178

       由于一个经认证的路径遍历漏洞恶意执行者能够任意删除本地系统上的文件。

    CVE-2022-3979

       由于类型变通漏洞远程攻击者可成功猜测认证 Cookie。

    CVE-2022-46945

       攻击者可读取任意文件。

    CVE-2023-46287

       函数中存在 XSS 漏洞。

    CVE-2024-13722/CVE-2024-47093

       存在多种 XSS 漏洞。

    CVE-2024-13723/CVE-2024-47093

       存在多种 RCE 漏洞。拥有管理级别权限的经身份验证的攻击者能够上传恶意 PHP 文件并修改特定设置从而以 PHP 方式执行文件内容。

    对于 Debian 11 Bullseye这些问题已在版本 1:1.9.25-2+deb11u1 中修复。

    我们建议您升级 nagvis 程序包。

    有关 nagvis 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/nagvis

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4148 公告中提及的漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4148-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 4 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 vips 版本 8.10.5-2+deb11u1 CVE ID CVE-2025-29769

    在图像处理系统 vips 中发现基于堆的缓冲区溢出当处理特别构建的 TIFF 图像时可导致拒绝服务。

    对于 Debian 11 Bullseye已在版本 8.10.5-2+deb11u1 中修复此问题。

    建议您升级 vips 程序包。

    如需了解 vips 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/vips

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5911 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5911-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包request-tracker4 CVE ID CVE-2024-3262 CVE-2025-2545 CVE-2025-30087 Debian 缺陷1068452

    在可扩展故障单跟踪系统 Request Tracker 中发现了多个漏洞其可导致信息泄露、跨站脚本以及 S/MIME 电子邮件使用弱加密。

    对于稳定发行版本 (bookbird)这些问题已在版本 4.4.6+dfsg-1.1+deb12u2 中修复。

    建议您升级 request-tracker4 程序包。

    有关 request-tracker4 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/request-tracker4

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5910 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5910-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2025-4083 CVE-2025-4087 CVE-2025-4091 CVE-2025-4093

    已在 Mozilla Firefox Web 浏览器中发现多个安全问题其可能导致执行任意代码或绕过沙盒限制。

    对于稳定发行版本 (bookbird)已在版本 128.10.0esr-1~deb12u1 中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4144 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4144-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2025 年 4 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包qemu 版本 1:5.2+dfsg-11+deb11u4 CVE ID CVE-2023-1544 CVE-2023-3019 CVE-2023-5088 CVE-2023-6693 CVE-2024-3447 Debian 缺陷1034179 1041102 1068821

    快速处理器仿真器 QEMU 中发现多个安全问题可能导致拒绝服务或信息泄露。

    CVE-2023-1544

        通过 VMWare 的 paravirtual RDMA 设备造成潜在的越界读取和崩溃。

    CVE-2023-3019

        e1000e NIC 仿真中的释放后使用错误。

    CVE-2023-5088

        以任意磁盘偏移寻址的 IDE 客户机 I/O 操作可能允许覆盖 VM 的启动代码。

    CVE-2023-6693

        virtio-net 设备仿真中基于堆栈的缓冲区溢出可被利用导致信息泄漏。

    CVE-2024-3447

        SDHCI 设备仿真中基于堆的缓冲区溢出。

    对于 Debian 11 Bullseye这些问题已在版本 1:5.2+dfsg-11+deb11u4 中修复。

    我们建议您升级 qemu 程序包。

    如需了解 qemu 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/qemu

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5909 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5909-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 30 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包request-tracker5 CVE ID CVE-2024-3262 CVE-2025-2545 CVE-2025-30087 CVE-2025-31500 CVE-2025-31501 Debian 缺陷1068453

    在可扩展故障单跟踪系统 Request Tracker 中发现了多个漏洞其可导致信息泄露、跨站脚本以及 S/MIME 电子邮件使用弱加密。

    对于稳定发行版本 (bookbird)已在版本 5.0.3+dfsg-3~deb12u3 中修复这些问题。

    我们建议您升级 request-tracker5 程序包。

    有关 request-tracker5 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/request-tracker5

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4147 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4147-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 4 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包fig2dev 版本 1:3.2.8-3+deb11u3 CVE ID CVE-2025-46397 CVE-2025-46398 CVE-2025-46399 CVE-2025-46400

    在 fig2dev用于转换 Xfig 图文件文件的实用工具中发现多个漏洞在使用特别构建的输入文件时可导致代码执行或拒绝服务。

    CVE-2025-46397

        一个堆栈溢出漏洞可能允许通过 bezier_spline() 函数进行本地输入操纵的代码执行。

    CVE-2025-46398

        一个堆栈溢出漏洞可允许通过 read_objects() 函数进行本地输入操纵的代码执行。

    CVE-2025-46399

        分段错误问题可通过 genge_itp_spline() 函数进行本地输入操纵导致拒绝服务。

    CVE-2025-46400

        分段错误问题可通过 read_arcobject() 函数进行本地输入操纵导致拒绝服务。

    对于 Debian 11 Bullseye这些问题已在版本 1:3.2.8-3+deb11u3 中修复。

    我们建议您升级 fig2dev 程序包。

    有关 fig2dev 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/fig2dev

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4145 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4145-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 4 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：expat 版本：2.2.10-2+deb11u7 CVE ID：CVE-2024-50602


    在 XML 解析 C 库 expat 中发现一个问题。
    此问题与 XML_ResumeParser() 函数中发生的崩溃相关，造成此崩溃的原因是 XML_StopParser() 可停止/暂停未启动的解析器。



    对于 Debian 11 bullseye，已在 2.2.10-2+deb11u7 版本中修复此问题。

    建议您升级 expat 程序包。

    如需了解 expat 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/expat

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4146 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4146-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2025 年 4 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libxml2 版本：2.9.10+dfsg-6.7+deb11u7 CVE ID：CVE-2025-32414 CVE-2025-32415


