在 OpenJDK Java 运行时中发现多个漏洞，可造成拒绝服务、Kerberos GSSAPI 和 TGS 请求错误实现，或错误的 TLS 握手。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

在 libemail-address-list-perl 中发现在电子邮件地址解析时通过算法复杂性攻击造成的拒绝服务。

对于 Debian 8“Jessie”，已在版本 0.05-1+deb8u1 中修复此问题。

我们建议您升级 libemail-address-list-perl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

用于解析 exif 文件的 libexif 库报告了一个越界写入漏洞，这是整数溢出所致。远程攻击者可利用此缺陷造成拒绝服务，或者可能通过构建的图像文件执行任意代码。

对于 Debian 8“Jessie”，已在版本 0.6.21-2+deb8u1 中修复此问题。

我们建议您升级 libexif 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Snyk 的安全研究人员发现  CVE-2019-9658 的修复不完整。用于帮助编程人员编写符合编码标准的 Java 代码的开发工具 Checkstyle 仍然容易遭受 XML 外部实体 (XXE) 注入。

对于 Debian 8“Jessie”，已在版本 5.9-1+deb8u2 中修复此问题。

我们建议您升级 checkstyle 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Christopher Ertl 发现 ipmitool 中的多个函数忽略了对从远程 LAN 端接收的数据的正确检查，这可能导致缓冲区溢出并可能导致 ipmitool 端的远程代码执行。

对于 Debian 8“Jessie”，已在版本 1.8.14-4+deb8u1 中修复此问题。

我们建议您升级 ipmitool 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Ilja Van Sprundel 在点对点协议后台程序 ppp 中发现一个缓冲区溢出漏洞。当在客户端模式下收到 EAP Request 消息时，攻击者能够通过提供极长名称导致 rhostname 数组溢出。此问题也可通过 Debian 的强化版本标记缓解。

对于 Debian 8“Jessie”，已在版本 2.4.6-3.1+deb8u1 中修复此问题。

我们建议您升级 ppp 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Guillaume Teissier 报告称，libxmlrpc3-java（Java 的 XML-RPC 实现）中的 XMLRPC 客户端确实对在 XMLRPC 错误响应消息的 faultCause 属性中序列化的服务器端异常执行了反序列化。恶意 XMLRPC 服务器可利用此缺陷，使用 Apache XMLRPC 客户端库的应用程序所具有的权限执行任意代码。

请注意，可能发生服务器端异常的客户端需要显式设置 enabledForExceptions 属性。

在用于解析 EXIF 文件的库 libexif 中报告了一个因整数溢出而导致的越界写入漏洞，这可能导致拒绝服务，或如果处理特别构建的图像文件，可能导致执行任意代码。

该程序包允许 ../ 目录遍历来访问私有资源，这是资源匹配未确保路径名采用规范格式所致。

对于 Debian 8“Jessie”，已在版本 0.2.9-1+deb8u1 中修复此问题。

我们建议您升级 ruby-rack-cors 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

storeBackup 3.5 及之前版本中的 storeBackup.pl 依赖 /tmp/storeBackup.lock 路径名，这允许符号链接攻击，可能导致权限提升。

本地用户也可以创建名为 /tmp/storeBackup.lock 的普通文件，以阻止 storeBackup 的使用，直到管理员手动删除该文件为止。

对于 Debian 8“Jessie”，已在版本 3.2.1-1+deb8u1 中修复此问题。

我们建议您升级 storebackup 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Qt 库中发现两个安全问题，可导致从当前工作目录加载插件和库，进而可能造成代码执行。

在快速处理器仿真器 QEMU 的 SLiRP 网络实现中发现两个安全问题，可能会造成任意代码执行或拒绝服务。

在基于 Perl 的垃圾邮件过滤器 spamassassin（使用文本分析）中发现两个漏洞。恶意规则或配置文件（可能从更新服务器下载）可在多种情形下执行任意命令。

