远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4584 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4584-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Santiago Ruano Rincn 2026 年 5 月 15 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：openssh 版本： 1:8.4p1-5+deb11u7 CVE ID： CVE-2025-61984 CVE-2025-61985 CVE-2026-35385 CVE-2026-35386 CVE-2026-35387 CVE-2026-35388 CVE-2026-35414 Debian 缺陷：1117529 1117530 1132572 1132573 1132574 1132575 1132576

    已在 SSH 协议套件的实现 OpenSSH 中发现多个漏洞。

    CVE-2025-61984

        SSH 允许用户名中的控制字符源自某些可能不受信任的来源，这可能导致在使用 ProxyCommand 时执行代码。

    CVE-2025-61985

        ssh 允许在 ssh:// URI 中使用“\0”字符，这可能导致在使用 ProxyCommand 时执行代码。

    CVE-2026-35385

        在旧版 （-O） 模式下以根用户身份下载文件且未设置 -p（保留模式）标记时，scp 不会像预期的那样清除已下载文件中的 setuid/setgid 位。此缺陷可追溯到原始的 Berkeley rcp 程序。此问题由 Cantina 和 Spearbit 的 Christos Papakonstantinou 报告。

    CVE-2026-35386

        对命令行上提供的用户名中的 shell 元字符的验证执行太晚，无法阻止某些情况下，这些元字符可从 ssh_config 中的 %-token 进行扩展。对于某些配置，例如在 Match exec 区块中使用 %u 标记的配置，能够控制传递给 ssh（1） 的用户名的攻击者可能执行任意 shell 命令。此问题由 Florian Kohnhuser 报告。

        OpenSSH 开发人员继续建议不要将 ssh（1） 和其他工具的命令行直接暴露给不受信任的输入。鉴于使用中的各种 shell 和用户配置，解决此问题的缓解措施不能是绝对的。

    CVE-2026-35387

        ssh 可使用非预期的 ECDSA 算法。在 PubkeyAcceptedAlgorithms 或 HostbasedAcceptedAlgorithms 中列出任何 ECDSA 算法都会被误解为所有 ECDSA 算法。此问题由 Cantina 和 Spearbit 的 Christos Papakonstantinou 报告。

    CVE-2026-35388

        未针对代理模式多路复用会话（即
        ssh -O 代理...）。由 Michalis Vasileiadis 报告。

    CVE-2026-35414

        将 authorized_keys principals= 选项与证书中的主体列表进行匹配时，使用了不正确的算法，该算法可在证书中的主体名称包含逗号字符的情况下导致不正确的匹配。要利用此条件，需要列出多个主体的 authorized_keys principals= 选项
        *和* 将颁发编码多个以逗号分隔的主体名称的证书的 CA（典型 CA 会严格限制它们要放置在证书中的主体名称）。此条件仅适用于 authorized_keys 中用户信任的 CA 密钥，主证书认证路径 （TrustedUserCAKeys/AuthorizedPrincipalsFile） 不受影响。由 Vladimir Tokarev 报告。

    针对 Debian 11 bullseye，这些问题已在版本 1:8.4p1-5+deb11u7 中修复。

    建议您升级 openssh 程序包。

    如需了解 openssh 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openssh

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4583 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4583-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arnaud Rebillout 2026 年 5 月 15 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u7 CVE ID：CVE-2025-13462 CVE-2026-0672 CVE-2026-2297 CVE-2026-3644 CVE-2026-4224 CVE-2026-4519 Debian 缺陷：

    已在 Python 3.9 中发现多种漏洞。

    CVE-2025-13462

        tarfile 模块仍会将 AREGTYPE (\x00) 块的规范化应用到 DIRTYPE，即使在处理多区块成员（例如 GNUTYPE_LONGNAME 或 GNUTYPE_LONGLINK）时也是如此。与其他实现相比，这可导致 tarfile 模块错误解释构建的 tar 存档。

    CVE-2026-0672

        使用 http.cookies.Morsel 时，用户控制的 Cookie 值和参数可允许将 HTTP 标头注入消息。Patch 拒绝 Cookie 名称、值和参数中的所有控制字符。

    CVE-2026-2297

        CPython 中用于处理旧版 *.pyc 文件 (SourcelessFileLoader) 的导入钩子在 FileLoader（基类）中的处理有误，因此不会使用 io.open_code() 读取 .pyc 文件。
        因此，不会触发此审计事件的 sys.audit 处理程序。

    CVE-2026-3644

        CVE-2026-0672 的修复不完整，它拒绝了 http.cookies.Morsel 中的控制字符。Morsel.update()、|= 运算符和 unpickling 路径未经过修补，允许控制字符绕过输入验证。此外，BaseCookie.js_output() 缺少应用于 BaseCookie.output() 的输出验证。

    CVE-2026-4224

        当具有已注册 ElementDeclHandler 的 Expat 解析器解析包含深度嵌套内容模型的内联文档类型定义时，会发生 C 堆栈溢出。

    CVE-2026-4519

        The webbrowser.open() API 允许 URL 中出现前导破折号，某些网络浏览器可以将其作为命令行选项进行处理。现在，URL 中不再接受前导破折号。建议用户在将 URL 传递给 webbrowser.open() 之前对其进行清理。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u7 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6272 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6272-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nodejs CVE ID： CVE-2025-23085 CVE-2025-23166 CVE-2025-55131 CVE-2025-59465 CVE-2025-59466 CVE-2026-21710 CVE-2026-21713 CVE-2026-21714

