Samuel R Lovejoy 发现，dnsmasq 中存在安全漏洞。精心构建的 DNS 服务器数据包可能会造成越界读取操作，可能会导致崩溃和拒绝服务。对于 Debian 8“Jessie”，这一问题已在 2.72.-3+deb8u5 版本中修复。建议您升级 dnsmasq 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

此程序包忽略了哈希标头的值，这使得攻击者能够对其进行伪造。攻击者除了能嵌入任意 Armor 标头外，还能够在明文消息前面加上任意文本，而无需使签名失效。对于 Debian 8“Jessie”，这一问题已在 0.0~hg190-1+deb8u2 版本中修复。我们建议您升级 golang-go.crypto 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。此更新后的公告问题提到了额外的非安全性变更，并注明了需要安装新的二进制程序包。CVE-2019-0136 wifi soft-MAC 实现 (mac80211) 中发现未正确验证通道直接链路建立 (TDLS) 消息。邻近的攻击者可能会利用此漏洞造成拒绝服务（wifi 连接丢失）。CVE-2019-9506 Daniele Antonioli、Nils Ole Tippenhauer 和 Kasper Rasmussen 发现，蓝牙配对协议中存在漏洞，称为“KNOB 攻击”。配对过程中邻近的攻击者可能会利用此漏洞削弱已配对设备间的加密，并随之窃听和/或伪造设备间的通信。此更新要求加密密钥最小长度为 56 位，缓解了此攻击。CVE-2019-11487 Jann Horn 发现，FUSE（用户空间文件系统）设施可能会受到利用，造成页面引用计数中整数溢出，从而导致释放后使用。在物理内存不足的系统上，有权限创建任意 FUSE 挂载的本地用户可能会利用此漏洞提升权限。在默认情况下，非特权用户仅可以通过 fusermount 挂载 FUSE 文件系统，会限制创建的挂载数量，因此能够完全缓解此问题。CVE-2019-15211 syzkaller 工具发现，radio-raremono 驱动程序中存在缺陷，可能会造成释放后使用。能够添加和删除 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15212 syzkaller 工具发现，如果 rio500 驱动程序绑定了超过一台设备，则无法正常运行。能够添加 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15215 syzkaller 工具发现，cpia2_usb 驱动程序中存在缺陷，可能会造成释放后使用。能够添加和删除 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15216 syzkaller 工具发现，yurex 驱动程序中存在缺陷，可能会造成释放后使用。能够添加和删除 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15218 syzkaller 工具发现，smsusb 驱动程序未验证 USB 设备拥有预期的端点，可能会造成空指针取消引用。能够添加 USB 设备的攻击者可利用此问题造成拒绝服务（缺陷/错误）。CVE-2019-15219 syzkaller 工具发现，sisusbvga 驱动程序中存在设备初始化错误，可能会造成空指针取消引用。能够添加 USB 设备的攻击者可利用此问题造成拒绝服务（缺陷/错误）。CVE-2019-15220 syzkaller 工具发现，p54usb 驱动程序中存在争用条件，可能会造成释放后使用。能够添加和删除 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15221 syzkaller 工具发现，line6 驱动程序未验证 USB 设备的最大数据包大小，可能会造成堆缓冲区溢出。能够添加 USB 设备的攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。CVE-2019-15292 Hulk Robot 工具发现，Appletalk 协议实现中缺少错误检查，可能会造成释放后使用。此漏洞的安全影响尚不明确。CVE-2019-15538 Benjamin Moody 报告，由于磁盘配额，chgrp 命令失败后 XFS 操作会挂起。使用 XFS 和磁盘配额的系统上的本地用户可利用此问题造成拒绝服务。CVE-2019-15666 Hulk Robot 工具发现，网络转换 (xfrm) 层中范围检查不正确，可能会造成越界内存访问。具有 CAP_NET_ADMIN 能力的本地用户（以任何用户命名空间）可利用此问题造成拒绝服务（内存损坏或崩溃）或可能升级权限。CVE-2019-15807 Jian Luo 报告，Serial Attached SCSI 库 (libsas) 未正确处理 SAS 扩展器以外发现设备失败。此漏洞可能会造成资源泄露和崩溃（缺陷）。此漏洞的安全影响尚不明确。CVE-2019-15924 Hulk Robot 工具发现，fm10k 以太网驱动程序中缺少错误检查，可能会造成空指针取消引用和崩溃（缺陷/错误）。此漏洞的安全影响尚不明确。CVE-2019-15926 ath6kl wifi 驱动程序中发现，对收到的控制数据包中流量类编号的验证不一致，可能会造成越界内存访问。同一个 wifi 网络上的邻近攻击者可利用此错误造成拒绝服务（内存损坏或崩溃），或可能造成权限提升。对于 Debian 8“Jessie”，这些问题已在 4.9.189-3~deb8u1 版本中修复。此版本也包含 Debian 错误 #930904 的修复；以及随附在上游稳定更新中的其他修复。建议您升级 linux-4.9 和 linux-latest-4.9 程序包。当二进制程序包名称变更时，您将需要使用“apt-get upgrade --with-new-pkgs”或“apt upgrade”。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Oniguruma 正则表达式库，尤其是在 PHP mbstring 中使用时，容易受到堆栈耗尽。特制的正则表达式可能会造成进程崩溃。对于 Debian 8“Jessie”，此问题已在 5.9.5-3.2~deb8u3 版本中修复。建议您升级 libonig 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

