发现使用 SimpleSAMLphp（SAML 2.0 协议实现），可避开验证 SAML 消息的 XML 签名。

对于 Debian 8“Jessie”，此问题已在版本 1.13.1-2+deb8u3 中修复。

建议您升级 simplesamlphp 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Stephan Zeisberg 发现，FTP/SFTP/FTPS 服务器 ProFTPD 中缺少输入验证，这可通过无限循环导致拒绝服务。

在 webkit2gtk Web 引擎中发现多个漏洞：

  - CVE-2019-8625 Sergei Glazunov 发现恶意构建的 Web 内容可能会造成通用跨站脚本漏洞。

  - CVE-2019-8720 Wen Xu 发现恶意构建的 Web 内容可能会导致任意代码执行。

  - CVE-2019-8769 Pierre Reimertz 发现浏览恶意构建的网站可能会泄露浏览历史记录。

  - CVE-2019-8771 Eliya Stein 发现，恶意构建的 Web 内容可能会违反 iframe 沙盒策略。

分布式文件系统 OpenAFS 中发现多个安全漏洞。

CVE-2019-18601

OpenAFS 容易受到反序列化数据访问拒绝服务漏洞影响，因为远程攻击者可执行一系列 VOTE_Debug RPC 调用，导致 SVOTE_Debug RPC 处理程序中的数据库服务器崩溃。

CVE-2019-18602

OpenAFS 容易受到信息泄露漏洞影响，因为未初始化标量是通过网络发送至对等设备。

CVE-2019-18603

在某些错误条件下，OpenAFS 容易受到信息泄露漏洞影响，因为未初始化 RPC 输出变量是通过网络发送至对等设备。

对于 Debian 8“Jessie”，这些问题已在版本 1.6.9-2+deb8u9 中修复。

我们建议您升级 openafs 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 cpio 程序包中发现一个漏洞。

CVE-2019-14866

攻击者可以创建文件，因此在使用 cpio 备份后可在生成的 tar 存档中生成任意文件。在恢复备份后，可以任意权限创建文件。

对于 Debian 8“Jessie”，此问题已在版本 2.11+dfsg-4.1+deb8u2 中修复。

我们建议您升级 cpio 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

wordpress（Web 博客工具）中的多个漏洞已修复。

CVE-2019-17669

服务器端请求伪造 (SSRF) 漏洞是 URL 验证未将名称解释视为一组十六进制字符所致。

CVE-2019-17670

据报告，wp_validate_redirect() 中存在服务器端请求伪造 (SSRF) 漏洞。在验证相对 URL 的位置时规范化路径。

CVE-2019-17671

未经身份验证即可查看某些内容（隐私或草稿帖子），这是未正确处理静态查询属性所致。

CVE-2019-17675

Wordpress 在验证管理页面中的 referer 期间未正确考虑类型混淆问题。此漏洞会影响 check_admin_referer() WordPress 函数。

对于 Debian 8“Jessie”，这些问题已在 4.1.28+dfsg-0+deb8u1 版本中修复。

我们建议您升级 wordpress 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在多格式存档和压缩库 libarchive 中发现一个释放后使用问题，如果处理畸形存档文件，此漏洞可能会造成拒绝服务并可能执行任意代码。

在 Qt 库中发现一个越界内存访问漏洞，此漏洞可通过包含许多方向性字符的文本文件造成拒绝服务。

旧稳定发行版本 (stretch) 不受影响。

在 iTALC（课程管理软件）的 VNC 代码中发现多个漏洞。下面引用的所有漏洞都是最初针对 Debian 源程序包 libvncserver 报告的问题。Debian 中的 italc 源程序包搭载自定义修补的 libvncserver 版本，因此 libvncserver 的安全修复需要进行移植。

CVE-2014-6051

在 LibVNCServer 中，vncviewer.c 的 MallocFrameBuffer 函数中存在整数溢出，远程 VNC 服务器可利用此漏洞，通过大屏幕尺寸的公告造成拒绝服务（崩溃）并可能执行任意代码，从而触发基于堆的缓冲区溢出。

