在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、信息泄露、特权提升或欺骗。

对于 Debian 9 Stretch，已在版本 78.10.0esr-1~deb9u1 中修复这些问题。

建议您升级 firefox-esr 程序包。

如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/firefox-esr

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 GStreamer 媒体框架的插件中发现了多个漏洞，如果打开格式错误的媒体文件，导致拒绝服务或任意代码执行。

在模块化的 Java/J2EE 应用程序框架 libspring-java 中发现多个漏洞。攻击者可能在特定配置中执行代码、执行 XST 攻击、发出未经授权的跨域请求或造成 DoS（拒绝服务）。

CVE-2018-1270

Spring Framework 允许应用程序通过 spring-messaging 模块，使用简单、内存内 STOMP 代理在 WebSocket 端点上暴露 STOMP。恶意用户（或攻击者）可向代理发送可导致远程代码执行攻击的消息。

CVE-2018-11039

Spring Framework 允许 Web 应用程序使用 Spring MVC 中的 HiddenHttpMethodFilter 将 HTTP 请求方法更改为任何 HTTP 方法（包括 TRACE）。如果应用程序具有预先存在的 XSS 漏洞，恶意用户（或攻击者）可使用此过滤器升级为 XST（跨站跟踪）攻击。

CVE-2018-11040

Spring Framework 允许 Web 应用程序通过 JSONP（带 Padding 的 JSON），通过针对 REST 控制器的 AbstractJsonpResponseBodyAdvice 和针对浏览器请求的 MappingJackson2JsonView 启用跨域请求。默认情况下，Spring Framework 和 Spring Boot 中均未启用两者，但当在应用程序中配置 MappingJackson2JsonView 时，便可通过“jsonp”和“callback”JSONP 参数自动准备好使用 JSONP 支持，从而启用跨域请求。

CVE-2018-15756

当通过 ResourceHttpRequestHandler 服务静态资源，或在注释的控制器返回 org.springframework.core.io.Resource 时启动 5.0，Spring Framework 将为范围请求提供支持。恶意用户（或攻击者）可以添加带有大量范围、带有重叠宽范围或两者兼具的范围标头，发起拒绝服务攻击。

对于 Debian 9 Stretch，已在版本 4.3.5-1+deb9u1 中修复这些问题。

建议您升级 libspring-java 程序包。

如需了解 libspring-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libspring-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 PJ Project 的一组库 pjproject 中发现一个问题。由于未正确处理针对 INVITE 的连续两个构建的答案，攻击者可导致服务器崩溃，从而造成拒绝服务。

对于 Debian 9 Stretch，已在版本 2.5.5~dfsg-6+deb9u2 中修复此问题。

我们建议您升级 pjproject 程序包。

如需了解 pjproject 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/pjproject

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 wpa_supplicant 和 hostapd 中发现多个漏洞。

  - CVE-2020-12695 据发现，hostapd 在某些情况下未正确处理 UPnP 订阅消息，这允许攻击者造成拒绝服务。

  - CVE-2021-0326 据发现，wpa_supplicant 未正确处理来自活动群组所有者的 P2P (Wi-Fi Direct) 群组信息。运行 P2P 的设备的辐射范围内的攻击者可利用此缺陷造成拒绝服务，或执行任意代码。

  - CVE-2021-27803 据发现，wpa_supplicant 未正确处理 P2P (Wi-Fi Direct) 配置发现请求。
    运行 P2P 的设备的辐射范围内的攻击者可利用此缺陷造成拒绝服务，或执行任意代码。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。
此外，已在 OpenPGP 支持中解决了多个安全问题。

对于 Debian 9 Stretch，已在版本 1:78.10.0-1~deb9u1 中修复这些问题。

我们建议您升级 thunderbird 程序包。

如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/thunderbird

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。
此外，已在 OpenPGP 支持中解决了多个安全问题。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些问题允许远程攻击者执行 XML 外部实体 (XXE) 攻击和访问私人内容。

在 Mozilla Firefox Web 浏览器中发现多个安全问题，这些问题可能会造成任意代码执行、信息泄露、特权提升或欺骗。

CVE-2021-29447

Wordpress 是一款开源 CMS。能够上传文件的用户（如作者）可利用媒体库中的 XML 解析问题，进而造成 XXE 攻击。这要求 WordPress 安装必须使用 PHP8。若 XXE 攻击成功，则可以获得内部文件的访问权限。