用于通过互联网传输数据的库和命令行工具 curl 中发现堆缓冲区溢出漏洞。对于 Debian 8“Jessie”，这一问题已在 curl 版本 7.38.0-4+deb8u16 中修复。建议您升级 curl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

opensc（一系列用于访问智能卡的库和实用工具，支持加密操作）中修复了多个安全漏洞。

能够提供特制智能卡的攻击者可能会利用越界读取、缓冲区溢出和双重释放造成拒绝服务（应用程序崩溃），或可能会造成其他不明影响。

对于 Debian 8“Jessie”，这些问题已在 0.16.0-3~deb8u1 版本中修复。

建议您升级 opensc 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Docker 容器运行时间中发现三个安全漏洞：“docker cp”中 NSS 库的加载方式不安全，可能会造成以 root 特权执行代码；调试模式中可能会记录敏感数据；以及“docker build”命令中存在命令注入漏洞。

反向和正向代理服务器 Apache Traffic Server 的 HTTP/2 代码中发现多个漏洞，可能会造成拒绝服务。这些修复太具侵入性，无法向后移植到旧稳定发行版本 (stretch)。建议升级到 Debian 稳定版本 (buster) 代替。

用于 LibreOffice 解决 CVE-2019-9852 的修复中发现代码不完整。有关更多信息，请访问。

GPL PostScript/PDF 解释器 Ghostscript 中发现多个进程未正确限制特权调用，这些漏洞可能导致绕过 dSAFER 沙盒的文件系统限制。对于 Debian 8“Jessie”，这些问题已在 9.26a~dfsg-0+deb8u5 版本中修复。我们建议您升级 ghostscript 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Java 网络加载协议 (JNLP) 的一种实现 icedtea-web 中发现多个安全漏洞。CVE-2019-10181 icedtea-web 可执行代码中发现可能被注入 JAR 文件，而不破坏签名验证。攻击者可能会利用此缺陷在受信任的 JAR 中注入代码。此代码会在沙盒内执行。CVE-2019-10182 icedtea-web 中发现未正确清理来自 JNLP 文件中 <jar/> 元素的路径。攻击者可能会诱骗受害者运行特别构建的应用程序，并利用此缺陷向用户环境中的任意位置上传任意文件。CVE-2019-10185 icedtea-web 中发现，在自动提取 JAR 文件的过程中容易受到 zip-slip 攻击。攻击者可利用此缺陷向任意位置写入文件。此缺陷还可用于替换运行中的主应用程序，并可能会突破沙盒。对于 Debian 8“Jessie”，这些问题已在 1.5.3-1~deb8u1 版本中修复。我们建议您升级 icedtea-web 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