    在 Node.js 中发现多个漏洞，可能导致拒绝服务或信息泄露。

    对于旧稳定发行版本 （bookworm），已在版本 18.20.4+dfsg-1~deb12u2 中修复这些问题。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6268 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6268-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：ffmpeg CVE ID：尚不可用

    在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

    对于稳定发行版本 （trixie），已在版本 7:7.1.4-0+deb13u1 中修复此问题。

    我们建议您升级 ffmpeg 程序包。

    若要了解 ffmpeg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ffmpeg

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6267 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6267-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：thunderbird CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于旧的稳定发行版本 (bookworm)，已在 1:140.10.2esr-1~deb12u1 版中修复这些问题。

    对于稳定发行版本 (trixie)，已在 1:140.10.2esr-1~deb13u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 Thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6271 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6271-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gsasl CVE ID：尚不可用

    已发现 GNU SASL 库的 DIGEST-MD5 解析器中缺少输入审查可造成拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 2.2.0-1+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 2.2.2-1.1+deb13u1 中修复此问题。

    建议您升级 gsasl 程序包。

    有关 gsasl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gsasl

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4582 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4582-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:140.10.2esr-1~deb11u1 CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:140.10.2esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6270 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6270-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-17 CVE ID: CVE-2026-6472 CVE-2026-6473 CVE-2026-6474 CVE-2026-6475 CVE-2026-6476 CVE-2026-6477 CVE-2026-6478 CVE-2026-6479 CVE-2026-6637 CVE-2026-6638

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致授权绕过、执行任意代码、信息泄露、权限提升、SQL 注入或拒绝服务。

    对于稳定发行版本 (trixie)，已在版本 17.10-0+deb13u1 中修复这些问题。

    建议您升级 postgresql-17 程序包。

    如需了解 postgresql-17 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-17

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-6269 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6269-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postgresql-15 CVE ID: CVE-2026-6472 CVE-2026-6473 CVE-2026-6474 CVE-2026-6475 CVE-2026-6477 CVE-2026-6478 CVE-2026-6479 CVE-2026-6637

    在 PostgreSQL 中发现了多个安全问题，这些问题可能导致授权绕过、执行任意代码、信息泄露、权限提升、SQL 注入或拒绝服务。

    对于旧稳定发行版本 (bookworm)，已在版本 15.18-0+deb12u1 中修复这些问题。

    建议您升级 postgresql-15 程序包。

    如需了解 postgresql-15 的具体安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postgresql-15

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6266 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6266-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 5 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nghttp2 CVE ID： CVE-2026-27135 Debian 缺陷：1131369

    已发现 HTTP/2 协议的实现 nghttp2 可通过断言失败而崩溃。远程攻击者可利用此缺陷，通过在触发终止路径之后立即发送畸形帧来造成 DoS 攻击。

    对于旧稳定发行版本 （bookworm），已在版本 1.52.0-1+deb12u3 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.64.0-1.1+deb13u1 中修复此问题。

    建议您升级 nghttp2 程序包。

    如需了解 nghttp2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nghttp2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4581 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4581-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lukas Mrdian 2026 年 5 月 13 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：nghttp2 版本：1.43.0-1+deb11u3 CVE ID： CVE-2026-27135 Debian 缺陷：1131369

    在实现 HTTP/2 的服务器、代理和客户端 nghttp2 中发现一个漏洞。

    CVE-2026-27135

        修复缺少的 iframe->state 验证以避免断言失败。从上游 v1.68.1 向后移植（提交 5c7df8f），包括提交 c619c7be0737ac78051b1cacf4b1ce5467eb838d 的上游测试用例。

    对于 Debian 11 bullseye，已在版本 1.43.0-1+deb11u3 中修复了此问题。

    建议您升级 nghttp2 程序包。

    如需了解 nghttp2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nghttp2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4580 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4580-1https://www.debian.org/lts/security/Thorsten Alteholz 2026 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：exim4 版本：4.94.2-7+deb11u5 CVE ID：尚未分配编号


    在 Exim 邮件传输代理中发现一个漏洞，可导致远程代码执行。


    对于 Debian 11 bullseye，已在版本 4.94.2-7+deb11u5 中修复此问题。

    我们建议您升级 exim4 程序包。

    如需了解 exim4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/exim4

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6265 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6265-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：exim4 CVE ID：CVE-2026-40684 CVE-2026-40685 CVE-2026-40686 CVE-2026-40687

    在 Exim 邮件传输代理中发现多个漏洞，可能导致远程代码执行、拒绝服务或信息泄漏。

    对于旧稳定发行版本 (bookworm)，已在 4.96-15+deb12u2 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 4.98.2-1+deb13u2 版本中修复这些问题。

    我们建议您升级 exim4 程序包。

    如需了解 exim4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/exim4

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6264 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6264-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 11 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：dnsmasq CVE ID： CVE-2026-2291 CVE-2026-4890 CVE-2026-4891 CVE-2026-4892 CVE-2026-4893 CVE-2026-5172

    轻量级 DNS 转发器和 DHCP 服务器 Dnsmasq 中发现多个安全漏洞，可能会造成缓存中毒、安全控制绕过、拒绝服务或本地权限提升。

    对于旧稳定发行版本 （bookworm），已在版本 2.90-4~deb12u2 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 2.91-1+deb13u1 中修复这些问题。

    建议您升级 dnsmasq 程序包。

    如需了解 dnsmasq 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dnsmasq

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4579 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4579-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel arias 2026 年 5 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-authlib 版本：0.15.4-1+deb11u2 CVE ID： CVE-2026-27962 CVE-2026-28490 CVE-2026-28498

    构建 OAuth 和 OpenID Connect 服务器的 python 库 python-authlib 中发现三个安全漏洞，可能会造成身份验证绕过或信息泄露。