    在 GNOME XML 库 libxml2 中发现两个问题。
    这些问题与 Python API 中的越界内存访问以及 xmlSchemaIDCFillNodeTables() 中的堆缓冲区溢出有关。



    对于 Debian 11 bullseye，已在 2.9.10+dfsg-6.7+deb11u7 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4143 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4143-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 4 月 30 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：glibc 版本：2.31-13+deb11u12 CVE ID：CVE-2025-0395

    在 GNU C 库（Debian 使用的 C 标准库实现）的 assert() 函数的实现中发现一个缺陷。

    断言失败时，实现不会为断言失败消息字符串和大小信息分配足够的空间，因此如果消息字符串大小与页大小匹配，这可能会导致缓冲区溢出问题。

    对于 Debian 11 bullseye，已在版本 2.31-13+deb11u12 中修复此问题。

    建议您升级 glibc 程序包。

    如需了解 glibc 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/glibc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4142 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4142-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 4 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libraw 版本0.20.2-1+deb11u2 CVE ID CVE-2025-43961 CVE-2025-43962 CVE-2025-43963 CVE-2025-43964 Debian 缺陷1103781 1103782 1103783

    LibRaw 库用于读取从数码相机获取的 RAW 文件（CRW/CR2、NEF、RAF、DNG 等）。

    CVE-2025-43961

        metadata/tiff.cpp 在 Fujifild 0xf00c 标签解析器中存在越界读取。

    CVE-2025-43962

        decodes/load_mfbacks.cpp 中的 phase_one_correct 在进行标签 0x412 处理时存在越界读取这与较大的 w0 或 w1 值或者 rac 和 mult 计算有关。

    CVE-2025-43963

        decodes/load_mfbacks.cpp 中的 phase_one_correct 允许缓冲区外访问因为未在 0x041f 标签处理中检查 split_col 与 split_row 值。

    CVE-2025-43964

        decodes/load_mfbacks.cpp 中 phase_one_correct 的标签 0x412 处理未强制 w0 和 w1 值最小。

    对于 Debian 11 Bullseye已在版本 0.20.2-1+deb11u2 中修复这些问题。

    我们建议您升级 libraw 程序包。

    如需 libraw 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libraw

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5908 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5908-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libreoffice CVE ID：CVE-2025-2866

    Juray Sarinay 发现以 adbe.pkcs7.sha1 标准签名的 PDF 文档由 LibreOffice 验证不完整其可造成无效签名被接受为合法签名。

    对于稳定发行版本 (bookbird)此问题已在版本 4:7.4.7-1+deb12u8 中修复。

    建议您升级 libreoffice 程序包。

    如需了解 libreoffice 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libreoffice

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4140 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4140-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2025 年 4 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libsoup2.4 版本：2.72.0-2+deb11u2 CVE ID：CVE-2025-2784 CVE-2025-32050 CVE-2025-32052 CVE-2025-32053 CVE-2025-32906 CVE-2025-32909 CVE-2025-32910 CVE-2025-32911 CVE-2025-32912 CVE-2025-32913 CVE-2025-32914 Debian 缺陷：1091502 1102208 1102212 1102214 1102215 1103521 1103517 1103516 1103515 1103267 1103512

    在 libsoup2.4（GNOME 等环境中广泛使用的 http 客户端/服务器库）中发现多个安全漏洞。

    CVE-2025-2784

        通过 skip_insight_whitespace() 函数嗅探内容时，程序包容易受到堆缓冲区过度读取漏洞的影响。Libsoup 客户端在响应 HTTP 服务器特制的 HTTP 响应时，可能会越界读取一字节。

    CVE-2025-32050

        libsoup append_param_quoted() 函数可能包含溢出缺陷，导致缓冲区读取不足。

    CVE-2025-32052

        sniff_unknown() 函数中的漏洞可导致堆缓冲区过度读取。

    CVE-2025-32053

        sniff_feed_or_html() 和 skip_insignificant_space() 函数中的漏洞可能导致堆缓冲区过度读取。

    CVE-2025-32906

        soup_headers_parse_request() 函数可能容易受到越界读取漏洞的影响。此缺陷允许恶意用户使用特制的 HTTP 请求导致 HTTP 服务器崩溃。

    CVE-2025-32909

        SoupContentSniffer 可能容易受到 sniff_mp4 函数中空指针取消引用漏洞的影响。HTTP 服务器可能造成 libsoup 客户端崩溃。

    CVE-2025-32910

        在 libsoup 中发现一个缺陷，其中 soup_auth_digest_authenticate() 容易受到空指针取消引用漏洞的影响。此问题可能造成 libsoup 客户端崩溃。

    CVE-2025-32911

        容易受到不在 soup_message_headers_get_content_disposition() 函数中堆上的释放后使用内存问题的影响。
        此缺陷允许恶意 HTTP 客户端造成 libsoup 服务器中的内存损坏。

    CVE-2025-32912

        SoupAuthDigest 容易受到空指针取消引用漏洞的影响。HTTP 服务器可能造成 libsoup 客户端崩溃。

    CVE-2025-32913

        soup_message_headers_get_content_disposition() 函数容易受到空指针取消引用漏洞的影响。此缺陷允许恶意 HTTP 对等机导致使用此函数的 libsoup 客户端或服务器崩溃。

    CVE-2025-32914

        soup_multipart_new_from_message() 函数容易受到越界读取漏洞的影响。此缺陷允许恶意 HTTP 客户端诱使 libsoup 服务器进行越界读取。