GPL PostScript/PDF 解释器 Ghostscript 中发现多个进程未正确限制特权调用，这些漏洞可能导致绕过 dSAFER 沙盒的文件系统限制。

“Zerons”和 Qualys 发现，Exim 邮件传输代理的 TLS 协商代码中存在可触发的缓冲区溢出，可能会造成以 root 特权执行任意代码。

内存中对象缓存系统 memcached 中发现基于堆栈的缓冲区过度读取。对于 Debian 8“Jessie”，这一问题已在 memcached 版本 1.4.21-1.1+deb8u3 中修复。建议您升级 memcached 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

XML 解析库 expat 中发现基于堆的缓冲区过度读取漏洞。特别构建的 XML 输入可能欺骗解析器过早从 DTD 解析到文件解析；连续调用 XML_GetCurrentLineNumber（或 XML_GetCurrentColumnNumber）可导致基于堆的缓冲区过度读取。对于 Debian 8“Jessie”，这一问题已在 expat 版本 2.1.0-6+deb8u6 中修复。建议您升级 expat 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

“Zerons”和 Qualys 发现，Exim 邮件传输代理的 TLS 协商代码中存在可触发的缓冲区溢出，可能会造成以 root 特权执行任意代码。对于 Debian 8“Jessie”，此问题已在 4.84.2-2~deb8u6 版本中修复。我们建议您升级 exim4 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码、跨站脚本、绕过同源策略、沙盒逃逸、信息泄露或拒绝服务。对于 Debian 8“Jessie”，这些问题已在 60.9.0esr-1~deb8u1 版本中修复。建议您升级 firefox-esr 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码、跨站脚本、绕过同源策略、沙盒逃逸、信息泄露或拒绝服务。

已发现在 webkit2gtk Web 引擎中存在多个漏洞：- CVE-2019-8644 G. Geshev 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8649 Sergei Glazunov 发现的问题可能会造成通用跨站脚本。- CVE-2019-8658 akayn 发现的问题可能会造成通用跨站脚本。- CVE-2019-8666 Zongming Wang 和 Zhe Jin 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8669 akayn 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8671 Apple 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8672 Samuel Gross 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8673 Soyeon Park 和 Wen Xu 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8676 Soyeon Park 和 Wen Xu 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8677 Jihui Lu 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8678 一位匿名研究人员、Anthony Lai、Ken Wong、Jeonghoon Shin、Johnny Yu、Chris Chan、Phil Mok、Alan Ho 和 Byron Wai 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8679 Jihui Lu 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8680 Jihui Lu 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8681 G. Geshev 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8683 lokihardt 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8684 lokihardt 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8686 G. Geshev 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8687 Apple 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8688 Insu Yun 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8689 lokihardt 发现的内存损坏问题可能会造成任意代码执行。- CVE-2019-8690 Sergei Glazunov 发现的问题可能会造成通用跨站脚本。您可以在 WebKitGTK 和 WPE WebKit 安全公告 WSA-2019-0004 中查看更多详细信息。

Alf-Andre Walla 发现，Varnish web 加速器中存在远程可触发的断言；发送格式错误的 HTTP 请求可能会造成拒绝服务。旧稳定发行版本 (stretch) 不受影响。

FreeType 2 字体引擎中修复了多个新引用的问题。CVE-2015-9381 type1/t1parse.c 的 T1_Get_Private_Dict 中存在基于堆的缓冲区过度读取 CVE-2015-9382 由于 FT_New_Memory_Face 操作中未正确处理 ps_parser_skip_PS_token，因此 psaux/psobjs.c 的 skip_comment 中存在缓冲区过度读取 CVE-2015-9383 sfnt/ttcmap.c 的 tt_cmap14_validate 中存在基于堆的缓冲区过度读取 对于 Debian 8“Jessie”，这些问题已在 2.5.2-3+deb8u4 版本中修复。建议您升级 freetype 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Stefan Metzmacher 发现，在适用于 Unix 的 SMB/CIFS 文件、打印及登录服务器 Samba 中存在缺陷。特定的参数和权限组合可让用户从共享路径定义中逃逸，并查看完整的“/”文件系统。内核中仍会执行 Unix 权限检查。可在上游公告中找到详细信息：https://www.samba.org/samba/security/CVE-2019-10197.html