    CVE-2026-27962

      当将 key=None 传递到 JWS 反序列化函数时，通过在 jwk 标头字段中嵌入构建的公钥，修复认证和授权绕过漏洞。

    CVE-2026-28490

      Authlib 暴露无效 PKCS#1 v1.5 填充和无效 AES-GCM 标签之间可区分的错误响应，从而引发 Bleichenbacher 式攻击。

    CVE-2026-28498

      修复 at_hash 和 c_hash 验证中的 OIDC ID 标记验证绕过。
      当 create_half_hash（） 收到未知算法时，_verify_hash（） 静默返回 True，从而允许伪造的 ID 标记通过验证。

    对于 Debian 11 bullseye，这些问题已在 0.15.4-1+deb11u2 版本中修复。

    建议您升级 python-authlib 程序包。

    若要了解更多 python-authlib 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-authlib

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4576 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4576-1 Beucler 2026 https://www.debian.org/lts/security/Sylvain 年 5 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：p7zip 版本：+ 16.02really25.01+dfsg-0+deb11u1 CVE ID： CVE-2022-47069 CVE-2023-31102 CVE-2023-40481 CVE-2023-52168 CVE-2023-52169 CVE-2024-11612 CVE-2025-11001 CVE-2025-11002 CVE-2025-53817 CVE-2025-55188 Debian 缺陷：1111068

    处理多种格式的文件存档器 7-Zip 现在未维护的分支 p7zip 中发现多个漏洞。

    为解决这些遗憾地修复不孤立的安全漏洞，此更新将 p7zip 替换为 7-Zip v25（现在原生支持 GNU/Linux），并稍作修改以使其与 p7zip 合理兼容。

    CVE-2022-47069

        通过函数 NArchive：：NZip：：CInArchive：：FindCd 导致的堆缓冲区溢出漏洞

    CVE-2023-31102

        Ppmd7.c 允许通过特制的 7Z 存档造成整数下溢和无效读取操作。

    CVE-2023-40481

        SquashFS 文件解析越界写入 RCE

    CVE-2023-52168

        NTFS 处理程序中基于堆的缓冲区溢出

    CVE-2023-52169

        NTFS 处理程序中的越界读取

    CVE-2024-11612

        CopyCoder 无限循环拒绝服务

    CVE-2025-11001

        ZIP 文件解析目录遍历 RCE

    CVE-2025-11002

        ZIP 文件解析目录遍历 RCE

    CVE-2025-53817

        复合处理程序中的空指针取消引用可能导致拒绝服务

    CVE-2025-55188

        未始终正确处理符号链接

    针对 Debian 11 bullseye，这些问题已在版本 16.02+really25.01+dfsg-0+deb11u1 中修复。

    我们建议您升级 p7zip 程序包。

    有关 p7zip 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/p7zip

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4577 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4577-1 Beucler 2026 https://www.debian.org/lts/security/Sylvain 年 5 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：p7zip-rar 版本：+ 16.02really25.00+ds-0+deb11u1 CVE ID： CVE-2025-53816 Debian 缺陷：1109494

    GitHub Security Lab 的 Jaroslav Lobaevski 在 p7zip（现已未维护的 7-Zip 分支）的 RAR 模块中发现一个内存损坏漏洞，7-Zip 是一个处理多种格式的文件存档器。这不太可能导致任意代码执行，但可能造成拒绝服务。

    为解决这个漏洞（遗憾的是其修复并未被隔离），并且为了与新的 p7zip 程序包 （）DLA-4576-1 保持兼容，此更新将 p7zip 代码库替换为 7-Zip v25（现在原生支持 GNU/Linux），稍作修改以使其与 p7zip 合理兼容。

    对于 Debian 11 bullseye，已在版本 16.02+really25.00+ds-0+deb11u1 中修复此问题。

    我们建议您升级 p7zip-rar 程序包。

    有关 p7zip-rar 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/p7zip-rar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4578 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS Advisory DLA-4578-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2026 年 5 月 11 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包 : rails 版本 : 2:6.0.3.7+dfsg-2+deb11u5 CVE ID : CVE-2022-32224 Debian 缺陷 : 1016140

    在基于 MVC Ruby 的 Web 开发框架 Ruby on Rails 中发现 RCE（远程代码执行）升级。

    在 Active Record 中使用 YAML 序列化列时存在此漏洞，可允许能够操纵数据库中数据（通过 SQL 注入等手段）的攻击者升级至 RCE。

    此更新处理了常见且安全的 YAML 序列化（支持主要 Ruby 数据类型和符号，以及新序列化的 HashWithIndifferentAccess 对象）。

    如果应用程序将其他类序列化为 YAML，请参阅以下页面以引用 config.active_record.yaml_column_permitted_classes 中的这些类，或使用 config.active_record.use_yaml_unsafe_load=true 完全禁用保护（不推荐，风险自负）。
    https://discuss.rubyonrails.org/t/cve-2022-32224-possible-rce-escalation-bug-with-serialized-columns-in-active-record/81017

    对于 Debian 11 bullseye，已在 2:6.0.3.7+dfsg-2+deb11u5 版本中修复此问题。

    我们建议您升级 rails 程序包。

    如需了解 rails 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rails

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6262 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6262-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：lcms2 CVE ID： CVE-2026-41254 CVE-2026-42798

    在 LittleCMS 2 颜色管理库中发现两个整数溢出。

    对于旧稳定发行版本 （bookworm），已在版本 2.14-2+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 2.16-2+deb13u2 中修复此问题。