    此外，此更新还包括一个修复，该修复用于延长测试套件在构建期间使用的证书的生命周期，以避免很快过期。

    请注意，此更新*尚未*解决仍在讨论中的 CVE-2025-32907 和 CVE-2025-32049。

    对于 Debian 11 bullseye，已在 2.72.0-2+deb11u2 版本中修复这些问题。

    我们建议您升级 libsoup2.4 程序包。

    如需了解 libsoup2.4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libsoup2.4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5907 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5907-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID：CVE-2023-53034 CVE-2024-36908 CVE-2024-46733 CVE-2024-46742 CVE-2024-46753 CVE-2024-46774 CVE-2024-46816 CVE-2024-46823 CVE-2024-50063 CVE-2025-21853 CVE-2025-22025 CVE-2025-22027 CVE-2025-22033 CVE-2025-22035 CVE-2025-22038 CVE-2025-22040 CVE-2025-22041 CVE-2025-22042 CVE-2025-22044 CVE-2025-22045 CVE-2025-22049 CVE-2025-22050 CVE-2025-22054 CVE-2025-22055 CVE-2025-22056 CVE-2025-22058 CVE-2025-22060 CVE-2025-22063 CVE-2025-22066 CVE-2025-22071 CVE-2025-22072 CVE-2025-22073 CVE-2025-22075 CVE-2025-22079 CVE-2025-22081 CVE-2025-22086 CVE-2025-22088 CVE-2025-22089 CVE-2025-22093 CVE-2025-22095 CVE-2025-22097 CVE-2025-22126 CVE-2025-23136 CVE-2025-23138 CVE-2025-37785 CVE-2025-37838 CVE-2025-38152 CVE-2025-38575 CVE-2025-38637 CVE-2025-39728 CVE-2025-39735 Debian 缺陷：1086175 1102914

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于稳定发行版本 (bookworm)，已在版本 6.1.135-1 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4139 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4139-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包imagemagick 版本 8:6.9.11.60+dfsg-1.3+deb11u5 CVE ID CVE-2025-43965

    用于编辑和操纵数字图像的软件套件 ImageMagick 中修复了 SetQuantumFormat() 之后对 MIFF 图像深度的处理不当。

    对于 Debian 11 Bullseye此问题已在版本 8:6.9.11.60+dfsg-1.3+deb11u5 中修复。

    建议您升级 imagemagick 程序包。

    如需了解 imagemagick 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/imagemagick

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的一个程序包受到 dla-4138 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4138-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Stefano Rivera 2025 年 4 月 26 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包 : distro-info-data 版本 : 0.51+deb11u8

    这是针对 Debian LTS 用户的 distro-info-data 数据库的例行更新。

    它添加了 Ubuntu 25.10 Questing Quokka 和 Debian 15 Duke。

    对于 Debian 11 bullseye，已在 0.51+deb11u8 版本中修复此问题。

    我们建议您升级 distro-info-data 程序包。

    如需了解 distro-info-data 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/distro-info-data

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4137 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4137-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libbpf 版本0.3-2+deb11u1 CVE ID CVE-2022-3534 CVE-2022-3606 Debian 缺陷1023717

    已修复 Linux 内核中用于与 eBPF 交互的库 libbpf 中的两个漏洞。

    CVE-2022-3534

        btf_dump_name_dups() 中的释放后使用

    CVE-2022-3606

        find_prog_by_sec_insn() 中的空指针取消引用

    对于 Debian 11 Bullseye已在版本 0.3-2+deb11u1 中修复这些问题。

    我们建议您升级 libbpf 程序包。

    有关 libbpf 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libbpf

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4136 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4136-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 24 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包openrazer 版本 2.9.0+dfsg-1+deb11u1 CVE ID CVE-2022-23467 CVE-2022-29021 CVE-2022-29022 CVE-2022-29023 CVE-2025-32776

    已针对主要针对游戏迷销售硬件的公司 Razer 的设备修复 OpenRazer 驱动程序中的多种漏洞。

    CVE-2022-23467

        越界读取

    CVE-2022-29021

        razerkbd 驱动程序中的缓冲区溢出

    CVE-2022-29022

        razeraccessory 驱动程序中的缓冲区溢出

    CVE-2022-29023

        razermouse 驱动程序中的缓冲区溢出

    CVE-2025-32776

        越界读取

    对于 Debian 11 bullseye，已在 2.9.0+dfsg-1+deb11u1 版本中修复这些问题。

    我们建议您升级 openrazer 程序包。

    有关 openrazer 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/openrazer

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4135 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4135-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包haproxy 版本2.2.9-2+deb11u7 CVE ID CVE-2025-32464 Debian 缺陷1102673

    已修复负载平衡反向代理 HAProxy 中的 sample_conv_regsub() 中的堆缓冲区溢出。

    对于 Debian 11 Bullseye已在版本 2.2.9-2+deb11u7 中修复此问题。

    我们建议您升级 haproxy 程序包。

    有关 haproxy 的详细安全状态请参阅其安全跟踪页面网址是
    https://security-tracker.debian.org/tracker/haproxy

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4130 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4130-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2025 年 4 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：shadow 版本 : 1:4.8.1-1+deb11u1 CVE ID：CVE-2023-4641 CVE-2023-29383 Debian 缺陷：1034482 1051062

    在登录工具的 shadow 套件中发现多个漏洞。在有限的情况下，攻击者可从内存中提取密码，并且使在终端中检查 /etc/passwd 的管理员感到困惑。

    CVE-2023-4641

        需要输入新密码时，shadow-utils 会要求输入两次密码。如果第二次尝试输入密码失败，shadow-utils 无法清理用于存储第一个条目的缓冲区。因此，拥有足够访问权限的攻击者可能从内存中检索密码。

    CVE-2023-29383

        可将控制字符注入到为 SUID 程序 chfn（变更指纹）提供的字段中。虽然无法直接利用此缺陷（例如，由于 \n 在阻止列表中，导致添加新用户失败），但查看时仍有可能使其伪造 /etc/passwd 文件。

    对于 Debian 11 bullseye，已在 1:4.8.1-1+deb11u1 版本中修复这些问题。

    建议您升级 shadow 程序包。

    如需了解 shadow 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/shadow

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4131 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4131-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 4 月 19 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包zabbix 版本 1:5.0.46+dfsg-1+deb11u1 CVE ID CVE-2024-36469 CVE-2024-42325 CVE-2024-45699 CVE-2024-45700 Debian 缺陷