CVE-2021-29450

Wordpress 是一款开源 CMS。WordPress 编辑器中的一个区块可以通过暴露受密码保护的帖子和页面的方式遭到利用。这至少需要贡献者特权。

针对 Debian 9 stretch，这些问题已在 4.7.20+dfsg-1+deb9u1 版本中修复。

我们建议您升级 wordpress 程序包。

如需了解 wordpress 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/wordpress

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在客户端网络监控解决方案 Zabbix 中发现多个漏洞。攻击者可能会枚举有效用户，并通过 zabbix Web 前端重定向至外部链接。

CVE-2019-15132

Zabbix 支持用户枚举。可以通过登录请求，根据服务器响应的可变性（例如，“登录名或密码不正确”和“无系统访问权限”消息，或仅阻止数秒）枚举应用程序用户名。这会影响 api_jsonrpc.php 和 index.php。

CVE-2020-15803

Zabbix 在 URL 小组件中允许存储型 XSS。此修复程序在之前上传 1:3.0.31+dfsg-0+deb9u1 中被错误丢弃。

此更新还包括多个其他缺陷修复和改进。
请参阅上游变更日志文件以获取更多信息。

对于 Debian 9 Stretch，已在版本  1:3.0.32+dfsg-0+deb9u1 中修复这些问题。

建议您升级 zabbix 程序包。

如需了解 zabbix 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/zabbix

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据发现，PHP 中用于处理 tar 文件的 PEAR Archive_Tar 程序包容易出现目录遍历缺陷，这是未充分检查符号链接所致。

Jan-Niklas Sohn 发现，如果 X 服务器以特权方式运行，则 X.org X 服务器的 XInput 扩展中缺少输入审查可能会导致特权提升。

在 libebml（用于以 EBML 格式读取和写入文件的库，是 XML 的二进制挂件）中检测到一个堆溢出问题。这些问题出现在各种数据类型类的多个 ReadData 函数中。
此更新还修复了 EbmlString: : ReadData 和 EbmlUnicodeString: : ReadData（在 CVE-2021-3405 中提及）中的问题。

对于 Debian 9 Stretch，已在版本 1.3.4-1+deb9u2 中修复此问题。

我们建议您升级 libebml 程序包。

如需了解 libebml 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libebml

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

据报告，当“svg”或“math”位于允许的标签中，“p”或“br”位于允许的标签中，“style”、“title”、“noscript”、“textarea”、“noframes”、“iframe”或“xmp”在允许的标签中，并且设置了“strip_comments=False”时，基于白名单的 HTML 审查库 python-bleach 容易受到 blink.clean 中的突变 XSS 漏洞的影响。

在 python2.7 中发现两个安全问题：

CVE-2019-16935

Python 2.7 中的文档 XML-RPC 服务器可通过 server_title 字段导致 XSS。在 Python 2.x 的 Lib/DocXMLRPCServer.py 中，以及在 Python 3.x 的 Lib/xmlrpc/server.py 中会发生这个情况。如果使用不受信任输入调用 set_server_title，任意 JavaScript 可被交付给访问此服务器的 http URL 的客户端。

CVE-2021-23336

Python2.7 容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。

**注意，API 变更！** 如果软件使用“urllib.parse.parse_qs”或“urllib.parse.parse_qsl”、“cgi.parse”或“cgi.parse_multipart”，请确保该软件可以正常工作。

较早的 Python 版本允许同时使用“;”和“&”作为“urllib.parse.parse_qs”和“urllib.parse.parse_qsl”中的查询参数分隔符。出于安全考虑，以及为了符合更新的 W3C 建议，这已被更改为仅允许使用单个分隔符密钥，其中“&”是默认密钥。此变更也会影响“cgi.parse”和“cgi.parse_multipart”，因为它们在内部使用受影响的函数。有关更多详细信息，请参阅各自文档。

对于 Debian 9 Stretch，已在版本 2.7.13-2+deb9u5 中修复这些问题。

我们建议您升级 python2.7 程序包。

如需了解 python2.7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python2.7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Jan-Niklas Sohn 发现，X.Org 显示服务器中存在输入验证失败。

对 XInput 扩展的 ChangeFeedbackControl 请求长度检查不充分可导致 X 服务器中出现越界内存访问问题。这些问题可导致获得授权的客户端提升特权，尤其是在 X 服务器以特权用户身份运行的系统上。

对于 Debian 9“Stretch”，已在版本 2:1.19.2-1+deb9u 中修复此问题。

建议您升级 xorg-server 程序包。

如需了解 xorg-server 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/xorg-server