    我们建议您升级 lcms2 程序包。

    有关 lcms2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/lcms2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6263 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6263-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libpng1.6 CVE ID： CVE-2026-34757

    在实现 PNG（可移植网络图形）文件读取和写入接口的库 libpng 中发现释放后使用。

    对于旧稳定发行版本 （bookworm），已在版本 1.6.39-2+deb12u5 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.6.48-1+deb13u5 中修复此问题。

    我们建议您升级 libpng1.6 程序包。

    有关 libpng1.6 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libpng1.6

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6260 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6260-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：tor CVE ID： CVE-2026-44597 CVE-2026-44599 CVE-2026-44600 CVE-2026-44601 CVE-2026-44602 CVE-2026-44603

    在基于连接的低延迟匿名通信系统 Tor 中发现多个安全漏洞，可导致拒绝服务。

    对于旧稳定发行版本 （bookworm），已在版本 0.4.9.8-0+deb12u1 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 0.4.9.8-0+deb13u1 中修复这些问题。

    我们建议您升级 tor 程序包。

    有关 tor 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/tor

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上存在安装的程序包，该程序包受到 dsa-6261 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6261-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：corosync CVE ID： CVE-2026-35091 CVE-2026-35092

    在 Corosync 群集引擎中发现两个安全漏洞，可能会造成拒绝服务或内存泄露。

    对于旧稳定发行版本 （bookworm），已在版本 3.1.7-1+deb12u2 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 3.1.9-2+deb13u1 中修复这些问题。

    建议您升级 corosync 程序包。

    如需了解 corosync 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/corosync

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4575 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4575-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：firefox-esr 版本：140.10.2esr-1~deb11u1 CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

    对于 Debian 11 bullseye，已在 140.10.2esr-1~deb11u1 版本中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4574 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4574-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2026 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：linux-6.1 版本：6.1.170-3~deb11u1 CVE ID： CVE-2026-43284 CVE-2026-43500 Debian 缺陷：1135514 1135599

    已在 Linux 内核中发现两个可能导致本地权限升级的漏洞。

    对于 Debian 11 bullseye，这些问题已在 6.1.170-3~deb11u1 版本中修复。此版本还修复了在以前的更新中发现的一些回归。

    建议您升级 linux-6.1 程序包。

    如需了解 linux-6.1 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux-6.1

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4573 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4573-1 Frost 2026 https://www.debian.org/lts/security/Tobias 年 5 月 9 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libpng1.6 版本：1.6.37-3+deb11u4 CVE ID： CVE-2026-34757 Debian 缺陷：1133051

    在实现用于读取和写入 PNG（可移植网络图形）文件的接口的库 libpng 中发现一个安全漏洞，可导致区块数据损坏和可能的堆信息泄露。

    对于 Debian 11 bullseye，已在版本 1.6.37-3+deb11u4 中修复了此问题。

    我们建议您升级 libpng1.6 程序包。

    有关 libpng1.6 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libpng1.6

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6258 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6258-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 9 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID： CVE-2026-43284 CVE-2026-43500 Debian 缺陷：1135514

    已在 Linux 内核中发现两个可能导致本地权限升级的漏洞。

    对于旧稳定发行版本 (bookworm)，已在版本 6.1.170-3 中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6259 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6259-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 9 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：pyjwt CVE ID： CVE-2026-32597

    JSON web 令牌的 Python 实现 PyJWT 中发现未充分验证 crit 标头参数，可能会造成身份验证设置执行不完整。

    对于旧稳定发行版本 （bookworm），已在版本 2.6.0-1+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 2.10.1-2+deb13u1 中修复此问题。

    建议您升级 pyjwt 程序包。

    有关 pyjwt 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pyjwt

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6254 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6254-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：firefox-esr CVE ID：CVE-2026-8090 CVE-2026-8092 CVE-2026-8094

    Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码。

    对于旧的稳定发行版本 (bookworm)，已在 140.10.2esr-1~deb12u1 版中修复这些问题。

    对于稳定发行版本 (trixie)，已在 140.10.2esr-1~deb13u1 版中修复这些问题。

    建议您升级 firefox-esr 程序包。

    如需了解 firefox-esr 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6257 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6257-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：postorius CVE ID： CVE-2026-44742

    在 Postorius（Mailman 3 的管理 web 前端）中发现跨站脚本漏洞。

    对于旧稳定发行版本 （bookworm），已在版本 1.3.8-3+deb12u1 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 1.3.13-1+deb13u1 中修复此问题。

    建议您升级 postorius 程序包。

    有关 postorius 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/postorius

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-6255 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6255-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：php8.2 CVE ID：CVE-2025-14179 CVE-2026-6722 CVE-2026-6735 CVE-2026-7258 CVE-2026-7259 CVE-2026-7261 CVE-2026-7262 CVE-2026-7568

    在广泛使用的开源通用脚本语言 PHP 中发现了多个安全漏洞，这些漏洞可能导致拒绝服务、SQL 注入、跨站脚本攻击或任意代码执行。

    对于旧稳定发行版本 (bookworm)，已在版本 8.2.31-1~deb12u1 中修复这些问题。

    我们建议您升级 php8.2 程序包。

    如需了解 php8.2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php8.2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6256 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6256-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：php8.4 CVE ID：CVE-2025-14179 CVE-2026-6104 CVE-2026-6722 CVE-2026-6735 CVE-2026-7258 CVE-2026-7259 CVE-2026-7261 CVE-2026-7262 CVE-2026-7263 CVE-2026-7568