    在网络监控解决方案 zabbix 中发现数个安全漏洞其可能造成拒绝服务、信息泄露或远程代码包含。

    CVE-2024-36469

        相比使用现有用户名，使用不存在的用户名时，不成功登录的执行时间不同。

    CVE-2024-42325

        Zabbix API user.get 返回与调用用户共享通用组的所有用户。这包括媒体和其他信息，例如登录尝试等。

    CVE-2024-45699

        endpoint /zabbix.php?action=export.valuemaps 受到通过 backurl 参数造成的跨站脚本漏洞影响。造成此漏洞的原因是，反射用户提供的数据时未进行适当的 HTML 转义或输出编码。因此，攻击者可将 JavaScript 负载注入至上述端点，造成其在受害者的浏览器环境中执行。

    CVE-2024-45700

        由于不受控制的资源耗尽Zabbix 服务器容易受到 DoS 漏洞的影响。攻击者可向服务器发送特制的请求造成服务器分配过量内存并执行占用大量 CPU 的解压缩操作最终导致服务崩溃。

    对于 Debian 11 Bullseye这些问题已在版本 1:5.0.46+dfsg-1+deb11u1 中修复。

    建议您升级 zabbix 程序包。

    如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/zabbix

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5906 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5906-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 20 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包erlang CVE ID CVE-2023-48795 CVE-2025-26618 CVE-2025-30211 CVE-2025-32433

    在 SSH 协议的 Erlang/OTP 实现中发现数个漏洞这些漏洞可能导致拒绝服务或执行任意代码。

    对于稳定发行版本 (bookbird)这些问题已在版本 1:25.2.3+dfsg-1+deb12u1 中修复。

    建议您升级 erlang 程序包。

    有关 erlang 详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5905 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5905-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包graphicsmagick CVE ID CVE-2025-27795 CVE-2025-32460 Debian 缺陷1099955

    在用于操纵图像文件的一组命令行应用程序 GraphicsMagick 中发现两个漏洞如果处理格式错误的图像文件可导致拒绝服务或执行任意代码。

    对于稳定发行版本 (bookbird)这些问题已在版本 1.4+really1.3.40-4+deb12u1 中修复。

    建议您升级 graphicsmagick 程序包。

    有关 graphicsmagick 详细的安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/graphicsmagick

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4133 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4133-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：wget 版本：1.21-1+deb11u2 CVE ID：CVE-2024-38428 Debian 错误：1073523

    已在 GNU Wget（用于通过 HTTP、HTTPS、FTP 和 FTPS 检索文件）中修复 URI 的 userinfo 子组件中对分号的错误处理。

    对于 Debian 11 bullseye，已在 1.21-1+deb11u2 版本中修复此问题。

    建议您升级 wget 程序包。

    如需了解 wget 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/wget

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4134 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4134-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包fig2dev 版本 1:3.2.8-3+deb11u2 CVE ID CVE-2025-31162 CVE-2025-31163 CVE-2025-31164

    修复了 fig2dev 实用工具中用于转换 Xfig 图窗文件的多种漏洞。

    CVE-2025-31162

        巨大模式长度的浮点异常

    CVE-2025-31163

        不拒绝具有重合点的 arc

    CVE-2025-31164

        零半径 arc-box 上的堆缓冲区溢出

    对于 Debian 11 Bullseye这些问题已在版本 1:3.2.8-3+deb11u2 中修复。

    我们建议您升级 fig2dev 程序包。

    有关 fig2dev 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/fig2dev

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4132 公告中提及的多个漏洞的影响。

    ---------------------------------------------------- -------------------------- Debian LTS 公告 DLA-4132-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 4 月 21 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：erlang 版本 : 1:23.2.6+dfsg-1+deb11u2 CVE ID： CVE-2023-48795 CVE-2025-26618 CVE-2025-30211 CVE-2025-32433 Debian 缺陷：1059002 1101713 1103442

    修复了 erlang 中的多种漏洞。

    CVE-2023-48795 （Terrapin 攻击）

        SSH 传输协议具有某些 OpenSSH 扩展，允许远程攻击者绕过完整性检查从而忽略某些数据包（来自扩展协商消息），客户端和服务器可能因此结束于某些安全功能已降级的连接.

    CVE-2025-26618

        SSH 传输协议具有某些 OpenSSH 扩展，允许远程攻击者绕过完整性检查从而忽略某些数据包（来自扩展协商消息），客户端和服务器可能因此结束于某些安全功能已降级的连接.

    CVE-2025-30211

        SSH 传输协议具有某些 OpenSSH 扩展，允许远程攻击者绕过完整性检查从而忽略某些数据包（来自扩展协商消息），客户端和服务器可能因此结束于某些安全功能已降级的连接.

    CVE-2025-32433

        SSH 服务器可能允许攻击者执行未经认证的远程代码执行 (RCE)。通过利用 SSH 协议消息处理中的缺陷，恶意执行者可在未经授权的情况下访问受影响的系统，并在没有有效凭据的情况下执行任意命令。

    对于 Debian 11 bullseye，这些问题已在版本 1:23.2.6+dfsg-1+deb11u2 中修复。

    建议您升级 erlang 程序包。

    有关 erlang 的详细安全状态，请参阅其安全跟踪页面，网址为：
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5903 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5903-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 4 月 17 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-3619 CVE-2025-3620

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 135.0.7049.95-1~deb12u1 中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装有一个程序包，该程序包受到公告 dsa-5904 中提及的漏洞的影响。

    ---------------------------------------------------- -------------------------- Debian 安全公告 DSA-5904-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libapache2-mod-auth-openidc CVE ID： CVE-2025-31492

    发现 mod_auth_openidc（一种用于实现 OpenID Connect 依赖方功能的 Apache HTTP 服务器的 OpenID Certified 身份验证和授权模块）在某些配置中易受信息泄露的影响