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Clam AntiVirus (ClamAV) 软件版本 0.103.1 和所有之前版本中的电子邮件解析模块的漏洞会使未经身份验证的远程攻击者在受影响的设备上造成拒绝服务情况。此漏洞是未正确初始化变量所致，可能导致空指针读取。攻击者可通过将构建的电子邮件发送到受影响的设备来利用此漏洞。攻击者可利用此漏洞造成 ClamAV 扫描进程崩溃，进而导致拒绝服务的情况。

对于 Debian 9 Stretch，已在版本 0.102.4+dfsg-0+deb9u2 中修复此问题。

建议您升级 clamav 程序包。

如需了解 clamav 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/clamav

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Tomcat servlet 和 JSP 引擎中发现两个漏洞，这些漏洞会导致信息泄露或拒绝服务。

Courier Authentication Library 0.71.1-2 之前的 Debian courier-authlib 程序包以弱权限创建 /run/courier/authdaemon 目录，这允许攻击者读取用户信息。
在某些配置中，这可能包括明文密码。一般而言，它包括用户存在性、uid 和 gid、主目录和/或 Maildir 目录、配额，以及某种类型的密码信息（例如哈希）。

对于 Debian 9 Stretch，已在版本 0.66.4-9+deb9u1 中修复此问题。

我们建议您升级 courier-authlib 程序包。

如需了解 courier-authlib 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/courier-authlib

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Stan Hu 发现，纯 Ruby Markdown 解析器和转换器 kramdown 对 Rouge 语法突出显示格式化程序执行的命名空间验证不足。

libpano13 2.9.20~rc2+dfsg-3 及更早版本的 panoFileOutputNamesCreate() 中的格式字符串漏洞可导致读取和写入任意内存值。

针对 Debian 9 Stretch，此问题已在 2.9.19+dfsg-2+deb9u1 版本中解决。

我们建议您升级 libpano13 程序包。

如需了解 libpano13 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libpano13

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在 Xen 管理程序中发现多个漏洞，可导致拒绝服务、特权提升或内存泄露。

已在快速处理器仿真器 QEMU 中发现多个安全漏洞。

CVE-2021-20257

net: e1000：处理传输描述符时发生无限循环

CVE-2021-20255

在 QEMU 的 eepro100 i8255x 设备仿真器中发现通过无限递归漏洞造成了堆栈溢出漏洞。此问题在处理控制器命令期间出现，这是 DMA 重新进入问题所致。客户机用户或进程可利用此问题消耗主机上的 CPU 周期或造成 QEMU 进程崩溃，从而导致拒绝服务。

CVE-2021-20203

在 QEMU 的 vmxnet3 NIC 仿真器中发现一个整数溢出问题。如果来宾提供无效的 rx/tx 队列大小值或其他 NIC 参数值，则可能会发生此问题。有权限的来宾用户可能利用此缺陷造成主机上的 QEMU 进程崩溃，进而导致 DoS 情形。

CVE-2021-3416

在 QEMU 5.2.0 及其之前版本的各种 NIC 仿真器中发现通过无限循环导致的潜在堆栈溢出问题。
在 NIC 的环回模式（会绕过可重入的 DMA 检查）中会发生此问题。客户机用户/进程可能会利用此缺陷消耗 CPU 周期或造成主机上的 QEMU 进程崩溃，进而导致 DoS 情形。

CVE-2021-3416

发现 CVE-2020-17380/CVE-2020-25085 的修补程序无效，因此，QEMU 容易受到之前在 SDHCI 控制器仿真代码中发现的越界读取/写入访问问题的影响。恶意特权客户机可利用此缺陷，造成主机上的 QEMU 进程崩溃，进而导致拒绝服务或潜在的代码执行。

对于 Debian 9 Stretch，已在版本 1:2.8+dfsg-6+deb9u14 中修复这些问题。

我们建议您升级 qemu 程序包。

如需了解 qemu 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/qemu

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在用于协作的网站引擎 MediaWiki 中发现多个安全问题，这些问题可导致页面/拦截保护不完整、拒绝服务或跨站脚本。

在基于 Python 的 Web 开发框架 Django 中发现一个潜在目录遍历问题。

恶意构建的文件名可能会利用此漏洞。但是，Django 本身内置的上传处理程序不受影响。

对于 Debian 9“Stretch”，已在版本 1:1.10.7-2+deb9u12 中修复此问题。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 3D 制造格式的 C++ 实现 Lib3MF 中发现一个释放后使用漏洞，此漏洞可在打开畸形文件时导致任意代码执行。