    在广泛使用的开源通用脚本语言 PHP 中发现了多个安全漏洞，这些漏洞可能导致拒绝服务、SQL 注入、跨站脚本攻击、信息披露或任意代码执行。

    对于稳定发行版本 (trixie)，已在版本 8.4.21-1~deb13u1 中修复这些问题。

    我们建议您升级 php8.4 程序包。

    如需了解 php8.4 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/php8.4

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 dla-4572 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4572-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Ben Hutchings 2026 年 5 月 8 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包： linux 版本： 5.10.251-4 CVE ID： CVE-2026-43284 CVE-2026-43500

    已在 Linux 内核中发现两个可能导致本地权限升级的漏洞。

    对于 Debian 11 bullseye，已在 5.10.251-4 版本中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6253 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6253-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：linux CVE ID： CVE-2025-38584 CVE-2026-23468 CVE-2026-31419 CVE-2026-31709 CVE-2026-31715 CVE-2026-43284 CVE-2026-43500

    在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。

    对于稳定发行版本 (trixie)，已在 6.12.86-1 版本中修复这些问题。

    建议您升级 linux 程序包。

    如需了解 linux 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/linux

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4571 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4571-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 5 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：apache2 版本：2.4.67-1~deb11u1 CVE ID：CVE-2026-24072 CVE-2026-28780 CVE-2026-29168 CVE-2026-29169 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 Debian 缺陷：1135737

    在 Apache HTTP 服务器中发现了多个漏洞，可能导致远程代码执行、特权提升、服务拒绝或信息泄露。

    发布勘误表是因为 DLA??4571??1 标记不正确，CVE??2026??28780 和 CVE??2026??2916 为未修复。

    这两个漏洞实际上已在版本 2.4.67??1~deb11u1，其中包含所需的安全补丁。

    此外，CVE??2026??23918 被标记为不影响 Bullseye，因为之前发布的任何 Bullseye 程序包中不存在易受攻击的代码。
    但是，即使不影响此版本，更新后的程序包也包含针对此问题的补丁。

    对于 Debian 11 bullseye，已在 2.4.67-1~deb11u1 版本中修复这些问题。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6251 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6251-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：libreoffice CVE ID：CVE-2026-4430

    Dun Anh Nguyen 在 LibreOffice 中发现一个缓冲区溢出，如果打开带有格式错误加密参数的 OOXML 文档，可导致越界写入。

    对于旧稳定发行版本 （bookworm），已在版本 4:7.4.7-1+deb12u11 中修复此问题。

    对于稳定发行版本 （trixie），已在版本 4:25.2.3-2+deb13u4 中修复此问题。

    建议您升级 libreoffice 程序包。

    如需了解 libreoffice 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libreoffice

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包，该程序包受到 dsa-6252 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6252-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：prosody CVE ID： CVE-2026-43504 CVE-2026-43505 CVE-2026-43506 CVE-2026-43507

    轻量级的 Jabber/XMPP 服务器 Prosody 中发现多个安全问题，使用 SOCKS5 代理模块时，可能会造成拒绝服务或访问控制不充分。

    对于旧稳定发行版本 （bookworm），已在版本 0.12.3-1+deb12u1 中修复这些问题。

    对于稳定发行版本 （trixie），已在版本 13.0.1-1+deb131u 中修复这些问题。

    我们建议您升级 prosody 程序包。

    如需了解 prosody 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/prosody

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6250 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6250-1 security@debian.org https://www.debian.org/security/Andres Salomon 2026 年 5 月 7 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：chromium CVE ID：CVE-2026-7896 CVE-2026-7897 CVE-2026-7898 CVE-2026-7899 CVE-2026-7900 CVE-2026-7901 CVE-2026-7902 CVE-2026-7903 CVE-2026-7904 CVE-2026-7905 CVE-2026-7906 CVE-2026-7907 CVE-2026-7908 CVE-2026-7909 CVE-2026-7910 CVE-2026-7911 CVE-2026-7912 CVE-2026-7913 CVE-2026-7914 CVE-2026-7915 CVE-2026-7916 CVE-2026-7917 CVE-2026-7918 CVE-2026-7919 CVE-2026-7920 CVE-2026-7921 CVE-2026-7922 CVE-2026-7923 CVE-2026-7924 CVE-2026-7925 CVE-2026-7926 CVE-2026-7927 CVE-2026-7928 CVE-2026-7929 CVE-2026-7930 CVE-2026-7931 CVE-2026-7932 CVE-2026-7933 CVE-2026-7934 CVE-2026-7935 CVE-2026-7936 CVE-2026-7937 CVE-2026-7938 CVE-2026-7939 CVE-2026-7940 CVE-2026-7941 CVE-2026-7942 CVE-2026-7943 CVE-2026-7944 CVE-2026-7945 CVE-2026-7946 CVE-2026-7947 CVE-2026-7948 CVE-2026-7949 CVE-2026-7950 CVE-2026-7951 CVE-2026-7952 CVE-2026-7953 CVE-2026-7954 CVE-2026-7955 CVE-2026-7956 CVE-2026-7957 CVE-2026-7958 CVE-2026-7959 CVE-2026-7960 CVE-2026-7961 CVE-2026-7962 CVE-2026-7963 CVE-2026-7964 CVE-2026-7965 CVE-2026-7966 CVE-2026-7967 CVE-2026-7968 CVE-2026-7969 CVE-2026-7970 CVE-2026-7971 CVE-2026-7972 CVE-2026-7973 CVE-2026-7974 CVE-2026-7975 CVE-2026-7976 CVE-2026-7977 CVE-2026-7978 CVE-2026-7979 CVE-2026-7980 CVE-2026-7981 CVE-2026-7982 CVE-2026-7983 CVE-2026-7984 CVE-2026-7985 CVE-2026-7986 CVE-2026-7987 CVE-2026-7988 CVE-2026-7989 CVE-2026-7990 CVE-2026-7991 CVE-2026-7992 CVE-2026-7993 CVE-2026-7994 CVE-2026-7995 CVE-2026-7996 CVE-2026-7997 CVE-2026-7998 CVE-2026-7999 CVE-2026-8000 CVE-2026-8001 CVE-2026-8002 CVE-2026-8003 CVE-2026-8004 CVE-2026-8005 CVE-2026-8006 CVE-2026-8007 CVE-2026-8008 CVE-2026-8009 CVE-2026-8010 CVE-2026-8011 CVE-2026-8012 CVE-2026-8013 CVE-2026-8014 CVE-2026-8015 CVE-2026-8016 CVE-2026-8017 CVE-2026-8018 CVE-2026-8019 CVE-2026-8020 CVE-2026-8021 CVE-2026-8022