    对于稳定发行版本 (bookworm)，已在版本 2.4.12.3-2+deb12u3 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    有关 libapache2-mod-auth-openidc 的详细安全状态，请参阅其安全跟踪页面，网址为：
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个程序包，该程序包受到公告 dla-4129 中提及的漏洞的影响。

    --------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4129-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Moritz Schlarb 2025 年 4 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libapache2-mod-auth-openidc 版本：2.4.9.4-0+deb11u5 CVE ID： CVE-2025-31492 Debian 缺陷：1102413

    修复了 mod_auth_openidc（针对实现 OpenID Connect 依赖方功能的 Apache 2.x HTTP 服务器的 OpenID Certified 认证和授权模块）中的漏洞。

    mod_auth_openidc 中的缺陷会导致受保护的内容泄露给未经认证的用户。
    下列指令为披露条件：
        OIDCProviderAuthRequestMethod POST 需要有效用户，并且不能有任何保护服务器的应用程序级网关（或负载平衡器等）。
    当您请求受保护的资源时，响应会包括 HTTP 状态、HTTP 标头、预期响应（自我提交表单）*和受保护的资源（无标头）*。
    修复此问题的修补程序已从 mod_auth_openidc 向后移植 2.4.16.11。

    对于 Debian 11 bullseye，已在 版本 2.4.9.4-0+deb11u5 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    有关 libapache2-mod-auth-openidc 的详细安全状态，请参阅其安全跟踪页面，网址为：
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4128 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4128-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：glib2.0 版本：2.66.8-1+deb11u6 CVE ID：CVE-2025-3360

    g_date_time_new_from_iso8601() 中的整数溢出漏洞已在 GNOME 库 glib2.0 中修复。

    对于 Debian 11 bullseye，已在 2.66.8-1+deb11u6 版本中修复此问题。

    我们建议您升级 glib2.0 程序包。

    如需了解 glib2.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/glib2.0

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有程序包，该程序包受到公告 dla-4127 中提及的漏洞的影响。

    ---------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4127-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：subversion 版本：1.14.1-3+deb11u2 CVE ID： CVE-2024-46901

    已修复版本控制系统 Subversion 的 mod_dav_svn 模块中通过路径中的控制字符造成的拒绝服务。

    对于 Debian 11 bullseye，已在版本 1.14.1-3+deb11u2 中修复此问题。

    我们建议您升级 subversion 程序包。

    如需了解 subversion 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/subversion

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5900 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5900-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID：CVE-2023-52857 CVE-2023-52927 CVE-2024-24855 CVE-2024-26656 CVE-2024-26767 CVE-2024-26982 CVE-2024-27056 CVE-2024-35866 CVE-2024-38611 CVE-2024-40973 CVE-2024-42129 CVE-2024-43831 CVE-2024-46772 CVE-2024-47753 CVE-2024-47754 CVE-2024-50056 CVE-2024-50246 CVE-2024-53166 CVE-2024-57977 CVE-2024-58002 CVE-2024-58005 CVE-2024-58079 CVE-2024-58090 CVE-2025-21702 CVE-2025-21712 CVE-2025-21721 CVE-2025-21756 CVE-2025-21838 CVE-2025-21844 CVE-2025-21846 CVE-2025-21848 CVE-2025-21855 CVE-2025-21858 CVE-2025-21859 CVE-2025-21862 CVE-2025-21864 CVE-2025-21865 CVE-2025-21866 CVE-2025-21867 CVE-2025-21871 CVE-2025-21875 CVE-2025-21877 CVE-2025-21878 CVE-2025-21881 CVE-2025-21887 CVE-2025-21891 CVE-2025-21898 CVE-2025-21899 CVE-2025-21904 CVE-2025-21905 CVE-2025-21909 CVE-2025-21910 CVE-2025-21912 CVE-2025-21913 CVE-2025-21914 CVE-2025-21916 CVE-2025-21917 CVE-2025-21918 CVE-2025-21919 CVE-2025-21920 CVE-2025-21922 CVE-2025-21924 CVE-2025-21925 CVE-2025-21926 CVE-2025-21928 CVE-2025-21934 CVE-2025-21935 CVE-2025-21936 CVE-2025-21937 CVE-2025-21938 CVE-2025-21941 CVE-2025-21943 CVE-2025-21944 CVE-2025-21945 CVE-2025-21947 CVE-2025-21948 CVE-2025-21950 CVE-2025-21951 CVE-2025-21956 CVE-2025-21957 CVE-2025-21959 CVE-2025-21960 CVE-2025-21962 CVE-2025-21963 CVE-2025-21964 CVE-2025-21968 CVE-2025-21970 CVE-2025-21971 CVE-2025-21975 CVE-2025-21978 CVE-2025-21979 CVE-2025-21980 CVE-2025-21981 CVE-2025-21986 CVE-2025-21991 CVE-2025-21992 CVE-2025-21993 CVE-2025-21994 CVE-2025-21996 CVE-2025-21997 CVE-2025-21999 CVE-2025-22004 CVE-2025-22005 CVE-2025-22007 CVE-2025-22008 CVE-2025-22010 CVE-2025-22014 CVE-2025-22015

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于稳定发行版本 (bookworm)，已在版本 6.1.133-1 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4123 公告中提及的多个漏洞的影响。

    ---------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4123-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 4 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：wpa 版本 : 2:2.9.0-21+deb11u3 CVE ID： CVE-2022-23303 CVE-2022-23304 CVE-2022-37660

    在包括广泛使用的 wpasupplicant 客户端在内的一组工具 wpa 中发现多个漏洞，用于对 WPA 和 WPA2 无线网络进行认证。

    CVE-2022-23303

        缓存访问模式导致 hostapd 中的 SAE 实现容易遭受边信道攻击。

    CVE-2022-23304

        由于存在缓存访问模式，EAP-pwd 的实施容易遭受边信道攻击。

    CVE-2022-37660

        即使在成功建立 PKEX 关联之后，PKEX 代码仍保持活动状态。过去曾使用 PKEX 以另一实体成功启动公钥的攻击者，未来可通过被动观察公钥破坏启动。

    对于 Debian 11 bullseye，这些问题已在版本 2:2.9.0-21+deb11u3 中修复。

    建议您升级 wpa 程序包。

    如需了解 wpa 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/wpa

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装有受到 dsa-5901 公告中提及的多个漏洞影响的程序包。