Joe Vennix 在 sudo（一个为特定用户提供有限超级用户权限的程序）中发现一个基于堆栈的缓冲区溢出漏洞，该漏洞可在启用“pwfeedback”选项进行配置时触发。非特权用户可利用此缺陷获取完整的 root 权限。

详细信息位于 https://www.sudo.ws/alerts/pwfeedback.html  处的上游公告中。

在 libidn2（国际化域名 (IDN) 的 GNU 库）的 idn2_to_ascii_4i() 函数中发现一个基于堆的缓冲区溢出漏洞，该漏洞可在处理长域名字符串时，造成拒绝服务或执行任意代码。

发现 Prosody Jabber/XMPP 服务器的 LDAP 身份验证模块在检查用户是否具有管理员访问权限时未正确验证 XMPP 地址。

sudo（一个为特定用户提供有限超级用户权限的程序）中存在一个基于堆栈的缓冲区溢出漏洞，该漏洞可在启用 pwfeedback 选项进行配置时触发。非特权用户可利用此缺陷获取完整的 root 权限。

对于 Debian 8“Jessie”，已在版本 1.8.10p3-1+deb8u7 中修复此问题。

我们建议您升级 sudo 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Mozilla Firefox Web 浏览器的 IonMonkey JIT 编译器中发现一个问题，该问题会导致任意代码执行。

对于 Debian 8“Jessie”，已在版本 68.4.1esr-1~deb8u1 中修复此问题。

建议您升级 firefox-esr 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 qtbase-opensource-src 中发现的 Qt5 的插件加载程序代码中，可以（侧）加载“the”本地文件夹中的插件，在系统范围定义的库路径除外。

对于 Debian 8“Jessie”，已在版本 5.3.2+dfsg-4+deb8u4 中修复此问题。

建议您升级 qtbase-opensource-src 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已在 libjackson-json-java 中修复多个漏洞。

CVE-2017-7525

Jackson Deserializer 安全漏洞。

CVE-2017-15095

阻断更多来自多型反序列化的 JDK 类型。

CVE-2019-10172

XML 外部实体漏洞。

对于 Debian 8“Jessie”，已在版本 1.9.2-3+deb8u1 中修复这些问题。

我们建议您升级 libjackson-json-java 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

libslirp 4.1.0 中 tcp_subr.c 的 tcp_emu（用于 QEMU 4.2.0）未能正确管理内存，EMU_IRC 中的 IRC DCC 命令即为一例。
此问题可能造成基于堆的缓冲区溢出或其他越界访问，进而导致 DoS 或可能执行任意代码。

对于 Debian 8“Jessie”，已在版本 1:2.1+dfsg-12+deb8u13 中修复此问题。

我们建议您升级 qemu 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 OpenJPEG 中，openjp2/t1.c 中的 opj_t1_clbl_decode_processor 在 qmfbid==1 的情况下存在基于堆的缓冲区溢出，此问题与 CVE-2020-6851 类似但不同。

对于 Debian 8“Jessie”，已在版本 2.1.0-2+deb8u10 中修复此问题。

我们建议您升级 openjpeg2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在依存关系求解程序库 libsolv 中，repodata.c 中的 repodata_schema2id 可通过其长度短于输入 schema 长度的最后一个 schema，导致基于堆的缓冲区过度读取。

对于 Debian 8“Jessie”，已在版本 0.6.5-1+deb8u1 中修复此问题。

我们建议您升级 libsolv 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

最近在入侵检测和防御工具 Suricata 的 stream-tcp 代码中发现两个漏洞。

CVE-2019-18625

可以通过使用恶意服务器伪造已关闭的 TCP 会话来绕过/逃避任何基于 tcp 的签名。在 TCP SYN 数据包之后，可能通过错误的 TCP Timestamp 选项注入 RST ACK 和 FIN ACK 数据包。客户端可能因错误的 TCP 时间戳选项而忽略 RST ACK 和 FIN ACK 数据包。