在 php-pear 中发现一个漏洞，此漏洞提供来自 PHP 扩展和应用程序存储库的核心程序包。Archive_Tar 中的 Tar.php 允许用户通过目录遍历执行写入操作，这是对符号链接的检查不充分所致，此问题与 CVE-2020-28948 相关。攻击者可通过构建的 .tar 存档覆盖提取目录之外的文件，以便提升特权。

对于 Debian 9 Stretch，已在版本 1:1.10.1+submodules+notgz-9+deb9u3 中修复此问题。

我们建议您升级 php-pear 程序包。

如需了解 php-pear 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/php-pear

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在 chromium Web 浏览器中发现多个漏洞。

  - CVE-2021-21159 Khalil Zhani 在 tab 实现中发现一个缓冲区溢出问题。

  - CVE-2021-21160 Marcin Noga 在 WebAudio 中发现一个缓冲区溢出问题。

  - CVE-2021-21161 Khalil Zhani 在 tab 实现中发现一个缓冲区溢出问题。

  - CVE-2021-21162 在 WebRTC 实现中发现一个释放后使用问题。

  - CVE-2021-21163 Alison Huffman 发现一个数据验证问题。

  - CVE-2021-21165 Alison Huffman 在 Audio 实现中发现一个错误。

  - CVE-2021-21166 Alison Huffman 在 Audio 实现中发现一个错误。

  - CVE-2021-21167 Leecraso 和 Guang Gong 在 Bookmarks 实现中发现一个释放后使用问题。

  - CVE-2021-21168 Luan Herrera 在 appcache 中发现一个策略执行错误。

  - CVE-2021-21169 Bohan Liu 和 Moon Liang 在 v8 JavaScript 库中发现一个越界访问问题。

  - CVE-2021-21170 David Erceg 发现一个用户界面错误。

  - CVE-2021-21171 Irvan Kurniawan 发现一个用户界面错误。

  - CVE-2021-21172 Maciej Pulikowski 在文件系统 API 中发现一个策略执行错误。

  - CVE-2021-21173 Tom Van Goethem 发现一个基于网络的信息泄露问题。

  - CVE-2021-21174 Ashish Guatam Kumbled 在 Referrer 策略中发现一个实现错误。

  - CVE-2021-21175 Jun Kokatsu 在网站隔离功能中发现一个实现错误。

  - CVE-2021-21176 Luan Herrera 在全屏模式中发现一个实现错误。

  - CVE-2021-21177 Abdulrahman Alqabandi 在自动填充功能中发现一个策略执行错误。

  - CVE-2021-21178 Japong 在 Compositor 实现中发现一个错误。

  - CVE-2021-21179 在网络实现中发现一个释放后使用问题。

  - CVE-2021-21180 Abdulrahman Alqabandi 在标签搜索功能中发现一个释放后使用问题。

  - CVE-2021-21181 Xu Lin、Panagiotis Ilias 和 Jason Polakis 在自动填充功能中发现一个边信道信息泄漏问题。

  - CVE-2021-21182 Luan Herrera 在 Site Navigation 实现中发现一个策略执行错误。

  - CVE-2021-21183 Takashi Yoneuchi 在 Performance API 中发现一个实现错误。

  - CVE-2021-21184 James Hartig 在 Performance API 中发现一个实现错误。

  - CVE-2021-21185 David Erceg 在 Extensions 中发现一个策略执行错误。

  - CVE-2021-21186 dhirajkumarnifty 在 QR 扫描实现中发现一个策略执行错误。

  - CVE-2021-21187 Kirtikumar Anandrao Ramchandani 在 URL 格式化中发现一个数据验证错误。

  - CVE-2021-21188 Woojin Oh 在 Blink/Webkit 中发现一个释放后使用问题。

  - CVE-2021-21189 Khalil Zhani 在 Payments 实现中发现一个策略执行错误。

  - CVE-2021-21190 Zhou Aiting 在 pdfium 库中发现使用未初始化的内存。

  - CVE-2021-21191 raven 在 WebRTC 实现中发现一个释放后重用问题。

  - CVE-2021-21192 Abdulrahman Alqabandi 在 tab 实现中发现一个缓冲区溢出问题。

  - CVE-2021-21193 在 Blink/Webkit 中发现一个释放后使用问题。

  - CVE-2021-21194 Leecraso 和 Guang Gong 在屏幕捕捉功能中发现一个释放后使用问题。

  - CVE-2021-21195 Liu 和 Liang 在 v8 JavaScript 库中发现一个释放后使用问题。

  - CVE-2021-21196 Khalil Zhani 在 tab 实现中发现一个缓冲区溢出问题。

  - CVE-2021-21197 Abdulrahman Alqabandi 在 tab 实现中发现一个缓冲区溢出问题。