    在 Chromium 中发现多个安全问题，这些问题可能会造成任意代码执行、拒绝服务或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在 148.0.7778.96-1~deb12u1 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 148.0.7778.96-1~deb13u1 版本中修复这些问题。

    我们建议您升级 chromium 程序包。

    如需了解 chromium 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/chromium

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4568 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4568-1https://www.debian.org/lts/security/Chris Lamb 2026 年 5 月 6 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：lcms2 版本：2.8-4+deb9u2 CVE ID： CVE-2026-41254 Debian 缺陷：1134335

    已发现在 lcms2（又称为 Little CMS）中存在一个整数溢出漏洞。

    对于 Debian 11 bullseye，已在版本 2.8-4+deb9u2 中修复此问题。

    我们建议您升级 lcms2 程序包。

    有关 lcms2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/lcms2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4569 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4569-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：tzdata 版本：2026b-0+deb11u1

    此更新包含 tzdata 2026b 中的变更。值得注意的变更：

    - - 不列颠哥伦比亚省于 2026 年 3 月 9 日移至永久 -07，因此不会在 2026 年 11 月 1 日从 -07 回退到 -08。
    - - 已更新闰秒列表，其原定于 6 月末到期。

    对于 Debian 11 bullseye，已在版本 2026b-0+deb11u1 中修复此问题。

    我们建议您升级 tzdata 程序包。

    如需了解 tzdata 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/tzdata

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4570 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4570-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libdatetime-timezone-perl 版本： 1:2.47-1+2026b

    此更新包含 tzdata 2026b 中针对 Perl 绑定所做的变更。有关变更列表，请参阅 DLA-4569-1。

    对于 Debian 11 bullseye，已在版本 1:2.47-1+2026b 中修复此问题。

    我们建议您升级 libdatetime-timezone-perl 程序包。

    有关 libdatetime-timezone-perl 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libdatetime-timezone-perl

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4567 公告中提及的漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4567-1https://www.debian.org/lts/security/Chris Lamb 2026 年 5 月 6 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：lrzip 版本：0.641-1+deb11u2 CVE ID： CVE-2025-15570 Debian 缺陷：1128069

    已发现 lrzip 压缩/解压缩程序中存在潜在的释放后使用问题。

    对于 Debian 11 bullseye，此问题已在 0.641-1+deb11u2 版本中修复。

    建议您升级 lrzip 程序包。

    有关 lrzip 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/lrzip

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6249 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6249-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：wireshark CVE ID： CVE-2026-5299 CVE-2026-5401 CVE-2026-5403 CVE-2026-5404 CVE-2026-5405 CVE-2026-5406 CVE-2026-5407 CVE-2026-5408 CVE-2026-5409 CVE-2026-5653 CVE-2026-5654 CVE-2026-5656 CVE-2026-5657 CVE-2026-6519 CVE-2026-6520 CVE-2026-6521 CVE-2026-6522 CVE-2026-6523 CVE-2026-6524 CVE-2026-6527 CVE-2026-6529 CVE-2026-6530 CVE-2026-6531 CVE-2026-6532 CVE-2026-6533 CVE-2026-6534 CVE-2026-6535 CVE-2026-6537 CVE-2026-6538 CVE-2026-6867 CVE-2026-6868 CVE-2026-6869 CVE-2026-6870 CVE-2026-7375 CVE-2026-7376 CVE-2026-7378 CVE-2026-7379

    在网络协议分析器 Wireshark 中发现多个漏洞，这些漏洞可能会造成拒绝服务或任意代码执行。

    对于旧稳定发行版本 （bookworm），已在版本 4.0.17-0+deb12u3 中修复这些问题的子集。

    对于稳定发行版本 （trixie），已在版本 4.4.15-0+deb13u1 中修复这些问题。

    建议您升级 wireshark 程序包。

    如需了解 wireshark 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/wireshark

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12/13 主机上安装的多个程序包受到 dsa-6248 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6248-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 5 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：apache2 CVE ID：CVE-2026-23918 CVE-2026-24072 CVE-2026-28780 CVE-2026-29168 CVE-2026-29169 CVE-2026-33006 CVE-2026-33007 CVE-2026-33523 CVE-2026-33857 CVE-2026-34032 CVE-2026-34059 Debian 缺陷：1135737

    在 Apache HTTP 服务器中发现了多个漏洞，可能导致远程代码执行、特权提升、服务拒绝或信息泄露。

    对于旧稳定发行版本 (bookworm)，已在 2.4.67-1~deb12u2 版本中修复这些问题。

    对于稳定发行版本 (trixie)，已在 2.4.67-1~deb13u2 版本中修复这些问题。针对 CVE-2026-23918 的修复已包含在 Debian 13.4 点版本更新 2.4.66-1~deb13u2 版中，以解决所报告的 HTTP/2 回归。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了受多个漏洞影响的包，正如 dla-4565 公告中提到的。

    - ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4565-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026年5月6日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package ： openjdk-17 版本 ：+ 17.0.1910-1~deb11u1 CVE ID ： CVE-2026-22007 CVE-2026-22013 CVE-2026-22016 CVE-2026-22018 CVE-2026-22021 CVE-2026-34268 CVE-2026-34282

    在 OpenJDK Java 运行时中发现了若干漏洞，可能导致密码密钥生成错误、拒绝服务、信息泄露、XEE/XEE 攻击或 Kerberos 凭证验证错误。

    对于 Debian 11 的 Bullseye，这些问题在 +10-1~deb11u1 版本中得到修复 17.0.19。

    我们建议您升级 openjdk-17 程序包。

    如需了解 openjdk-17 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-17

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了受多个漏洞影响的包，正如 dla-4566 公告中提到的。

    - ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4566-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026年5月6日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package ： openjdk-11 版本 ： 11.0.31+11-1~deb11u1 CVE ID ： CVE-2026-22007 CVE-2026-22013 CVE-2026-22016 CVE-2026-22018 CVE-2026-22021 CVE-2026-34268 CVE-2026-34282

    在 OpenJDK Java 运行时中发现了若干漏洞，可能导致密码密钥生成错误、拒绝服务、信息泄露、XEE/XEE 攻击或 Kerberos 凭证验证错误。

    对于 Debian 11 的 Bullseye，这些问题在版本 11.0.31+11-1~deb11u1 中得到修复。

    我们建议您升级 openjdk-11 程序包。

    如需了解 openjdk-11 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/openjdk-11

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了一个包，该包受到 dla-4564 公告中提到的漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4564-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2026年5月5日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： pyjwt 版本 ： 1.7.1-2+deb11u1 CVE ID ： CVE-2026-32597

    发现PyJWT（Python实现的JSON Web Token）未能验证RFC 7515 4.1.11中定义的crit（关键）头参数。当 JWS 令牌包含 PyJWT 不理解的 crit 数组扩展时，库会接受该令牌而非拒绝。
    这违反了RFC中的MUST要求。

    对于 Debian 11 的 Bullseye，这个问题在 1.7.1-2+deb11u1 版本中得到了修复。

    我们建议您升级您的 pyjwt 套餐。

    有关pyjwt的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/pyjwt

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4563 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4563-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arnaud Rebillout 2026 年 5 月 5 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：libarchive 版本：3.4.3-2+deb11u4 CVE ID：CVE-2026-4111 CVE-2026-4424 CVE-2026-4426 CVE-2026-5121 Debian 错误：1130753 1131444 1131446 1133002

    在多格式存档和压缩 C 库 libarchive 中发现多个漏洞，该库还可提供以下命令行工具：bsdcat、bsdcpio、bsdtar 和 bsdunzip。

    CVE-2026-4111

        已在 libarchive 库的 RAR5 存档解压缩逻辑中发现一个缺陷，尤其是在 archive_read_data() 处理路径中。在处理特别构建的 RAR5 存档时，解压缩例程可能会进入内部逻辑阻止转发进程的状态。这种情况会导致陷入持续消耗 CPU 资源的无限循环。由于存档通过校验和验证且结构上也无误，因此受影响的应用程序在处理之前无法检测到该问题。攻击者可借此在自动处理存档的服务中造成持续拒绝服务情形。

    CVE-2026-4424

        在 libarchive 中发现一个缺陷。RAR 存档处理逻辑中存在此堆越界读取漏洞，这是因为在压缩方法之间进行转换之后，未正确验证 LZSS 滑动窗口大小所导致。远程攻击者可通过提供特别构建的 RAR 存档利用此问题，从而无需身份验证或用户交互即可泄露敏感堆内存信息。

    CVE-2026-4426

        在 libarchive 中发现一个缺陷。zisofs 解压缩逻辑中存在一个未定义行为漏洞，导致此漏洞的原因是未正确验证从 ISO9660 Rock Ridge 扩展中读取的字段 (`pz_log2_bs`)。远程攻击者可通过提供特别构建的 ISO 文件来利用此漏洞。这可导致错误的内存分配和潜在应用程序崩溃，进而导致拒绝服务 (DoS) 情形。

    CVE-2026-5121

        在 libarchive 中发现一个缺陷。在 32 位系统中，zisofs 块指针分配逻辑中存在一个整数溢出漏洞。远程攻击者可通过提供特别构建的 ISO9660 图像利用此漏洞，这可导致堆缓冲区溢出。这可能允许在受影响的系统上执行任意代码。

    对于 Debian 11 bullseye，已在 3.4.3-2+deb11u4 版本中修复这些问题。

    建议您升级 libarchive 程序包。

    如需了解 libarchive 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libarchive

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 12 / 13 主机安装了受多个漏洞影响的包，如 dsa-6247 公告中提到的。

    - ------------------------------------------------------------------------- Debian安全咨询 DSA-6247-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026年5月4日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    包 ： lxd CVE ID ： CVE-2026-40197 CVE-2026-40251 CVE-2026-41648 CVE-2026-41684 CVE-2026-41685