CVE-2019-18792

可以通过将 TCP 段与假 FIN 数据包重叠来绕过/逃避任何基于 tcp 的签名。假 FIN 数据包必须在我们要绕过的 PUSH ACK 数据包之前注入。PUSH ACK 数据包（包含数据）会被 Suricata 忽略，因为该数据包会与 FIN 数据包重叠（两个数据包中的序列和 ack 编号相同）。客户端会忽略假 FIN 数据包，因为未设置 ACK 标记。

对于 Debian 8“Jessie”，已在版本 2.0.7-2+deb8u5 中修复这些问题。

我们建议您升级 suricata 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 org.apache.xmlrpc.parser.XmlRpcResponseParser：Apache XML-RPC（也称为 ws-xmlrpc）库的 addResult 方法中发现不受信任的反序列化。恶意 XML-RPC 服务器会以 XML-RPC 客户端为目标，造成其执行任意代码。

预期收到服务器端异常的客户端需要将 enabledForExceptions 属性设置为 true，才能再次处理序列化的异常消息。

对于 Debian 8“Jessie”，已在版本 3.1.3-7+deb8u1 中修复此问题。

我们建议您升级 libxmlrpc3-java 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Qualys 发现，OpenSMTPD SMTP 服务器对电子邮件地址执行的验证不充分，这会导致以 root 身份执行任意命令。此外，此更新可通过触发机会性 TLS 降级来修复拒绝服务。

在 webkit2gtk Web 引擎中发现以下漏洞：

  - CVE-2019-8835 某匿名研究人员发现恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2019-8844 William Bowling 发现恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2019-8846 Cisco Talos 的 Marcin Towalski 发现恶意构建的 Web 内容可能会导致任意代码执行。

在用于从 Web 检索文件的工具 wget 中发现一个问题。可能出现争用条件，因为被访问列表拒绝的文件在 HTTP 连接期间保存在磁盘上。

对于 Debian 8“Jessie”，已在版本 1.16-1+deb8u7 中修复此问题。

建议您升级 wget 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在压缩库 zlib 中发现多个问题。这些问题基本上与不正确的 big-endian CRC 计算、不正确的负整数左移和不正确的指针算法有关。

对于 Debian 8“Jessie”，已在版本 1:1.2.8.dfsg-2+deb8u1 中修复这些问题。

我们建议您升级 zlib 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在图像处理工具集合 graphicsmagick 中发现三个问题。这些问题基本上是不同函数中基于堆的缓冲区过度读取、基于堆的缓冲区溢出和释放后使用。

对于 Debian 8“Jessie”，已在版本 1.3.20-3+deb8u8 中修复这些问题。

建议您升级 graphicsmagick 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现存在大量空指针取消引用，这是未核查来自极简 C 客户端库 hiredis 中 malloc 和 friends 的返回值所致。

对于 Debian 8“Jessie”，已在 hiredis 版本 0.11.0-4+deb8u1 中修复这些问题。

我们建议您升级 hiredis 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在 unzip（.zip 文件的解压存档程序）中发现一个问题。在处理受密码保护的存档时，可能发生基于堆的缓冲区溢出，让攻击者可以执行拒绝服务或可能实现代码执行。

对于 Debian 8“Jessie”，已在 6.0-16+deb8u6 中修复此问题。

建议您升级 unzip 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 libopenjp2.so中，opj_t1_clbl_decode_processor 的 OpenJPEG 存在基于堆的缓冲区溢出。

对于 Debian 8“Jessie”，已在版本 2.1.0-2+deb8u9 中修复此问题。

我们建议您升级 openjpeg2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 otrs2 程序包中发现多个漏洞，这些漏洞可能导致未经授权的访问、远程代码执行和欺骗。