  - CVE-2021-21198 Mark Brand 在 Inter-Process Communication 实现中发现一个越界读取问题。

  - CVE-2021-21199 Weippeng Jiang 在 Aura 窗口和事件管理器中发现一个释放后使用问题。

据发现，基于白名单的 HTML 审查库 python-bleach 中存在一个跨站脚本 (XSS) 漏洞。

对于 Debian 9“Stretch”，已在版本 2.0-1+deb9u1 中修复此问题。

我们建议您升级 python-bleach 程序包。

如需了解 python-bleach 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-bleach

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Java NIO 客户端/服务器框架 Netty 中发现多个安全问题，这些问题可导致 HTTP 请求走私、拒绝服务或信息泄露。

评估安全目录时，作为 DLA 2618-1 发布的编译 PHP 模板引擎 smarty3 的安全更新在 smarty_security 类中引入了回归。现在可使用更新后的 smarty3 程序包来修复此问题。 

对于 Debian 9 Stretch，已在版本 3.1.31+20161214.1.c7d42e4+selfpack1-2+deb9u4 中修复此问题。

我们建议您升级 smarty3 程序包。

如需了解 smarty3 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/smarty3

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在 python3.5 中发现三个安全问题：

CVE-2021-3177

Python 3.x 可能受到 _ctypes/callproc.c 内的 PyCArg_repr 中缓冲区溢出的影响，这可导致在某些将浮点数接受为不受信任输入的 Python 应用程序中远程执行代码。这是未安全使用 sprintf 所致。

CVE-2021-3426

运行 `pydoc -p` 允许其他本地用户提取任意文件。“/getfile?key=path”URL 允许用户读取文件系统上的任意文件。

此修复程序删除了 pydoc 模块的“getfile”功能，该功能可被滥用于读取磁盘上的任意文件（目录遍历漏洞）。

CVE-2021-23336

Python3.5 容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。

**注意，API 变更！** 如果软件使用“urllib.parse.parse_qs”或“urllib.parse.parse_qsl”、“cgi.parse”或“cgi.parse_multipart”，请确保该软件可以正常工作。

较早的 Python 版本允许同时使用“;”和“&”作为“urllib.parse.parse_qs”和“urllib.parse.parse_qsl”中的查询参数分隔符。出于安全考虑，以及为了符合更新的 W3C 建议，这已被更改为仅允许使用单个分隔符密钥，其中“&”是默认密钥。此变更也会影响“cgi.parse”和“cgi.parse_multipart”，因为它们在内部使用受影响的函数。有关更多详细信息，请参阅各自文档。

对于 Debian 9 Stretch，已在版本 3.5.3-1+deb9u4 中修复这些问题。

我们建议您升级 python3.5 程序包。

如需了解更多 python3.5 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python3.5

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在 ldb（一种构建于 TDB 之上的类似 LDAP 的嵌入式数据库）中发现多个漏洞。

  - CVE-2020-10730 Andrew Bartlet 在使用 LDAP paged_results 功能处理“ASQ”和“VLV”LDAP 控件及组合时，发现一个空指针取消引用和释放后使用缺陷。

  - CVE-2020-27840 Douglas Bagnall 通过构建的 DN 字符串发现一个堆损坏缺陷。

  - CVE-2021-20277 Douglas Bagnall 在处理包含多个连续前导空格的 LDAP 属性时发现一个越界读取漏洞。

XStream 中存在一个漏洞，此漏洞可能允许远程攻击者仅通过操纵处理过的输入流便可从远程主机加载并执行任意代码。

java.io.InputStream、java.nio.channels.Channel、javax.activation.DataSource 和 javax.sql.rowsel.BaseRowSet 现已被列入黑名单，各个类型 com.sun.corba.se.impl.activation.ServerTableEntry、com.sun.tools.javac.processing.JavacProcessingEnvironment$NameProcessI terator、sun.awt.datatransfer.DataTransferer$IndexOrderComparator 和 sun.swing.SwingLazyValue 也不例外。此外，JAXB 的内部类型 Accessor$GetterSetterReflection、JAX-WS 的内部类型 MethodGetter$PrivilegedGetter 和 ServiceFinder$ServiceNameIterator，以及私有 BCEL 副本中使用的所有内部类和内部 ClassLoader，现在均位于默认黑名单中，并且包含其中一种类型的 XML 反序列化将失败。如果需要，必须通过显式配置启用这些类型。