CVE-2014-6052

在 LibVNCServer 中，libvncclient/rfbproto.c 中的 HandleRFBServerMessage 函数未检查某些 malloc 返回值，远程 VNC 服务器可利用此漏洞，通过指定 (1) FramebufferUpdate、(2) ResizeFrameBuffer 或 (3) PalmVNCReSizeFrameBuffer 消息中的大屏幕尺寸造成拒绝服务（应用程序崩溃）或可能执行任意代码。

CVE-2014-6053

在 LibVNCServer 中，libvncserver/rfbserver.c 中的 rfbProcessClientNormalMessage 函数未正确处理发送大量 ClientCutText 数据的尝试，远程攻击者可利用此漏洞，通过以未经检查的 malloc 处理的构建消息造成拒绝服务（内存消耗或后台程序崩溃）。

CVE-2014-6054

远程攻击者可利用 LibVNCServer 中 libvncserver/rfbserver.c 中的 rfbProcessClientNormalMessage 函数，通过 (1) PalmVNCSetScaleFactor 或 (2) SetScale 消息中缩放因子的零值造成拒绝服务（除以零错误和服务器崩溃）。

CVE-2014-6055

在 LibVNCServer 中，rfbserver.c 中的文件传输功能中存在多个基于堆栈的缓冲区溢出，经过身份验证的远程用户可利用此漏洞，通过 rfbFileTransferOffer 消息中的 (1) 长文件或 (2) 目录名称或 (3) FileTime 属性造成拒绝服务（崩溃）并可能执行任意代码。

CVE-2016-9941

在 LibVNCServer 中，LibVNCClient 中的 rfbproto.c 中存在基于堆的缓冲区溢出，远程服务器可利用此漏洞，通过构建的 FramebufferUpdate 消息（包含在客户端绘制区域之外的子矩形）造成拒绝服务（应用程序崩溃）或可能执行任意代码。

CVE-2016-9942

在 LibVNCServer 中，LibVNCClient 中的 ultra.c 中存在基于堆的缓冲区溢出，远程服务器可利用此漏洞，通过具有 Ultra 类型平铺的构建 FramebufferUpdate 消息，造成拒绝服务（应用程序崩溃）或可能执行任意代码，从而导致 LZO 有效负载解压缩长度超过平铺尺寸指定的长度。

CVE-2018-6307

LibVNC 文件传输扩展的服务器代码中存在堆释放后使用漏洞，可导致远程代码执行 。

CVE-2018-7225

在 LibVNCServer 中发现一个问题。
rfbserver.c 中的 rfbProcessClientNormalMessage() 未审查 msg.cct.length，导致可通过特别构建的 VNC 数据包，访问未初始化且可能敏感的数据，或者可能造成其他不明影响（例如整数溢出）。

CVE-2018-15126

LibVNC 文件传输扩展的服务器代码中存在堆释放后使用漏洞，可导致远程代码执行 。

CVE-2018-15127

LibVNC 文件传输扩展的服务器代码中存在堆越界写入漏洞，可导致远程代码执行

CVE-2018-20749

LibVNC 的 libvncserver/rfbserver.c 中存在堆越界写入漏洞。针对 CVE-2018-15127 的修复不完整。

CVE-2018-20750

LibVNC 的 libvncserver/rfbserver.c 中存在堆越界写入漏洞。针对 CVE-2018-15127 的修复不完整。

CVE-2018-20019

LibVNC 的 VNC 客户端代码中存在多个堆越界写入漏洞，可导致远程代码执行

CVE-2018-20748

LibVNC 的 libvncclient/rfbproto.c 中存在多个堆越界写入漏洞。针对 CVE-2018-20019 的修复不完整。

CVE-2018-20020

LibVNC 的 VNC 客户端代码内部结构中存在堆越界写入漏洞，可导致远程代码执行

CVE-2018-20021

LibVNC 包含 CWE-835：VNC 客户端代码中的无限循环漏洞。攻击者可利用此漏洞过度消耗 CPU 和 RAM 等资源 

CVE-2018-20022

LibVNC 包含多个漏洞 CWE-665：VNC 客户端代码中存在未正确初始化漏洞，这使得攻击者能够读取堆栈内存，并可能会遭到滥用，导致信息泄露。此漏洞与其他漏洞结合还可用于泄露堆栈内存布局并绕过 ASLR。