CVE-2020-1765

参数控制不当允许伪造以下屏幕的 from 字段：AgentTicketCompose、AgentTicketForward、AgentTicketBounce。

CVE-2020-1766

由于未正确处理上传的图像，在极不可能发生的罕见情况下可能会强制代理浏览器从特别构建的 SVG 文件（渲染为内联 jpg 文件）执行恶意 JavaScript。

CVE-2020-1767

在未经授权的情况下查看草稿，完全更改文本并以草稿所有者的名称发送。客户将不会知道消息由其他代理发送。

对于 Debian 8“Jessie”，已在版本 3.3.18-1+deb8u13 中修复这些问题。

我们建议您升级 otrs2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Internet 协议带宽测量工具 iperf3 中发现一个问题。对嵌入式库中的 UTF8/16 字符串处理不当会造成拒绝服务（崩溃）或在 JSON 字符串中放置特殊字符以触发基于堆的缓冲区溢出，从而导致任意代码执行。

对于 Debian 8“Jessie”，已在版本 3.0.7-1+deb8u1 中修复此问题。

我们建议您升级 iperf3 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在 Tomcat servlet 和 JSP 引擎中修复两个安全漏洞。

CVE-2019-12418

  当 Apache Tomcat 使用 JMX 远程生命周期侦听器进行配置时，不具备 Tomcat 进程或配置文件之访问权限的本地攻击者能够操纵 RMI 注册表以执行中间人攻击，从而捕获用于访问 JMX 界面的用户名称和密码。攻击者可以随后使用这些凭证访问 JMX 界面，并获得 Tomcat 实例的完全控制权。

CVE-2019-17563

  当使用具有 Apache Tomcat 的 FORM 身份验证时，存在一个窄窗口，攻击者可在此执行会话固定攻击。该窗口被认为太窄，不适于实际进行恶意利用，但是谨慎起见，还是将此问题视为安全漏洞。

对于 Debian 8“Jessie”，已在版本 7.0.56-3+really7.0.99-1 中修复这些问题。

我们建议您升级 tomcat7 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 apt 程序包管理器的 Python 接口中发现两个安全问题；未正确拒绝来自未签名存储库的程序包下载，且哈希验证依赖 MD5。

在 slirp（使用拨号 shell 帐户的 SLIP/PPP 仿真器）中发现一个问题。由于对 slirp 中的内存处理不当，基于堆的缓冲区溢出或其他越界访问漏洞可能出现，进而导致 DoS 或可能执行任意代码。

对于 Debian 8“Jessie”，已在版本 1:1.0.17-7+deb8u1 中修复此问题。

我们建议您升级 slirp 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在证明真实 HTML soup 合理的 Java HTML 解析器 jsoup 中发现一个问题。由于 EOF 中对“>”缺失的处理不当，可能会出现跨站脚本 (XSS) 漏洞。

对于 Debian 8“Jessie”，已在版本 1.8.1-1+deb8u1 中修复此问题。

我们建议您升级 jsoup 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 libapt-pkg 的 python 接口 python-apt 中发现多个问题。

CVE-2019-15795

发现 python-apt 仍在使用 MD5 哈希来验证某些下载的程序包。如果远程攻击者能够执行中间人攻击，则此缺陷可能被用于安装被修改的程序包。

CVE-2019-15796

发现 python-apt 会从不受信任的存储库安装程序包，这与预期相反。

对于 Debian 8“Jessie”，已在 0.9.3.13 版本中修复这些问题。

我们建议您升级 python-apt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在快速且可扩展的分布式版本控制系统 git 中发现多个漏洞。

CVE-2019-1348

报告称，git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，允许覆写任意路径。

CVE-2019-1387

发现未对子模块名称进行足够严格的验证，从而导致在执行递归克隆时可以通过远程代码执行有针对性的攻击。

此外，此更新还解决了许多安全问题，但只有 git 在 NTFS 文件系统上（CVE-2019-1349、CVE-2019-1352 和 CVE-2019-1353）运行时，这些问题才会存在。