    LXD（系统容器和虚拟机管理器）发现了多项安全问题，可能导致拒绝服务。

    对于 oldstable 发行版（bookworm），这些问题在 5.0.2-5+deb12u6 版本中得到了修复。

    对于稳定发行版（trixie），这些问题在版本 5.0.2+git20231211.1364ae4-9+deb13u6 中得到修复。

    我们建议您升级LXD套餐。

    有关LXD的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/lxd

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4562 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4562-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 5 月 4 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：thunderbird 版本：1:140.10.1esr-1~deb11u1 CVE ID：CVE-2026-7320 CVE-2026-7321 CVE-2026-7322 CVE-2026-7323

    在 Thunderbird 中发现多个安全问题，这些问题可能会造成任意代码执行。

    对于 Debian 11 bullseye，已在 1:140.10.1esr-1~deb11u1 版本中修复这些问题。

    我们建议您升级 Thunderbird 程序包。

    如需了解 thunderbird 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/thunderbird

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 13 主机安装了受多个漏洞影响的包，正如 dsa-6246 公告中提到的。

    - ------------------------------------------------------------------------- Debian 安全咨询 DSA-6246-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026年5月3日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    包：openjdk-25 CVE ID ： CVE-2026-22007 CVE-2026-22008 CVE-2026-22013 CVE-2026-22016 CVE-2026-22018 CVE-2026-22021 CVE-2026-34268 CVE-2026-34282

    在 OpenJDK Java 运行时中发现了若干漏洞，可能导致密码密钥生成错误、拒绝服务、信息泄露、XEE/XEE 攻击或 Kerberos 凭证验证错误。

    对于稳定分布（trixie），这些问题在版本 25.0.3+9-2~deb13u1 中得到修正。

    我们建议您升级您的openjdk-25套餐。

    有关openjdk-25的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/openjdk-25

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
314975	Debian DLA-4584：openssh-client - 安全更新	high
314932	Debian dla-4583：idle-python3.9 - 安全更新	high
314747	Debian dsa-6272：libnode-dev - 安全更新	high
314707	Debian DSA-6268：ffmpeg - 安全更新	high
314706	Debian dsa-6267：thunderbird - 安全更新	critical
314705	Debian dsa-6271：gsasl - 安全更新	high
314704	Debian dla-4582：thunderbird - 安全更新	critical
314703	Debian dsa-6270：libecpg-compat3 - 安全更新	high
314702	Debian dsa-6269：libecpg-compat3 - 安全更新	high
314609	Debian DSA-6266：libnghttp2-14 - 安全更新	high
314499	Debian DLA-4581：libnghttp2-14 - 安全更新	high
314337	Debian DLA-4580：exim4 - 安全更新	high
314336	Debian dsa-6265：exim4 - 安全更新	critical
314276	Debian DSA-6264：dnsmasq - 安全更新	high
314275	Debian DLA-4579：python-authlib-doc - 安全更新	high
314237	Debian DLA-4576：p7zip - 安全更新	medium
314236	Debian DLA-4577：p7zip-rar - 安全更新	medium
314235	Debian dla-4578：rails - 安全更新	critical
313713	Debian DSA-6262：liblcms2-2 - 安全更新	high
313712	Debian dsa-6263：libpng-dev - 安全更新	medium
313711	Debian DSA-6260：tor - 安全更新	critical
313710	Debian DSA-6261：corosync - 安全更新	high
313617	Debian dla-4575：firefox-esr - 安全更新	critical
313616	Debian DLA-4574：linux-config-6.1 - 安全更新	high
313514	Debian DLA-4573：libpng-dev - 安全更新	medium
313513	Debian dsa-6258：affs-modules-6.1.0-44-4kc-malta-di - 安全更新	high
313512	Debian dsa-6259：python-jwt-doc - 安全更新	high
313420	Debian dsa-6254：firefox-esr - 安全更新	critical
313419	Debian dsa-6257：python3-django-postorius - 安全更新	medium
313418	Debian dsa-6255：libapache2-mod-php8.2 - 安全更新	critical
313417	Debian dsa-6256 : libapache2-mod-php8.4 - 安全更新	critical
313416	Debian dla-4572：ata-modules-5.10.0-39-armmp-di - 安全更新	high
313288	Debian DSA-6253：ata-modules-6.12.74+deb13+1-armmp-di - 安全更新	high
313221	Debian dla-4571：apache2 - 安全更新	critical
313164	Debian DSA-6251：fonts-opensymbol - 安全更新	medium
313163	Debian DSA-6252：prosody - 安全更新	high
313110	Debian dsa-6250：chromium - 安全更新	critical
313109	Debian DLA-4568：liblcms2-2 - 安全更新	high
313051	Debian DLA-4569：tzdata - 安全更新	high
313050	Debian DLA-4570：libdatetime-timezone-perl - 安全更新	high
313010	Debian DLA-4567：lrzip - 安全更新	medium
313009	Debian DSA-6249：libwireshark-data - 安全更新	high
312666	Debian dsa-6248：apache2 - 安全更新	critical
312364	Debian dla-4565 ： openjdk-17-dbg - 安全更新	high
312363	Debian dla-4566 ： openjdk-11-dbg - 安全更新	high
312261	Debian dla-4564 ： python3-jwt - security update	high
312112	Debian dla-4563：libarchive-dev - 安全更新	critical
312104	Debian dsa-6247 ： golang-github-canonical-lxd-dev - 安全更新	high
311845	Debian dla-4562：thunderbird - 安全更新	critical
311815	Debian dsa-6246 ： openjdk-25-dbg - 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

critical

high

critical

high

high

high

high

high

critical

high

high

medium

medium

critical

high

medium

critical

high

critical

high

medium

high

high

critical

medium

critical

critical

high

high

critical

medium

high

critical

high

high

high

medium

high

critical

high

high

high

critical

high

critical

high