快速处理器仿真器 QEMU 中发现多个安全问题，可能会造成拒绝服务、执行任意代码或绕过 ACL。

nghttp2 HTTP 服务器的 HTTP/2 代码中发现两个漏洞，可能会造成拒绝服务。

pump BOOTP 和 DHCP 客户端中发现任意代码执行漏洞。在复制服务器响应的正文时，以太网数据包长度可能会受到伪造，造成最多覆写“ETH_FRAME_LEN - sizeof(*ipHdr) - sizeof(*udpHdr) - sizeof(*bresp)”个字节的堆栈内存。感谢 <ltspro2@secmail.pro> 报告和修复。对于 Debian 8“Jessie”，这一问题已在 pump 版本 0.8.24-7+deb8u1 中修复。建议您升级 pump 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已修正 libav 多媒体库的多个多路分解器和解码器中的多个安全问题。CVE-2017-9987 在 Libav 中，mpegvideo_motion.c 的函数 hpel_motion 中存在基于堆的缓冲区溢出。特制的输入将会导致远程拒绝服务攻击。CVE-2018-5766 在 Libav 中，libavcodec/avpacket.c 的 av_packet_ref 函数中存在无效的 memcpy。远程攻击者可利用此漏洞，通过特制的 avi 文件，造成拒绝服务（段错误）。CVE-2018-11102 libavformat/mov.c 的 mov_probe 函数中存在读取访问违规，可让远程攻击者造成拒绝服务（应用程序崩溃），这一点已由 avconv 证实。CVE-2019-14372 在 Libav 中，file wvdec.c 的函数 wv_read_block_header() 中存在无限循环。CVE-2019-14442 在 libavformat/mpc8.c 的 mpc8_read_header 中，输入文件可能会造成 avio_seek 无限循环和挂起，并消耗 100% CPU。攻击者可利用此漏洞，通过特制文件，造成拒绝服务。对于 Debian 8“Jessie”，这些问题已在 6:11.12-1~deb8u8 版本中修复。建议您升级 libav 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

面向对象的交互式高级语言 Python 中发现漏洞，此漏洞与 cookie 处理有关。攻击者利用恶意服务器可能会窃取用于其他域的 cookie 对于 Debian 8“Jessie”，这一问题已在 2.7.9-2+deb8u4 版本中修复。我们建议您升级 python2.7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

GOsa² 使用反序列化来存储 cookie 中的筛选器设置。由于此 cookie 受到客户端支持，因此经过身份验证的用户可能会传递任意内容进行反序列化，从而打开 GOsa²，最高可能会造成潜在的 PHP 对象注入。对于 Debian 8“Jessie”，这一问题已在 2.7.4+reloaded2-1+deb8u5 版本中修复。建议您升级 gosa 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

jianglin 发现，用于从任意类型的文件中提取元数据的库 libextractor 中存在问题。特制的文件可能会造成 dvi_extractor.c 的函数 EXTRACTOR_dvi_extract_method 中堆缓冲区溢出漏洞。对于 Debian 8“Jessie”，此问题已在版本 1:1.3-2+deb8u5 中修复。建议您升级 libextractor 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在版本控制系统 Subversion 中发现多个漏洞。通用漏洞和暴露计划识别以下问题：CVE-2018-11782 Ace Olszowka 报告，当格式正确的只读请求生成了特定应答时，Subversion 的 svnserve 服务器进程可能会退出，从而造成拒绝服务。CVE-2019-0203 Tomas Bortoli 报告，当客户端发送了特定的协议命令序列时，Subversion 的 svnserve 服务器进程可能会退出。如果服务器的配置中启用了匿名访问，则可能会造成远程未经身份验证的拒绝服务。对于 Debian 8“Jessie”，这些问题已在 1.8:10-6+deb8u7 版本中修复。我们建议您升级 subversion 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Hongxu Chen 发现，用于处理 DjVu 格式图像的一种库和一系列工具 djvulibre 中存在多个问题。在处理特制文件作为输入时，这些问题包括堆缓冲区溢出、堆栈溢出、无限循环和无效读取。对于 Debian 8“Jessie”，这些问题已在 3.5.25.4-4+deb8u1 版本中修复。建议您升级 djvulibre 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Nick Roessler 和 Rafi Rubin 发现，Dovecot 电子邮件服务器中的 IMAP 和 ManageSieve 协议解析器未正确验证输入（包括登录前和登录后）。远程攻击者可能会利用此缺陷触发越界堆内存写入，从而造成信息泄露，或可能会造成执行任意代码。对于 Debian 8“Jessie”，这一问题已在 1:2.2.13-12~deb8u7 版本中修复。我们建议您升级 dovecot 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Nick Roessler 和 Rafi Rubin 发现，Dovecot 电子邮件服务器中的 IMAP 和 ManageSieve 协议解析器未正确验证输入（包括登录前和登录后）。远程攻击者可能会利用此缺陷触发越界堆内存写入，从而造成信息泄露，或可能会造成执行任意代码。