CVE-2018-20023

LibVNC 包含 CWE-665：VNC Repeater 客户端代码中存在未正确初始化漏洞，攻击者可利用此漏洞读取堆栈内存，并可能滥用内存泄露信息。此漏洞与其他漏洞结合还可用于泄露堆栈内存布局并绕过 ASLR。

CVE-2018-20024

LibVNC 的 VNC 客户端代码中存在空指针取消引用漏洞，可导致 DoS。

CVE-2019-15681

LibVNC 的 VNC 服务器代码中存在内存泄漏 (CWE-655)，攻击者可利用此漏洞读取堆栈内存，以及滥用内存泄露信息。此漏洞与其他漏洞结合还可用于泄露堆栈内存并绕过 ASLR。此攻击似乎可通过网络连接加以利用。

对于 Debian 8“Jessie”，这些问题已在版本 1:2.0.2+dfsg1-2+deb8u1 中修复。

我们建议您升级 italc 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现 python-ecdsa（Python 的加密签名库）未正确验证 DER 编码的签名。格式错误的签名可能导致意外异常，而在某些情况下未引发任何异常。

对于 Debian 8“Jessie”，这些问题已在版本 0.11-1+deb8u1 中修复。

我们建议您升级 python-ecdsa 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

LibVNC 的 VNC 服务器代码中存在内存泄漏 (CWE-655)，攻击者可利用此漏洞读取堆栈内存，以及滥用内存泄露信息。

对于 Debian 8“Jessie”，此问题已在版本 0.9.9+dfsg2-6.1+deb8u6 中修复。

建议您升级 libvncserver 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

imapfilter 工具（用于 lua 中脚本 IMAP 操作的实用工具）缺少服务器名称/证书对等主机名验证支持。

对于 Debian 8“Jessie”，此问题已在版本 1:2.5.2-2+deb8u1 中修复。

我们建议您升级 imapfilter 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Malte Kraus 发现，允许以 Python 编写 PAM 模块的 PAM 模块 libpam-python 未审查环境变量，如果与 setuid 二进制文件一起使用，这可导致本地特权提升。

据发现，用于操纵和转换 HTML/XML 文档和片段的通用库 ruby-loofah 容易受到跨站脚本漏洞的影响。

Emil Lerner 和 Andrew Danau 发现未充分验证 PHP FPM 的处理代码路径，此漏洞可导致攻击者在某些设置中执行任意代码。

用于发布的网站引擎 SPIP 中发现，未经身份验证的用户能够修改已发布的内容并写入数据库、进行跨站请求伪造和枚举已注册的用户。

对于 Debian 8“Jessie”，这些问题已在版本 3.0.17-2+deb8u5 中修复。

我们建议您升级 spip 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Daniel Mandragona 发现无效 DSA 公钥可导致 dsa.Verify() 发生错误，进而导致拒绝服务。

在 file（一种文件类型分类工具）中发现一个缓冲区溢出漏洞，如果处理畸形 CDF（复合文档文件），此漏洞可能会导致拒绝服务或可能执行任意代码。

在 Mozilla Firefox web 浏览器中发现多个安全问题，这些问题可能导致执行任意代码、信息泄露、跨站脚本或拒绝服务。

Debian 遵从 Firefox 的扩展的支持版本 (ESR)。对 60.x 系列的支持已终止，因此从此更新开始我们将遵从 68.x 版本。

在 proftp-dfsg（多功能虚拟托管 FTP 后台程序）中发现一个问题。

未经身份验证的远程用户可通过实现死循环触发拒绝服务，这是未正确处理过长命令

所致。

对于 Debian 8“Jessie”，此问题已在版本 1.3.5e+r1.3.5-2+deb8u4 中修复。

我们建议您升级 proftpd-dfsg 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 libxslt（用 C 编写的 XSLT 1.0 处理库）中发现一个安全漏洞。