对于 Debian 8“Jessie”，已在版本 1:2.1.4-2.1+deb8u8 中修复这些问题。

建议您升级 git 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 libtiff 库及其随附的工具中发现多个整数溢出漏洞。

在 XFig 图形文件转换器 transfig 中发现多个问题。

CVE-2018-16140

get_line() 中的缓冲区签名漏洞允许攻击者通过构建的 .fig 文件在开始缓冲之前写入。

CVE-2019-14275

bound.c 中的 calc_row 函数存在基于堆栈的缓冲区溢出。

CVE-2019-19555

由于错误的 sscanf 而导致基于堆栈的缓冲区溢出。

对于 Debian 8“Jessie”，已在版本 1:3.2.5.e-4+deb8u2 中修复这些问题。

我们建议您升级 transfig 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Lukas Kupczyk 在处理 openconnect（用于 Cisco AnyConnect、Pulse 和 GlobalProtect VPN 的开放客户端）中的分块 HTTP 时报告了一个漏洞。恶意 HTTP 服务器（在已接受其身份证书后）可提供虚假的区块长度用于分块 HTTP 编码，并造成基于堆的缓冲区溢出。

已发现在 Chromium Web 浏览器中存在多个漏洞。

  - CVE-2019-13725 Gengming Liu 和 Jianyu Chen 在蓝牙实现中发现一个释放后使用问题。

  - CVE-2019-13726 Sergei Glazunov 发现一个缓冲区溢出问题。

  - CVE-2019-13727 @piochu 发现一个策略执行错误。

  - CVE-2019-13728 Rong Jian 和 Guang Gong 在 v8 JavaScript 库中发现一个越界写入错误。

  - CVE-2019-13729 Zhe Jin 发现一个释放后使用问题。

  - CVE-2019-13730 Soyeon Park 和 Wen Xu 在 v8 JavaScript 库中发现使用了错误的类型。

  - CVE-2019-13732 Sergei Glazunov 在 WebAudio 实现中发现一个释放后使用问题。

  - CVE-2019-13734 Wenxiang Qian 在 sqlite 库中发现一个越界写入问题。

  - CVE-2019-13735 Gengming Liu 和 Zhen Feng 在 v8 JavaScript 库中发现一个越界写入问题。

  - CVE-2019-13736 在 pdfium 库中发现了一个整数溢出问题。

  - CVE-2019-13737 Mark Amery 发现一个策略执行错误。

  - CVE-2019-13738 Johnathan Norman 和 Daniel Clark 发现一个策略执行错误。

  - CVE-2019-13739 xisigr 发现一个用户界面错误。

  - CVE-2019-13740 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13741 Michal Bentkowski 发现用户输入可能未经充分验证。

  - CVE-2019-13742 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13743 Zhiyang Zeng 发现一个用户界面错误。

  - CVE-2019-13744 Prakash 发现一个策略执行错误。

  - CVE-2019-13745 Luan Herrera 发现一个策略执行错误。

  - CVE-2019-13746 David Erceg 发现一个策略执行错误。

  - CVE-2019-13747 Ivan Popelyshev 和 Andre Bonatti 发现一个未初始化的值。

  - CVE-2019-13748 David Erceg 发现一个策略执行错误。

  - CVE-2019-13749 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13750 Wenxiang Qian 发现 sqlite 库中数据验证不足。

  - CVE-2019-13751 Wenxiang Qian 在 sqlite 库中发现一个未初始化的值。

  - CVE-2019-13752 Wenxiang Qian 在 sqlite 库中发现一个越界读取问题。

  - CVE-2019-13753 Wenxiang Qian 在 sqlite 库中发现一个越界读取问题。

  - CVE-2019-13754 Cody Crews 发现一个策略执行错误。

  - CVE-2019-13755 Masato Kinugawa 发现一个策略执行错误。

  - CVE-2019-13756 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13757 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13758 Khalil Zhani 发现一个策略执行错误。