DLA-1900-1 发布的 apache2 更新中包含的 CVE-2019-10092（影响到 mod_proxy 错误页面的有限跨站脚本问题）修复不完整。旧版补丁还会引入新的 CSRF 保护措施，可能会造成回归，即通过平衡器管理器无法动态更改平衡器中的成员状态。此更新还原了更改，并提供了正确的上游补丁解决 CVE-2019-10092。对于 Debian 8“Jessie”，此问题已在 2.4.10-10~deb8u16 版本中修复。我们建议您升级 apache2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Freeware 高级音频编码器 faad2 中发现多个漏洞：CVE-2018-19502 函数 excluded_channels (libfaad/syntax.c) 中存在堆缓冲区溢出。此漏洞可让远程攻击者通过构建的 MPEG AAC 数据造成拒绝服务。CVE-2018-20196 函数 calculate_gain (libfaad/br_hfadj.c) 中存在堆栈缓冲区溢出。此漏洞可让远程攻击者通过构建的 MPEG AAC 数据造成拒绝服务或任何不明的影响。CVE-2018-20199 CVE-2018-20360 函数 ifilter_bank (libfaad/filtbank.c) 中存在空指针取消引用。此漏洞可让远程攻击者通过构建的 MPEG AAC 数据造成拒绝服务。CVE-2019-6956 函数 ps_mix_phase (libfaad/ps_dec.c) 中存在全局缓冲区溢出。此漏洞可让远程攻击者通过构建的 MPEG AAC 数据造成拒绝服务或任何其他不明的影响。CVE-2019-15296 函数 faad_resetbits (libfaad/bits.c) 中存在缓冲区溢出。此漏洞可让远程攻击者通过构建的 MPEG AAC 数据造成拒绝服务。对于 Debian 8“Jessie”，这些问题已在 2.7-8~deb8u3 版本中修复。我们建议您升级 faad2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 Apache HTTPD 服务器中存在多个漏洞。- CVE-2019-9517 Jonathan Looney 报告，恶意客户端可能会通过请求占满连接，且基本上从不读取 TCP 连接的响应，从而发动拒绝服务攻击（耗尽 h2 工作进程）。- CVE-2019-10081 Craig Young 报告，HTTP/2 PUSH 可能会造成推送请求池中内存覆写过度写入，从而导致崩溃。- CVE-2019-10082 Craig Young 报告，在连接关闭时，HTTP/2 会话处理可能会被用于读取释放后的内存。- CVE-2019-10092 Matei 'Mal' Badanoiu 报告，mod_proxy 错误页面中存在有限的跨站脚本漏洞。- CVE-2019-10097 Daniel McCarney 报告，当 mod_remoteip 配置为使用受信任的使用“PROXY”协议的中介代理服务器时，特别构建的 PROXY 标头可能会触发堆栈缓冲区溢出或空指针取消引用。此漏洞只能通过受信任的代理触发，而不能通过不受信任的 HTTP 客户端触发。此问题不会影响 stretch 版本。- CVE-2019-10098 Yukitsugu Sasaki 报告，mod_rewrite 模块中可能存在开放重定向漏洞。