    ---------------------------------------------------- ----------------------- Debian 安全公告 DSA-5901-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 ：mediawiki CVE ID： CVE-2025-3469 CVE-2025-32696 CVE-2025-32697 CVE-2025-32698 CVE-2025-32699 CVE-2025-32700

    协同工作网站引擎 MediaWiki 中发现多个安全问题，可能会造成信息泄露、跨站脚本或限制绕过。

    对于稳定发行版本 (bookworm)，已在版本 1:1.39.12-1~deb12u1 中修复这些问题。

    我们建议您升级 mediawiki 程序包。

    如需了解 mediawiki 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/mediawiki

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4124 公告中提及的多个漏洞的影响。

    ---------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4124-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 4 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：twitter-bootstrap3 版本： 3.4.1+dfsg-2+deb11u1 CVE ID： CVE-2024-6484 CVE-2024-6485 Debian 缺陷：1084060

    Bootstrap（以前称为 Twitter Bootstrap）是一个免费的开源 CSS 框架，受到 XSS 漏洞的影响。

    如果通过模块捆绑程序使用 bootstrap，则可能需要重新构建应用程序。

    对于 Debian 11 bullseye，这些问题已在版本 3.4.1+dfsg-2+deb11u1 中修复。

    我们建议您升级 twitter-bootstrap3 程序包。

    有关 twitter-bootstrap3 的详细安全状态，请参阅其安全跟踪页面，网址为：
    https://security-tracker.debian.org/tracker/twitter-bootstrap3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4126 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4126-2 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas kanashiro 2025 年 4 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包jinja2 版本2.11.3-1+deb11u4 CVE ID CVE-2025-27516 Debian 缺陷 #1103045

    对 DLA-4126 中公告的 CVE-2025-27516 的修复不支持 Python 2。
    现在恢复了对 Python 2 的支持。

    对于 Debian 11 Bullseye已在版本 2.11.3-1+deb11u4 中修复此问题。

    建议您升级 jinja2 程序包。

    如需了解 jinja2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/jinja2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5902 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5902-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 4 月 13 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：perl CVE ID：CVE-2024-56406

    Nathan Mills 发现，使用 tr/// 转换非 ASCII 字节时，Perl 编程语言的实现中存在基于堆的缓冲区溢出漏洞，此漏洞可能导致拒绝服务或任意代码执行攻击。

    对于稳定发行版本 (bookworm)，已在 5.36.0-7+deb12u2 版本中修复此问题。

    建议您升级 perl 程序包。

    如需了解 perl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/perl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5899 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5899-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2025 年 4 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：webkit2gtk CVE ID：CVE-2024-54551 CVE-2025-24208 CVE-2025-24209 CVE-2025-24213 CVE-2025-24216 CVE-2025-24264 CVE-2025-30427

    在 WebKitGTK Web 引擎中发现以下漏洞：

    CVE-2024-54551

        ajajfxhj 发现，处理 Web 内容可能会导致拒绝服务。

    CVE-2025-24208

        Muhammad Zaid Ghifari 和 Kalimantan Utara 发现，加载恶意 iframe 可能会导致跨站脚本攻击。

    CVE-2025-24209

        Francisco Alonso 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致进程意外崩溃。

    CVE-2025-24213

        Google V8 安全团队发现，一个类型混淆问题可能导致内存损坏。请注意，此 CVE 仅在 ARM 架构中得到修复。x86_64 不易受攻击，x86 在启用 SSE2 指令集时不易受攻击；但其他架构仍然容易受到影响。

    CVE-2025-24216

        Paul Bakker 发现，处理恶意构建的 Web 内容可能导致 Safari 意外崩溃。

    CVE-2025-24264

        Gary Kwong 和一位匿名研究人员发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    CVE-2025-30427

        rheza 发现，处理恶意构建的 Web 内容可能导致意外崩溃。

    对于稳定发行版本 (bookworm)，已在 2.48.1-2~deb12u1 版本中修复这些问题。

    我们建议您升级 webkit2gtk 程序包。

    如需了解 webkit2gtk 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装有程序包，该程序包受到公告 dsa-5898 中提及的漏洞的影响。

    ---------------------------------------------------- -------------------------- Debian 安全公告 DSA-5898-1 security@debian.org https://www.debian.org/security/Andres Salomon 2025 年 4 月 9 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2025-3066

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于稳定发行版本 (bookworm)，已在版本 135.0.7049.84-1~deb12u1 中修复此问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个程序包，该程序包受到公告 dla-4122 中提及的漏洞的影响。

    ---------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4122-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 4 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libbssolv-perl 版本：0.17-3+deb11u1

    此更新包含上游修补程序，接受 0 作为 BSSolv 处理的 Debian 程序包中的有效 epoch。

    这修复了阻止 Open Build Service 后端正常工作的缺陷。特别是，按需下载功能无法处理来自 Debian 的 woff-tools 程序包，并导致在下载后立即将 .deb 文件删除。

    请参阅 https://github.com/openSUSE/perl-BSSolv/pull/17 了解关于此缺陷上游的更多详细信息。

    此缺陷也已在 Debian 12 bookworm 和更新版本中得到修复。

    已知没有其他软件受此问题影响。

    对于 Debian 11 bullseye，已在版本 0.17-3+deb11u1 中修复此问题。

    我们建议您升级 libbssolv-perl 程序包。

    有关 libbssolv-perl 的详细安全状态，请参阅其安全跟踪页面，网址为：
    https://security-tracker.debian.org/tracker/libbssolv-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4121 公告中提及的多个漏洞的影响。