- 在 transform.c 中的 xsltCopyText 中，在某些情况下未重置指针变量。如果相关内存区域以某种方式被释放并重新使用，则边界检查可能失败，并且系统可能会写入缓冲区外的内存，或者未初始化的数据可能会被泄露。

对于 Debian 8“Jessie”，此问题已在版本 1.1.28-2+deb8u6 中修复。

建议您升级 libxslt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 mosquitto（兼容 MQTT 版本 3.1/3.1.1 的消息代理）中发现多个问题。

CVE-2017-7655

Mosquitto 库中存在空取消引用漏洞，可导致使用该库的那些应用程序崩溃。

CVE-2018-12550

无语句的 ACL 文件被视为具有默认许可策略。空 ACL 文件的新行为是访问被拒的默认策略。 （这符合所有较新的版本）

CVE-2018-12551

密码文件中存在格式错误的身份验证数据，可导致客户端避开身份验证并访问代理。

CVE-2019-11779

针对处理构建的 SUBSCRIBE 数据包（有大约包含 65400 个或更多 '/' 字符的主题）进行修复。（将 TOPIC_HIERARCHY_LIMIT 设置为 200）

对于 Debian 8“Jessie”，这些问题已在版本 1.3.4-2+deb8u4 中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 libarchive（多格式存档与压缩库）中发现一个问题：

如果构建的存档包含多个部分，其中一部分损坏，则存档的下一部分存在释放后使用漏洞。

对于 Debian 8“Jessie”，此问题已在版本 3.1.2-11+deb8u8 中修复。

建议您升级 libarchive 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Emil Lerner、beched 和 d90pwn 在 php5-fpm（PHP 语言的快速进程管理器）中发现缓冲区下溢，此漏洞可导致远程代码执行。

根据 Web 服务器配置，实例容易受到影响，尤其是 PATH_INFO 处理实例。有关前提条件的完整列表，请参阅： https://github.com/neex/phuip-fpizdam

对于 Debian 8“Jessie”，此问题已在版本 5.6.40+dfsg-0+deb8u7 中修复。

我们建议您升级 php5 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在使用幻数确定文件类型的工具文件中发现问题。

必须限制 CDF_VECTOR 元素的数量，以防止出现基于堆的缓冲区溢出（4 位越界写入）。

对于 Debian 8“Jessie”，这一问题已在 1:5.22+15-2+deb8u6 版本中修复。

建议您升级 file 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

OpenJDK Java 运行时中发现多个漏洞，导致跨站脚本、拒绝服务、信息泄露或 Kerberos 用户冒充。

已在命令行网络流量分析器 tcpdump 中发现多个漏洞。这些漏洞可能会导致拒绝服务或执行任意代码。

在图像处理工具包 imagemagick 中发现多个漏洞。CVE-2019-11470 ReadCINImage 中审查不充分的图像大小造成的不受控制的资源消耗 (coders/cin.c) 。远程攻击者可利用此漏洞通过构建的 Cineon 图像造成拒绝服务。CVE-2019-14981 MeanShiftImage 中出现除零出错漏洞 (magick/feature.c)。远程攻击者可利用此漏洞通过构建的图像数据造成拒绝服务。CVE-2019-15139 ReadXWDImage 中的越界读取 (coders/xwd.c)。远程攻击者可利用此漏洞通过构建的 XWD（X Window 系统 window 转储文件） 图像文件造成拒绝服务。CVE-2019-15140 ReadMATImage (coders/mat.c) 中的边界检查问题，可能导致释放后使用。远程攻击者可利用此漏洞通过构建的 MAT 图像文件造成拒绝服务或任何其他不明影响。对于 Debian 8“Jessie”，这些问题已在 8:6.8.9.9-5+deb8u18 版本中修复。建议您升级 imagemagick 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