H2O HTTP 服务器的 HTTP/2 代码中发现三个漏洞，可能会造成拒绝服务。

快速处理器仿真器 QEMU 中发现多个安全问题，可能会造成拒绝服务、执行任意代码或绕过 ACL。此外，此更新还修复了可能会造成 NBD 连接挂起的回归。

已在网络监控应用程序 xymon 中发现多个漏洞。远程攻击者可能会在 CGI 解析代码中利用这些漏洞（包括缓冲区溢出和 XSS），从而造成拒绝服务或其他任何不明影响。对于 Debian 8“Jessie”，这些问题已在 4.3:17-6+deb8u2 版本中修复。建议您升级 xymon 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

功能完善的 web 代理缓存 Squid 中发现多个漏洞。HTTP 摘要身份验证处理、HTTP 基本身份验证处理和 cachemgr.cgi 中存在缺陷，可让远程攻击者发动拒绝服务和跨站脚本攻击，以及可能会执行任意代码。

Even Rouault 发现，为标签图像文件格式提供支持的库 tiff 中存在问题。基于未定义的编译器行为错误处理整数溢出检查，可能会造成应用程序崩溃。对于 Debian 8“Jessie”，此问题已在 4.0.3-12.3~deb8u9 版本中修复。建议您升级 tiff 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

用于操纵 JavaBeans 代码的实用工具 commons-beanutils 中发现远程任意代码漏洞。对于 Debian 8“Jessie”，这一问题已在 commons-beanutils 版本 1.9.2-1+deb8u1 中修复。我们建议您升级 commons-beanutils 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

JsHuang 发现，Microsoft 压缩格式库 libmspack 中存在问题。打开特制的 chm 文件可能会造成缓冲区溢出，从而泄露机密信息。对于 Debian 8“Jessie”，这一问题已在 0.5.-1+deb8u4 版本中修复。建议您升级 libmspack 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Compass Security Schweiz AG 发现，Apache 的 OpenID 连接身份验证模块 libapache2-mod-auth-openidc 中存在问题。OIDCRedirectURI 页面包含已生成的 JavaScript 代码，该代码使用轮询参数作为字符串变量，因此可能会包含额外的 JavaScript 代码。此漏洞可能会造成跨站脚本 (XSS)。对于 Debian 8“Jessie”，此问题已在 1.6.0-1~deb8u1 版本中修复。我们建议您升级 libapache2-mod-auth-openidc 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

高性能 web 和反向代理服务器 Nginx 的 HTTP/2 代码中发现三个漏洞，可能会造成拒绝服务。

通用 UNIX 打印系统 (tm) cups 中发现两个问题。

两个 CVE（CVE-2019-8675 和 CVE-2019-8696）主要是 libcup 的两个函数中堆栈缓冲区溢出。其中一个发生在 asn1_get_type() 中，另一个发生在 asn1_get_packed() 中。

对于 Debian 8“Jessie”，这些问题已在 1.7:5-11+deb8u5 版本中修复。

我们建议您升级 cups 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

VLC 媒体播放器中发现多个安全问题，如果处理了格式错误的文件/流，可能会造成执行任意代码或拒绝服务。

Python 的宏 web 框架 Flask 中包含 CWE-20：不当输入验证漏洞，该漏洞可能造成使用大量的内存，并可能导致拒绝服务。攻击者似乎可通过提供错误编码的 JSON 数据利用此攻击。对于 Debian 8“Jessie”，此问题已在 0.10.1-2~deb8u1 版本中修复。建议您升级 flask 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Go 编程语言中发现三个漏洞；“net/url”接受了 URL 中的某些无效主机，可能会造成某些应用程序中授权绕过，且 HTTP/2 实现容易受到拒绝服务。