    ---------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4121-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：phpmyadmin 版本 ： 4:5.0.4+dfsg2-2+deb11u2 CVE ID： CVE-2023-25727 CVE-2025-24529 CVE-2025-24530

    已修复 MySQL 和 MariaDB 数据库的管理工具 phpMyAdmin 中的多种 XSS 漏洞。

    CVE-2023-25727

        拖放上传中的 XSS 漏洞

    CVE-2025-24529

        “插入”页上的 XSS

    CVE-2025-24530

        检查表时的 XSS

    对于 Debian 11 bullseye，已在版本 4:5.0.4+dfsg2-2+deb11u2 中修复这些问题。

    建议您升级 phpmyadmin 程序包。

    如需了解 phpmyadmin 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/phpmyadmin

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有程序包，该程序包受到公告 dla-4119 中提及的漏洞的影响。

    ---------------------------------------------------- -------------------------- Debian LTS 公告 DLA-4119-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/YaddApril 08、 2025 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：lemonldap-ng 版本： 2.0.11+ds-4+deb11u7 CVE ID： CVE-2025-31510

    lemonldap-ng 是强大的 SSO 解决方案，可以实现 OpenID-Connect、SAML、CAS、... 在使用 Choice 模块时发现一个输入验证漏洞 (XSS)。它允许将 HTML 代码引入登录页面，如果修改了默认 Content-Security-Policy 标头，则可能也注入 JavaScript 代码。

    对于 Debian 11 bullseye，此问题已在版本 2.0.11+ds-4+deb11u7 中修复。

    我们建议您升级 lemonldap-ng 程序包。

    如需了解 lemonldap-ng 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/lemonldap-ng

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装有程序包，该程序包受到公告 dsa-5897 中提及的漏洞的影响。

    ---------------------------------------------------- ----------------------- Debian 安全公告 DSA-5897-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包 ：lemonldap-ng CVE ID： CVE-2025-31510

    已发现使用 Choice 模块时，与 OpenID-Connect、CAS 和 SAML 兼容的 Web SSO 系统 Lemonldap::NG 中存在跨站脚本漏洞： 它允许在登录页面中引入 HTML 代码，如果Content-Security-Policy 标头已被修改，可能会注入 JavaScript 代码。

    对于稳定发行版本 (bookworm)，已在版本 2.16.1+ds-deb12u6 中修复此问题。

    我们建议您升级 lemonldap-ng 程序包。

    如需了解 lemonldap-ng 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/lemonldap-ng

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个程序包，该程序包受到公告 dla-4120 中提及的漏洞的影响。

    ---------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4120-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 4 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libnet-easytcp-perl 版本：0.26-6+deb11u1 CVE ID： CVE-2024-56830

    Net::EasyTCP Perl 模块包含需要安全随机数发生器的加密功能。在 （包括版本 0.26之前），此模块使用没有任何此类保证的随机数发生器。
    这样做的原因是 它依赖于 Crypt::Random（Debian 中不可用的 Perl 模块），并且回退到不安全的内置 rand()，因此只有极小部分安装了 Crypt::Random 的用户CPAN 中的 会使用适当的随机数发生器。

    对于 Debian 11 bullseye，已在版本 0.26-6+deb11u1 中修复此问题。回退到 rand() 已删除，模块将使用 Bytes::Random::Secure 获取随机数，这已成为强制依存关系。不太可能发生的事件 Bytes::Random::Secure 仍然不可用（例如，手动删除），则 Net::EasyTCP 将崩溃，而非使用不安全的随机数发生器。

    建议您升级 libnet-easytcp-perl 程序包。

    有关 libnet-easytcp-perl 的详细安全状态，请参阅其安全跟踪页面，网址是：
    https://security-tracker.debian.org/tracker/libnet-easytcp-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4118 公告中提及的多个漏洞的影响。

    ---------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4118-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 4 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：ghostscript 版本 ： 9.53.3~dfsg-7+deb11u10 CVE ID： CVE-2025-27830 CVE-2025-27831 CVE-2025-27832 CVE-2025-27835 CVE-2025-27836

    已修复 PostScript/PDF 解释器 Ghostscript 中的多个漏洞。

    CVE-2025-27830

        通过 DollarBlend 序列化造成的缓冲区溢出

    CVE-2025-27831

        Unicode 解码溢出

    CVE-2025-27832

        导致缓冲区溢出的整数溢出

    CVE-2025-27835

        字节和短路之间的混淆

    CVE-2025-27836

        bj10v 设备中的缓冲区溢出

    对于 Debian 11 bullseye，这些问题已在版本 9.53.3~dfsg-7+deb11u10 中修复。

    我们建议您升级 ghostscript 程序包。

    如需了解 ghostscript 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ghostscript

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装有一个程序包，该程序包受到公告 dla-4117 中提及的漏洞的影响。

    --------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4117-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Carlos Henrique Lima Melara 2025 年 4 月 6 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：atop 版本：2.6.0-2+deb11u1 CVE ID： CVE-2025-31160

    发现系统资源和进程活动监控工具 Atop 在对 atopgpud（一个收集 GPU 统计数据的额外后台程序，Debian 未随附）的端口执行不充分审查时，总是尝试连接到该端口。

    通过此更新，atop 添加了其他验证，并且默认情况下不再尝试连接 atopgpud 后台程序端口，除非通过 -k 明确启用。

    对于 Debian 11 bullseye，已在版本 2.6.0-2+deb11u1 中修复此问题。

    我们建议您升级 atop 程序包。

    如需了解 atop 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/atop

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4116 公告中提及的一个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4116-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 4 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：abseil 版本：0~20200923.3-2+deb11u1 CVE ID：CVE-2025-0838 Debian 缺陷：1098903

    abseil（扩展 C++ 标准库的开源 C++ 库的集合）中有一个漏洞可能导致堆缓冲区溢出。

    CVE-2025-0838

        Abseil-cpp 中存在堆缓冲区溢出漏洞。absl::{flat,node}hash{set,map} 的 sized 构造函数、reserve() 和 rehash() 方法没有规定其大小参数的上限。因此，调用程序可能会在计算容器的后备存储大小时传递非常大的大小，这会导致整数溢出，以及后续的越界内存写入问题。对容器的后续访问也可能会访问越界内存。