对于 Debian 9 Stretch，已在版本 1.4.11.1-1+deb9u2 中修复这些问题。

建议您升级 libxstream-java 程序包。

如需了解 libxstream-java 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxstream-java

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

DEVCORE 的 Cyku Hong 发现，PHP-nette（一种 PHP MVC 框架）容易遭受代码注入攻击，方法是将特殊格式的参数传递给可能导致远程代码执行的 URL。

对于 Debian 9 Stretch，已在版本 2.4-20160731-1+deb9u1 中修复此问题。

我们建议您升级 php-nette 程序包。

如需了解 php-nette 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/php-nette

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在开源 JPEG 2000 编解码器 openjpeg2 中发现多个漏洞，这些漏洞可在打开畸形图像时造成拒绝服务或任意代码执行。

Busybox 的 gunzip 解压缩器（用于小型嵌入式系统的小工具）会错误处理 huft_build 结果指针的错误位，攻击者可通过格式错误的 gzip 数据造成无效释放或分段错误。 

对于 Debian 9 Stretch，已在版本 1:1.22.0-19+deb9u2 中修复此问题。

建议您升级 busybox 程序包。

如需了解 busybox 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/busybox

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Damian Lukowski 在基于 Perl 的垃圾邮件过滤器 spamassassin（使用文本分析）中发现一个缺陷。恶意规则配置文件（可能从更新服务器下载）可在多种情形下执行任意命令。

对于 Debian 9 Stretch，已在版本 3.4.2-1~deb9u4 中修复此问题。

建议您升级 spamassassin 程序包。

如需了解 spamassassin 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/spamassassin

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

据发现，Underscore JavaScript 库的 template() 函数中缺少输入审查可导致任意代码执行。

在 URL 传输库 cURL 中发现多个漏洞：

  - CVE-2020-8169 Marek Szlagor 报告称，可诱骗 libcurl 库在解决前向主机名预加部分密码，从而可能通过网络向 DNS 服务器泄漏部分密码。

  - CVE-2020-8177 sn 报告称，在同一命令行中使用 -J (--remote-header-name) 和 -i (--include) 选项时，curl 可能会被恶意服务器诱骗覆盖本地文件。

  - CVE-2020-8231 Marc Aldorasi 报告称，当使用 libcurl 的多 API 的应用程序设置选项 CURLOPT_CONNECT_ONLY 时，libcurl 可能使用错误的连接，从而导致信息泄漏。

  - CVE-2020-8284 Varnavas Papaioannou 报告称，恶意服务器可使用 PASV 响应诱骗 curl 重新连接任意 IP 地址和端口，这可能会让 curl 提取有关非公开且不应披露的服务的信息。

  - CVE-2020-8285 xnynx 报告称，使用 FTP 通配符匹配功能 (CURLOPT_CHUNK_BGN_FUNCTION) 时，libcurl 可能耗尽堆栈空间。

  - CVE-2020-8286 据报告，libcurl 未验证 OCSP 响应是否真正匹配其预期证书。

  - CVE-2021-22876 Viktor Szakats 报告称，libcurl 在自动填充出站 HTTP 请求中的 Referer HTTP 请求标头字段时未从 URL 剥离用户凭据。

  - CVE-2021-22890 Mingtao Yang 报告称，使用 HTTPS 代理和 TLS 1.3 时，libcurl 会混淆从 HTTPS 代理收到的会话票证，如同这些票证来自于远程服务器。这允许 HTTPS 代理诱骗 libcurl 针对主机使用错误的会话票证，从而规避服务器 TLS 证书检查。

node-underscore 和 libjs-underscore 容易通过模板函数发生任意代码执行，特别是当变量属性作为参数传递时，因为它未经审查。

对于 Debian 9 Stretch，已在版本 1.8.3~dfsg-1+deb9u1 中修复此问题。

我们建议您升级 underscore 程序包。

如需了解 underscore 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/underscore

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

在 ldb（一种类似于 LDAP 的嵌入式数据库）中发现两个问题，例如与 samba 一起使用。

这两个问题均与越界访问（越界读取或堆损坏）有关，两者最有可能导致应用程序崩溃。

对于 Debian 9 Stretch，已在版本 2:1.1.27-1+deb9u2 中修复这些问题。

建议您升级 ldb 程序包。

如需了解 ldb 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/ldb

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ClusterFuzz 在图像处理库 leptonlib 中发现多个问题。