在 FFmpeg 多媒体框架中发现数个漏洞，如果处理格式错误的文件/流，可导致拒绝服务或执行任意代码。

ID	名称	严重性
128781	Debian DLA-1921-1：dnsmasq 安全更新	high
128780	Debian DLA-1920-1：golang-go.crypto 安全更新	medium
128779	Debian DLA-1919-2：linux-4.9 安全更新	critical
128778	Debian DLA-1918-1：libonig 安全更新	high
128777	Debian DLA-1917-1：curl 安全更新	critical
128743	Debian DLA-1916-1：opensc 安全更新	medium
128622	Debian DSA-4521-1：docker.io - 安全更新	critical
128621	Debian DSA-4520-1：trafficserver - 安全更新（空帧洪流）（Ping 洪流）（重置洪流）（设置洪流）	high
128620	Debian DSA-4519-1：libreoffice - 安全更新	high
128619	Debian DLA-1915-1：ghostscript 安全更新	critical
128618	Debian DLA-1914-1：icedtea-web 安全更新	high
128560	Debian DSA-4518-1：ghostscript 安全更新	critical
128559	Debian DSA-4517-1：exim4 - 安全更新	critical
128558	Debian DLA-1913-1：memcached 安全更新	high
128557	Debian DLA-1912-1：expat 安全更新	high
128556	Debian DLA-1911-1：exim4 安全更新	critical
128555	Debian DLA-1910-1：firefox-esr 安全更新	critical
128534	Debian DSA-4516-1：firefox-esr - 安全更新	critical
128511	Debian DSA-4515-1：webkit2gtk - 安全更新	high
128510	Debian DSA-4514-1：varnish - 安全更新	high
128509	Debian DLA-1909-1：freetype 安全更新	high
128479	Debian DSA-4513-1：samba - 安全更新	critical
128430	Debian DSA-4512-1：qemu - 安全更新	high
128429	Debian DSA-4511-1：nghttp2 - 安全更新（数据 Dribble）（资源循环）	high
128428	Debian DLA-1908-1：pump 安全更新	high
128427	Debian DLA-1907-1：libav 安全更新	high
128426	Debian DLA-1906-1：python2.7 安全更新	medium
128425	Debian DLA-1905-1：gosa 安全更新	medium
128424	Debian DLA-1904-1：libextractor 安全更新	medium
128395	Debian DLA-1903-1：子版本安全更新	high
128394	Debian DLA-1902-1：djvulibre 安全更新	medium
128393	Debian DLA-1901-1：dovecot 安全更新	critical
128307	Debian DSA-4510-1：dovecot - 安全更新	critical
128306	Debian DLA-1900-2：apache2 回归更新	medium
128305	Debian DLA-1899-1：faad2 安全更新	high
128182	Debian DSA-4509-1：apache2 - 安全更新（内部数据缓冲）	critical
128181	Debian DSA-4508-1：h2o - 安全更新（Ping 洪流）（重置洪流）（设置洪流）	high
128180	Debian DSA-4506-1：qemu - 安全更新	critical
128179	Debian DLA-1898-1：xymon 安全更新	critical
128125	Debian DSA-4507-1：squid - 安全更新	critical
128124	Debian DLA-1897-1：tiff 安全更新	medium
128123	Debian DLA-1896-1：commons-beanutils 安全更新	high
128122	Debian DLA-1895-1：libmspack 安全更新	medium
128121	Debian DLA-1894-1：libapache2-mod-auth-openidc 安全	medium
128083	Debian DSA-4505-1：nginx - 安全更新（0 长度标头泄露）（数据 Dribble）（资源循环）	high
128082	Debian DLA-1893-1：cups 安全更新	high
128066	Debian DSA-4504-1：vlc - 安全更新	critical
128038	Debian DLA-1892-1：flask 安全更新	high
127930	Debian DSA-4503-1：golang-1.11 - 安全更新（Ping 洪流）（重置洪流）	critical
127929	Debian DSA-4502-1：ffmpeg - 安全更新	critical

检测

Nessus 的 Debian Local Security Checks 系列

high

medium

critical

high

critical

medium

critical

high

high

critical

high

critical

critical

high

high

critical

critical

critical

high

high

high

critical

high

high

high

high

medium

medium

medium

high

medium

critical

critical

medium

high

critical

high

critical

critical

critical

medium

high

medium

medium

high

high

critical

high

critical

critical