低级网络监控库 libpcap (Packet CAPture) 在分配内存前，未正确验证 PHB 标头长度。此更新增加了 PHB 标头长度的健全性检查。对于 Debian 8“Jessie”，这一问题已在 1.6.2-2+deb8u1 版本中修复。我们建议您升级 libpcap 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Graphite 中的 graphite-web/webapp/graphite/composer/views.py 的 'send_email' 功能易受到 SSRF 影响。攻击者可使用易受攻击的 SSRF 端点使 Graphite Web 服务器请求任何资源。此 SSRF 请求的回应被编码成图像文件，并发送至攻击者提供的电子邮件地址。因此攻击者可泄露任何信息。对于 Debian 8“Jessie”，这一问题已在 0.9.12+debian-6+deb8u1 版本中修复。我们建议您升级 graphite-web 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Fredric 发现 MilkyTracker 中存在若干缓冲区溢出，其中提供以下简要说明。CVE-2019-14464 MilkyTracker 中的 milkyplay 的 XMFile.cpp 中 XMFile::read 存在基于堆的缓冲区溢出。CVE-2019-14496 MilkyTracker 中的 milkyplay 的 LoaderXM.cpp 中 LoaderXM::load 存在基于堆栈的缓冲区溢出。CVE-2019-14497 MilkyTracker 中的 tracker/ModuleEditor.cpp 的 ModuleEditor::convertInstrument 存在基于堆的缓冲区溢出。对于 Debian 8“Jessie”，这些问题已在 0.90.85+dfsg-2.2+deb8u1 版本中修复。我们建议您升级 milkytracker 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

用于协同工作的网站引擎 MediaWiki 的特殊：重定向功能可能暴露抑制的用户名称，导致信息泄露。

发现 GNU 拼写检查程序 Aspell 错误处理某些输入，导致基于堆栈的缓冲区过度读取问题。攻击者可能会访问敏感信息。对于 Debian 8“Jessie”，这一问题已在 0.60.7~20110707-1.3+deb8u1 版本中修复。我们建议您升级 aspell 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 nfs-utils 程序包（为网络文件系统 (NFS) 提供支持文件，包括 rpc.statd daemon）中，目录 /var/lib/nfs 由 statd:nogroup 拥有。此目录包含由根拥有和管理的文件。如果 statd 遭到入侵，可诱使以根权限运行的进程在系统上创建/覆盖文件。对于 Debian 8“Jessie”，这一问题已在 1.2.8-9+deb8u1 版本中修复。我们建议您升级 nfs-utils 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 sudo（为特定用户提供有限超级用户权限的程序）中，具有 Runas ALL sudoer 帐户访问权限的攻击者可绕过某些政策黑名单和会话 PAM 模块，使用构造的用户 ID 可能造成不正确日志记录。例如，这允许绕过 'sudo -u#-1' 命令的 (ALL,!root) 配置。访问 https://www.sudo.ws/alerts/minus_1_uid.html 了解详细信息。对于 Debian 8 'Jessie'，这一问题已在 1.8.10p3-1+deb8u6 版本中修复。我们建议您升级 sudo 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

修复 CVE-2019-10871 损坏 xpdf。已恢复该更改，直至开发出更好的修复。对于 Debian 8“Jessie”，这一问题已在 0.18_0.26.5-2+deb8u13 版本中修复。我们建议您升级 poppler 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在流行的内容管理框架 Wordpress 中发现多个跨站脚本 (XSS) 漏洞。攻击者可使用此类缺陷向毫无防范的用户发送恶意脚本。对于 Debian 8“Jessie”，这些问题已在 4.1.27+dfsg-0+deb8u1 版本中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

X41 D-Sec 发现 unbound（一种验证、递归和缓存 DNS 解析器）未正确处理某些 NOTIFY 查询。
这可通过应用程序崩溃导致远程拒绝服务。

Joe Vennix 发现，当配置以允许用户通过 Runas 规范中的 ALL 关键字作为任意用户运行命令时，sudo（旨在为特定用户提供有限超级用户权限的程序）可通过将用户 ID 指定为 -1 或 4294967295 运行命令。具有足够 sudo 权限的用户可以 root 身份运行命令，即使 Runas 规范明确禁用 root 访问。