  - CVE-2019-13759 Wenxu Wu 发现一个用户界面错误。

  - CVE-2019-13761 Khalil Zhani 发现一个用户界面错误。

  - CVE-2019-13762 csanuragjain 发现一个策略执行错误。

  - CVE-2019-13763 weiwangpp93 发现一个策略执行错误。

  - CVE-2019-13764 Soyeon Park 和 Wen Xu 在 v8 JavaScript 库中发现使用了错误的类型。

  - CVE-2019-13767 Sergei Glazunov 发现一个释放后使用问题。

  - CVE-2020-6377 Zhe Jin 发现一个释放后使用问题。

  - CVE-2020-6378 Antti Levomaki 和 Christian Jalio 发现一个释放后使用问题。

  - CVE-2020-6379 Guang Gong 发现一个释放后使用问题。

  - CVE-2020-6380 Sergei Glazunov 在验证扩展消息时发现一个错误。

在服务器监控系统 cacti 中发现多个问题，可能会导致经过身份验证的用户执行 SQL 代码或泄露信息。

  - CVE-2019-16723 经过身份验证的用户可能通过提交包含已修改 local_graph_id 参数的请求来绕过查看图形的授权检查。

  - CVE-2019-17357 图形管理界面未充分清理 template_id 参数，可能会导致 SQL 注入。经过身份验证的攻击者可能利用此漏洞，在数据库上执行未经授权的 SQL 代码。

  - CVE-2019-17358 sanitize_unserialize_selected_items 函数 (lib/functions.php) 在反序列化用户输入之前未对其进行充分审查，这可能导致不安全地反序列化用户控制的数据。经过身份验证的攻击者可能会利用此漏洞影响程序控制流或造成内存损坏。

在 Thunderbird 中发现多个安全问题，可能会造成任意代码执行或信息泄露。

在 gpac（具有 MP4Box muxer 的多媒体框架）中发现多个问题。

CVE-2018-21015

isomedia/avc_ext.c 处的 AVC_DuplicateConfig() 允许远程攻击者通过构造的文件造成拒绝服务（空指针取消引用和应用程序崩溃）。

CVE-2018-21016

somedia/box_code_base.c 处的 audio_sample_entry_AddBox() 允许远程攻击者通过构造的文件造成拒绝服务（基于堆的缓冲区过度读取和应用程序崩溃）。

CVE-2019-13618

libgpac.a 中的 isomedia/isom_read.c 存在基于堆的缓冲区过度读取，media_tools/mpegts.c 中 gf_m2ts_sync 的崩溃即为一例。