所有问题都与多个函数中基于堆的缓冲区过度读取或使用构建数据造成的拒绝服务（应用程序崩溃）有关。

对于 Debian 9 Stretch，已在版本 1.74.1-1+deb9u1 中修复这些问题。

建议您升级 leptonlib 程序包。

如需了解 leptonlib 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/leptonlib

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Linux 内核中发现多个漏洞，可能导致任意代码执行、特权提升、拒绝服务或信息泄露。

CVE-2020-27170、CVE-2020-27171

Piotr Krysiuk 在 BPF 子系统通过推测执行进行的信息泄漏检查中发现了多个缺陷。本地用户可利用这些缺陷获取内核内存中的敏感信息。

CVE-2021-3348

venustech 的 ADlab 在 nbd 区块驱动程序中发现一个争用条件，此条件可导致释放后使用。有权访问 nbd 区块设备的本地用户可利用此问题导致拒绝服务（崩溃或内存损坏）或可能导致特权提升。

CVE-2021-3428

Wolfgang Frisch 报告 ext4 文件系统驱动程序中可能存在整数溢出。获准挂载任意文件系统图像的用户可利用此漏洞造成拒绝服务（崩溃）。

CVE-2021-26930 (XSA-365)

Olivier Benjamin、Norbert Manthey、Martin Mazein 和 Jan H.
Schönherr 发现 Xen 区块后端驱动程序 (xen-blkback) 未正确处理授权映射错误。恶意来宾机可利用此错误在运行后端（通常为 dom0）的域内造成拒绝服务（崩溃），或可能造成信息泄漏或特权提升。

CVE-2021-26931 (XSA-362)、CVE-2021-26932 (XSA-361)、CVE-2021-28038 (XSA-367)

Jan Beulich 发现 Xen 支持代码和各种 Xen 后端驱动程序未正确处理授权映射错误。恶意来宾机可利用这些错误在运行后端（通常为 dom0）的域内造成拒绝服务（崩溃）。

CVE-2021-27363

Adam Nichols 报告称，iSCSI 发起程序子系统未正确限制对 sysfs 中传输句柄属性的访问权限。在充当 iSCSI 发起程序的系统上，这是向本地用户泄露的信息，使其更容易被利用 CVE-2021-27364。

CVE-2021-27364

Adam Nichols 报告称，iSCSI 发起程序子系统未正确限制对其 netlink 管理界面的访问权限。在充当 iSCSI 发起程序的系统上，本地用户可利用这些问题造成拒绝服务（存储断开）或可能导致特权提升。

CVE-2021-27365

Adam Nichols 报告称，iSCSI 发起程序子系统未正确限制通过其 netlink 管理接口发送的参数或“passthrough PDU”的长度。在充当 iSCSI 发起程序的系统上，本地用户可利用泄露内核内存的内容，从而造成拒绝服务（内核内存损坏或崩溃）且可能导致特权提升。

CVE-2021-28660

据发现，rtl8188eu WiFi 驱动程序未正确限制复制到扫描结果中的 SSID 长度。WiFi 覆盖范围中的攻击者可能会利用此漏洞造成拒绝服务（崩溃或内存损坏），或可能在易受影响的系统上执行代码。

对于 Debian 9 Stretch，已在版本 4.19.181-1~deb9u1 中修复这些问题。此更新还额外修复了 Debian 错误 #983595，并且还包含了来自于稳定更新 4.19.172-4.19.181（含）的大量错误修复。

我们建议您升级 linux-4.19 程序包。

如需了解 linux-4.19 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/linux-4.19

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 webkit2gtk Web 引擎中发现以下漏洞：

  - CVE-2020-27918 Liu Long 发现，处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2020-29623 Simon Hunt 发现，在某些情况下，用户可能无法完全删除其浏览历史记录。

  - CVE-2021-1765 Eliya Stein 发现，恶意构建的 Web 内容可能会违反 iframe 沙盒策略。

  - CVE-2021-1789 @S0rryMybad 发现，处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2021-1799 Gregory Vishnepolsky、Ben Seri 和 Samy Kamkar 发现，恶意网站可能会访问任意服务器上的受限制端口。