详细信息位于 https://www.sudo.ws/alerts/minus_1_uid.html  处的上游公告中。

发现“xtrlock”屏幕锁定实用工具未禁用多点触控设备。

xtrlock 未拦截多点触控事件，攻击者仍可通过所谓的“多点触控”事件（包括平移滚动、“缩紧和缩放”）输入并控制 Chromium 等各种程序，甚至可以通过按一下触摸板后用食指点击来执行常规的鼠标点击操作。

对于 Debian 8“Jessie”，此问题已在 xtrlock 版本 2.6+deb8u1 中修复。但是，此修复不适用于攻击者在屏幕锁定*之后*插入多点触控设备的情况。有关更多信息，请参见：

https://bugs.debian.org/830726#115

我们建议您升级 xtrlock 程序包，以待更深入地修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

此更新包含 tzdata 2019c 中针对 Perl 绑定所做的变更。有关变更列表，请参阅 DLA-1957-1。

对于 Debian 8“Jessie”，此问题已在版本 1:1.75-2+2019c 中修复。

我们建议您升级 libdatetime-time zone-perl 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

此更新包含 tzdata 2018c 中的变更。值得注意的变更：

  - 巴西已取消 DST，并将无限期执行标准时间。

  - 斐济下次 DST 切换时间是 2019 年 11 月 10 日和 2020 年 1 月 12 日，而不是 2019 年 11 月 3 日和 2020 年 1 月 19 日。

  - 诺福克岛将从 2019 年春季开始遵守澳式 DST。首次切换时间是 2019 年 10 月 6 日。

对于 Debian 8“Jessie”，此问题已在版本 2019c-0+deb8u1 中修复。

我们建议您升级 tzdata 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

已在命令行网络流量分析器 tcpdump 中发现多个漏洞。这些安全漏洞可导致拒绝服务或执行任意代码。

对于 Debian 8“Jessie”，这些问题已在版本 4.9.3-1~deb8u1 中修复。

建议您升级 tcpdump 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ruby-openid 先执行发现操作，然后进行验证。攻击者可利用此漏洞，更改用于发现的 URL，并诱骗服务器连接至此 URL。此服务器转而成为个人服务器，不可公开访问。

此外，如果使用此库的客户端公开连接错误，则会向攻击者泄露个人服务器的信息。

对于 Debian 8“Jessie”，此问题已在版本 2.5.0debian-1+deb8u1 中修复。

我们建议您升级 ruby-openid 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 lucene-solr（企业搜索服务器）中发现一个安全漏洞。

DataImportHandler（从数据库和其他来源引入数据的可选热门模块）具有特定功能，可通过请求的“dataConfig”参数提供整个 DIH 配置。DIH 管理屏幕的调试模式可利用此漏洞，以便捷的方式调试/开发 DIH 配置。由于 DIH 配置可包含脚本，此参数存在安全风险。从现在开始，使用此参数需要将 Java 系统属性“enable.dih.dataConfigParam”设置为 true。例如，为此可使用 solr-tomcat 将 -Denable.dih.dataConfigParam=true 添加至 /etc/default/tomcat7 中的 JAVA_OPTS。

对于 Debian 8“Jessie”，此问题已在版本 3.6.2+dfsg-5+deb8u3 中修复。

建议您升级 lucene-solr 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

随 DLA 1953-1 一起发布的 clamav 更新导致 /var/run/clamav 受到权限问题影响。此漏洞导致多个用户重新启动 clamav 后台程序时遇到问题。此回归是此更新所基于的 stretch 程序包中存在错误向后移植的修补程序所致。

对于 Debian 8“Jessie”，这一问题已在 0.101.4+dfsg-0+deb8u2 版本中修复。

建议您升级 clamav 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现适用于 AIX 和 Cisco 日志消息的解析器中的 rsyslog 系统/内核日志记录后台程序中分别存在两个漏洞。