    对于 Debian 11 bullseye，已在 0~20200923.3-2+deb11u1 版本中修复此问题。

    我们建议您升级 abseil 程序包。

    如需了解 abseil 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/abseil

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5896 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5896-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 4 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：trafficserver CVE ID：CVE-2024-38311 CVE-2024-38479 CVE-2024-50305 CVE-2024-50306 CVE-2024-56195 CVE-2024-56202

    在反向和正向代理服务器 Apache Traffic Server 中发现多个漏洞，这些漏洞会造成拒绝服务、HTTP 请求走私攻击、内存投毒或不完整的特权降低。

    对于稳定发行版本 (bookworm)，已在 9.2.5+ds-0+deb12u2 版本中修复这些问题。

    建议您升级 trafficserver 程序包。

    如需了解 trafficserver 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/trafficserver

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4115 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4115-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 4 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：ruby-saml 版本：1.11.0-1+deb11u2 CVE ID：CVE-2025-25291 CVE-2025-25292 CVE-2025-25293 Debian 错误：1100441

    在用于实现 SAML 授权客户端的 ruby-saml 库中检测到多个漏洞。

    CVE-2025-25291 和 CVE-2025-25292

       ruby-saml 容易受到身份验证绕过漏洞影响。

    CVE-2025-25293

       ruby-saml 容易受到压缩 SAML 响应造成的 Zlib deflate 解压缩炸弹和远程拒绝服务 (DoS) 漏洞影响。

    对于 Debian 11 bullseye，已在 1.11.0-1+deb11u2 版本中修复这些问题。

    我们建议您升级 ruby-saml 程序包。

    如需了解 ruby-saml 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby-saml

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
235044	Debian dla-4150u-boot - 安全更新	critical
235043	Debian dla-4149nagvis - 安全更新	high
235042	Debian dla-4148gir1.2-vips-8.0 - 安全更新	high
235041	Debian dsa-5911request-tracker4 - 安全更新	medium
235040	Debian dsa-5910firefox-esr - 安全更新	critical
235039	Debian dla-4144qemu - 安全更新	high
235038	Debian dsa-5909request-tracker5 - 安全更新	medium
235037	Debian dla-4147fig2dev - 安全更新	high
235030	Debian dla-4145：expat - 安全更新	medium
235029	Debian dla-4146: libxml2 - 安全更新	high
235001	Debian dla-4143：glibc-doc - 安全更新	high
234954	Debian dla-4142libraw-bin - 安全更新	low
234915	Debian dsa-5908fonts-opensymbol - 安全更新	low
234885	Debian dla-4140：gir1.2-soup-2.4 - 安全更新	critical
234884	Debian dsa-5907：affs-modules-6.1.0-33-4kc-malta-di - 安全更新	high
234866	Debian dla-4139imagemagick - 安全更新	low
234865	Debian dla-4138：distro-info-data - 安全更新	high
234828	Debian dla-4137libbpf-dev - 安全更新	high
234799	Debian dla-4136openrazer-daemon - 安全更新	critical
234783	Debian dla-4135haproxy - 安全更新	medium
234692	Debian dla-4130：login - 安全更新	medium
234691	Debian dla-4131zabbix-agent - 安全更新	high
234690	Debian dsa-5906erlang - 安全更新	critical
234689	Debian dsa-5905graphicsmagick - 安全更新	medium
234688	Debian dla-4133：wget - 安全更新	critical
234687	Debian dla-4134fig2dev - 安全更新	medium
234684	Debian dla-4132：erlang - 安全更新	critical
234576	Debian dsa-5903 : chromium - 安全更新	high
234575	Debian dsa-5904：libapache2-mod-auth-openidc - 安全更新	high
234574	Debian dla-4129：libapache2-mod-auth-openidc - 安全更新	high
234321	Debian dla-4128：libglib2.0-0 - 安全更新	low
234318	Debian dla-4127：libapache2-mod-svn - 安全更新	low
234309	Debian dsa-5900：affs-modules-6.1.0-28-4kc-malta-di - 安全更新	high
234255	Debian dla-4123：eapoltest - 安全更新	critical
234245	Debian dsa-5901：mediawiki - 安全更新	low
234244	Debian dla-4124：fonts-glyphicons-halflings - 安全更新	medium
234243	Debian dla-4126python-jinja2 - 安全更新	medium
234241	Debian dsa-5902：libperl-dev - 安全更新	critical
234140	Debian dsa-5899：gir1.2-javascriptcoregtk-4.0 - 安全更新	critical
234108	Debian dsa-5898：chromium - 安全更新	high
234070	Debian dla-4122：libbssolv-perl - 安全更新	high
234026	Debian dla-4121：phpmyadmin - 安全更新	medium
234025	Debian dla-4119：lemonldap-ng - 安全更新	medium
234024	Debian dsa-5897：lemonldap-ng - 安全更新	medium
233998	Debian dla-4120：libnet-easytcp-perl - 安全更新	medium
233980	Debian dla-4118：ghostscript - 安全更新	critical
233951	Debian dla-4117：atop - 安全更新	low
233938	Debian dla-4116：libabsl-dev - 安全更新	medium
233897	Debian dsa-5896：trafficserver - 安全更新	critical
233876	Debian dla-4115：ruby-saml - 安全更新	critical

检测

Nessus 的 Debian Local Security Checks 系列

critical

high

high

medium

critical

high

medium

high

medium

high

high

low

low

critical

high

low

high

high

critical

medium

medium

high

critical

medium

critical

medium

critical

high

high

high

low

low

high

critical

low

medium

medium

critical

critical

high

high

medium

medium

medium

medium

critical

low

medium

critical

critical