  - CVE-2021-1801 Eliya Stein 发现，处理恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2021-1870 某匿名研究人员发现处理恶意构建的 Web 内容可能会导致任意代码执行。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。

Kevin Chung 发现，libxml2 和 libxslt 库的 Python 绑定 lxml 未正确审查其输入。这将允许恶意用户发起跨站脚本攻击。

Ben Caller 发现，以 Python 3 编写的语法突出显示程序包 Pygments 使用了可导致拒绝服务的正则表达式。

ID	名称	严重性
149008	Debian DLA-2633-1：firefox-esr 安全更新	high
149007	Debian DSA-4901-1：gst-libav1.0 - 安全更新	high
149005	Debian DSA-4904-1：gst-plugins-ugly1.0 - 安全更新	high
149004	Debian DLA-2635-1：libspring-java 安全更新	critical
149003	Debian DLA-2636-1：pjproject 安全更新	medium
148967	Debian DSA-4898-1：wpa - 安全更新	high
148965	Debian DLA-2632-1：thunderbird 安全更新	high
148964	Debian DSA-4897-1：thunderbird - 安全更新	high
148963	Debian DSA-4896-1：wordpress - 安全更新	medium
148932	Debian DSA-4895-1：firefox-esr - 安全更新	high
148927	Debian DLA-2630-1：wordpress 安全更新	medium
148926	Debian DLA-2631-1：zabbix 安全更新	medium
148870	Debian DSA-4894-1：php-pear - 安全更新	high
148841	Debian DSA-4893-1：xorg-server - 安全更新	high
148762	Debian DLA-2629-1：libebml 安全更新	medium
148756	Debian DSA-4892-1：python-bleach - 安全更新	medium
148749	Debian DLA-2628-1：python2.7 安全更新	medium
148701	Debian DLA-2627-1：xorg-server 安全更新	high
148623	Debian DLA-2626-1：clamav 安全更新	high
148615	Debian DSA-4891-1：tomcat9 - 安全更新	high
148610	Debian DLA-2625-1：courier-authlib 安全更新	high
148536	Debian DSA-4890-1：ruby-kramdown - 安全更新	critical
148508	Debian DLA-2624-1：libpano13 安全更新	critical
148444	Debian DSA-4888-1：xen - 安全更新	high
148442	Debian DLA-2623-1：qemu - 安全更新	medium
148441	Debian DSA-4889-1：mediawiki - 安全更新	medium
148440	Debian DLA-2622-1：python-django 安全更新	medium
148433	Debian DSA-4887-1：lib3mf - 安全更新	high
148416	Debian DLA-2621-1：php-pear 安全更新	high
148364	Debian DSA-4886-1：chromium - 安全更新	high
148363	Debian DLA-2620-1：python-bleach 安全更新	medium
148326	Debian DSA-4885-1：netty - 安全更新	critical
148323	Debian DLA-2618-3：smarty3 回归更新	high
148322	Debian DLA-2619-1：python3.5 安全更新	critical
148314	Debian DSA-4884-1：ldb - 安全更新	high
148312	Debian DLA-2616-1：libxstream-java 安全更新	critical
148311	Debian DLA-2617-1：php-nette 安全更新	critical
148305	Debian DSA-4882-1：openjpeg2 - 安全更新	high
148302	Debian DLA-2614-1：busybox 安全更新	high
148301	Debian DLA-2615-1：spamassassin 安全更新	critical
148300	Debian DSA-4883-1：underscore - 安全更新	high
148277	Debian DSA-4881-1：curl - 安全更新	high
148275	Debian DLA-2613-1：underscore 安全更新	high
148272	Debian DLA-2611-1：ldb 安全更新	high
148270	Debian DLA-2612-1：leptonlib 安全更新	high
148254	Debian DLA-2610-1：linux-4.19 安全更新	high
148236	Debian DSA-4877-1：webkit2gtk - 安全更新	critical
148235	Debian DSA-4876-1：thunderbird - 安全更新	high
148234	Debian DSA-4880-1：lxml - 安全更新	medium
148225	Debian DSA-4878-1：pygments - 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

high

high

high

critical

medium

high

high

high

medium

high

medium

medium

high

high

medium

medium

medium

high

high

high

high

critical

critical

high

medium

medium

medium

high

high

high

medium

critical

high

critical

high

critical

critical

high

high

critical

high

high

high

high

high

high

critical

high

medium

high