对于 Debian 8“Jessie”，这些问题已在 rsyslog 版本 8.4.2-1+deb8u3 中修复。

我们建议您升级 rsyslog 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

发现 libtomcrypt 加密库中存在拒绝服务漏洞。

通过精心构建的“DER”编码数据（例如，导入 X.509 证书），可造成越界读取和崩溃。

对于 Debian 8“Jessie”，此问题已在 libtomcrypt 版本 1.17-6+deb8u1 中修复。

建议您升级 libtomcrypt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	严重性
130611	Debian DLA-1983-1：simplesamlphp 安全更新	high
130525	Debian DSA-4559-1：proftpd-dfsg - 安全更新	high
130524	Debian DSA-4558-1：webkit2gtk - 安全更新	high
130523	Debian DLA-1982-1：openafs 安全更新	high
130522	Debian DLA-1981-1：cpio 安全更新	high
130521	Debian DLA-1980-1：wordpress 安全更新	critical
130438	Debian DSA-4557-1：libarchive - 安全更新	high
130437	Debian DSA-4556-1：qtbase-opensource-src - 安全更新	medium
130408	Debian DLA-1979-1：italc 安全更新	critical
130407	Debian DLA-1978-1：python-ecdsa 安全更新	critical
130406	Debian DLA-1977-1：libvncserver 安全更新	high
130405	Debian DLA-1976-1：imapfilter 安全更新	high
130369	Debian DSA-4555-1：pam-python - 安全更新	high
130351	Debian DSA-4554-1：ruby-loofah - 安全更新	medium
130350	Debian DSA-4553-1：php7.3 - 安全更新	critical
130349	Debian DSA-4552-1：php7.0 - 安全更新	critical
130348	Debian DLA-1975-1：spip - 安全更新	medium
130290	Debian DSA-4551-1：golang-1.11 - 安全更新	high
130289	Debian DSA-4550-1：file - 安全更新	high
130288	Debian DSA-4549-1：firefox-esr - 安全更新	high
130287	Debian DLA-1974-1：proftpd-dfsg 安全更新	high
130286	Debian DLA-1973-1：libxslt 安全更新	high
130285	Debian DLA-1972-1：mosquitto 安全更新	high
130284	Debian DLA-1971-1：libarchive 安全更新	high
130283	Debian DLA-1970-1：php5 安全更新	critical
130182	Debian DLA-1969-1：文件安全更新	high
130136	Debian DSA-4548-1 : openjdk-8 - 安全更新	medium
130135	Debian DSA-4547-1 : tcpdump - 安全更新	critical
130134	Debian DSA-4546-1 : openjdk-11 - 安全更新	medium
130133	Debian DLA-1968-1 : imagemagick 安全更新	high
130132	Debian DLA-1967-1 : libpcap 安全更新	medium
130131	Debian DLA-1962-1 : graphite-web 安全更新	high
130130	Debian DLA-1961-1 : milkytracker 安全更新	high
130073	Debian DSA-4545-1 : mediawiki - 安全更新	medium
130072	Debian DLA-1966-1 : aspell 安全更新	critical
130071	Debian DLA-1965-1 : nfs-utils 安全更新	critical
130031	Debian DLA-1964-1 : sudo 安全更新	high
130030	Debian DLA-1963-2 : poppler 回归更新	medium
130029	Debian DLA-1960-1：wordpress 安全更新	medium
129985	Debian DSA-4544-1：unbound - 安全更新	high
129856	Debian DSA-4543-1：sudo - 安全更新	high
129855	Debian DLA-1959-1：xtrlock 安全更新	medium
129854	Debian DLA-1958-1：libdatetime-timezone-perl 新上游版本	high
129853	Debian DLA-1957-1：tzdata 新上游版本	high
129828	Debian DLA-1955-1：tcpdump 安全更新	critical
129801	Debian DLA-1956-1：ruby-openid 安全更新	critical
129800	Debian DLA-1954-1：lucene-solr 安全更新	high
129799	Debian DLA-1953-2：clamav 回归更新	critical
129766	Debian DLA-1952-1：rsyslog 安全更新	high
129765	Debian DLA-1951-1：libtomcrypt 安全更新	critical

检测

Nessus 的 Debian Local Security Checks 系列

high

high

high

high

high

critical

high

medium

critical

critical

high

high

high

medium

critical

critical

medium

high

high

high

high

high

high

high

critical

high

medium

critical

medium

high

medium

high

high

medium

critical

critical

high

medium

medium

high

high

medium

high

high

critical

critical

high

critical

high

critical