CVE-2019-20161

odf/ipmpx_code.c 中的函数 ReadGF_IPMPX_WatermarkingInit() 存在基于堆的缓冲区溢出。

CVE-2019-20162

isomedia/box_funcs.c 中的函数 gf_isom_box_parse_ex() 存在基于堆的缓冲区溢出。

CVE-2019-20163

odf/descriptors.c 中的函数 gf_odf_avc_cfg_write_bs() 存在空指针取消引用。

CVE-2019-20165

isomedia/box_code_apple.c 中的函数 function ilst_item_Read() 存在空指针取消引用。

CVE-2019-20170

odf/ipmpx_code.c 中的函数 GF_IPMPX_AUTH_Delete() 存在无效指针取消引用。

CVE-2019-20171

isomedia/box_code_adobe.c 中的 isomedia/box_code_base.c 和 abst_Read 存在内存泄漏。

CVE-2019-20208

在 GPAC 0.8.0 中，isomedia/box_code_3gpp.c 中的 dimC_Read 存在基于堆栈的缓冲区溢出。

对于 Debian 8“Jessie”，已在版本 0.5.0+svn5324~dfsg1-1+deb8u5 中修复这些问题。

我们建议您升级 gpac 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	严重性
133658	Debian DSA-4621-1：openjdk-8 - 安全更新	high
133657	Debian DSA-4620-1：firefox-esr - 安全更新	high
133656	Debian DLA-2101-1：libemail-address-list-perl 安全更新	high
133655	Debian DLA-2100-1：libexif 安全更新	high
133654	Debian DLA-2099-1：checkstyle 安全更新	medium
133562	Debian DLA-2098-1：ipmitool 安全更新	high
133561	Debian DLA-2097-1：ppp 安全更新	critical
133534	Debian DSA-4619-1：libxmlrpc3-java - 安全更新	critical
133533	Debian DSA-4618-1：libexif - 安全更新	high
133532	Debian DLA-2096-1：ruby-rack-cors 安全更新	medium
133509	Debian DLA-2095-1：storebackup 安全更新	high
133475	Debian DSA-4617-1：qtbase-opensource-src - 安全更新	high
133419	Debian DSA-4616-1：qemu - 安全更新	medium
133418	Debian DSA-4615-1：spamassassin - 安全更新	high
133417	Debian DSA-4614-1：sudo - 安全更新	high
133416	Debian DSA-4613-1：libidn2 - 安全更新	critical
133415	Debian DSA-4612-1：prosody-modules - 安全更新	critical
133414	Debian DLA-2094-1：sudo 安全更新	high
133413	Debian DLA-2093-1：firefox-esr 安全更新	high
133412	Debian DLA-2092-1：qtbase-opensource-src 安全更新	medium
133411	Debian DLA-2091-1：libjackson-json-java 安全更新	critical
133366	Debian DLA-2090-1：qemu 安全更新	medium
133365	Debian DLA-2089-1：openjpeg2 安全更新	high
133364	Debian DLA-2088-1：libsolv 安全更新	high
133363	Debian DLA-2087-1：suricata 安全更新	critical
133362	Debian DLA-2078-1：libxmlrpc3-java 安全更新	critical
133326	Debian DSA-4611-1：opensmtpd - 安全更新	critical
133325	Debian DSA-4610-1：webkit2gtk - 安全更新	high
133324	Debian DLA-2086-1：wget 安全更新	high
133323	Debian DLA-2085-1：zlib 安全更新	critical
133322	Debian DLA-2084-1：graphicsmagick 安全更新	critical
133321	Debian DLA-2083-1：hiredis 安全更新	high
133320	Debian DLA-2082-1：unzip 安全更新	high
133319	Debian DLA-2081-1：openjpeg2 安全更新	high
133318	Debian DLA-2079-1：otrs2 安全更新	medium
133277	Debian DLA-2080-1：iperf3 安全更新	critical
133276	Debian DLA-2077-1：tomcat7 安全更新	high
133230	Debian DSA-4609-1：python-apt - 安全更新	medium
133229	Debian DLA-2076-1：slirp 安全更新	medium
133228	Debian DLA-2075-1：jsoup 安全更新	medium
133219	Debian DLA-2074-1：python-apt 安全更新	medium
133218	Debian DLA-2059-1：git 安全更新	critical
133151	Debian DSA-4608-1：tiff - 安全更新	high
133150	Debian DLA-2073-1：transfig 安全更新	high
133110	Debian DSA-4607-1：openconnect - 安全更新	critical
133109	Debian DSA-4606-1：chromium - 安全更新	high
133108	Debian DSA-4605-1：openjdk-11 - 安全更新	high
133107	Debian DSA-4604-1：cacti - 安全更新	high
133106	Debian DSA-4603-1：thunderbird - 安全更新	high
133105	Debian DLA-2072-1：gpac 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

medium

high

critical

critical

high

medium

high

high

medium

high

high

critical

critical

high

high

medium

critical

medium

high

high

critical

critical

critical

high

high

critical

critical

high

high

high

medium

critical

high

medium

medium

medium

medium

critical

high

high

critical

high

high

high

high

high