用户“Arminius”发现，增强版的标准 UNIX 编辑器 Vi (Vi Improved) Vim 中存在漏洞，此漏洞还会影响到 Neovim 分叉（一种聚焦于现代代码和功能的可扩展编辑器）：编辑器通常会提供一种方式嵌入编辑器配置命令（又称为 modelines），当打开文件时就会执行，而沙盒机制会过滤有害的命令。据发现，“source”命令（用于加载和执行另一个文件）未受到过滤，通过在 Neovim 中打开精心构建的文件可能会造成 shell 命令执行。

OpenJDK Java 运行时中发现多个漏洞，导致信息泄露、拒绝服务或绕过沙盒限制。此外，椭圆曲线加密的实现也进行了升级。

Jann Horn 发现，Linux 内核中的 ptrace 子系统未正确处理想要创建 ptrace 关系的进程凭据管理，这使得本地用户在特定情况下能够获得 root 特权。对于 Debian 8“Jessie”，此问题已在 4.9.168-1+deb9u4~deb8u1 版本中修复。我们建议您升级 linux-4.9 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Linux 内核中发现多个可能导致权限升级、拒绝服务或信息泄漏的漏洞。CVE-2019-2101 Andrey Konovalov 发现，USB Video Class 驱动程序 (uvcvideo) 对设备描述符中的类型字段处理不一致，可能会造成堆缓冲区溢出。这可以被利用来造成拒绝服务，或可能实现权限升级。CVE-2019-10639 Amit Klein 和 Benny Pinkas 发现，IP 数据包 ID 的生成使用了包含内核虚拟地址的弱哈希函数。在 Linux 3.16 中，此哈希函数不会用于 IP ID，而是用于网络堆栈中的其他用途。在启用了 kASLR 的自定义内核配置中，此漏洞可能会削弱 kASLR。CVE-2019-13272 Jann Horn 发现，Linux 内核中的 ptrace 子系统未正确处理想要创建 ptrace 关系的进程凭据管理，这使得本地用户在特定情况下能够获得 root 特权。对于 Debian 8“Jessie”，这些问题已在 3.16.70-1 版本中修复。此更新还修复了 CVE-2019-11478 的原始补丁 (#930904) 中引入的回归，并包含有来自上游稳定更新的其他修复。建议您升级 linux 和 linux-latest 程序包。当二进制程序包名称变更时，您将需要使用“apt-get upgrade --with-new-pkgs”或“apt upgrade”。建议您升级 linux 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

图像文件加载库 libsdl2-image 中发现下列问题。CVE-2018-3977 IMG_xcf.c 中存在堆缓冲区溢出。远程攻击者可利用此漏洞通过构建的 XCF 文件造成远程代码执行或拒绝服务。CVE-2019-5052 IMG_pcx.c 中存在整数溢出和后续的缓冲区溢出。远程攻击者可利用此漏洞通过构建的 PCX 文件造成远程代码执行或拒绝服务。CVE-2019-7635 IMG_bmp.c 中的 Blit1to4 受到堆缓冲区溢出的影响。远程攻击者可利用此漏洞通过构建的 BMP 文件造成拒绝服务或任何其他不明影响。CVE-2019-12216、CVE-2019-12217、CVE-2019-12218、CVE-2019-12219、CVE-2019-12220、CVE-2019-12221、CVE-2019-12222 IMG_pcx.c 中的 IMG_LoadPCX_RW 受到多个越界读取和写入权限的影响。远程攻击者可利用这些漏洞通过构建的 PCX 文件造成拒绝服务或任何其他不明影响。对于 Debian 8“Jessie”，这些问题已在 2.0.0+dfsg-3+deb8u2 版本中修复。我们建议您升级 libsdl2-image 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

libxslt（XSLT 1.0 处理库）中发现多个漏洞。CVE-2016-4610 无效内存访问权限可能会造成 exsltDynMapFunction DoS。libxslt 允许远程攻击者通过未知向量造成拒绝服务（内存损坏）或可能造成其他不明影响。CVE-2016-4609 xmlGetLineNoInternal() 中存在越界读取 libxslt 允许远程攻击者通过未知向量造成拒绝服务（内存损坏）或可能造成其他不明影响。CVE-2019-13117 带有特定格式字符串的 xsl:number 可能会造成 xsltNumberFormatInsertNumbers 中未初始化的读取。这使得攻击者能够辨别堆栈上的一个字节是否包含字符 A、a、I、i 或 0，还是其他任何字符。CVE-2019-13118 用于保存 xsl:number 指令中分组字符的类型过窄，无效的字符/长度组合可能会传递到 xsltNumberFormatDecimal，造成未初始化的堆栈数据读取。对于 Debian 8“Jessie”，这些问题已在 1.1:28-2+deb8u5 版本中修复。建议您升级 libxslt 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Jann Horn 发现，Linux 内核中的 ptrace 子系统未正确处理想要创建 ptrace 关系的进程凭据管理，这使得本地用户在特定情况下能够获得 root 特权。

在 Bind DNS 服务器中发现漏洞。同步 tcp 连接的限制未正确执行，可能会造成文件描述符耗尽。在最严重的情况下，此漏洞可能会影响整个系统的文件描述符。对于 Debian 8“Jessie”，这一问题已在 1:9.9.5.dfsg-9+deb8u18 版本中修复。我们建议您升级 bind9 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

用于 web 客户端的高性能代理缓存服务器 Squid 中发现容易受到与 HTTP 身份验证标头处理有关的拒绝服务攻击。CVE-2019-12525 由于缓冲区管理不正确，在处理 HTTP 摘要验证凭据时，Squid 容易受到拒绝服务攻击。由于输入验证不正确，用于摘要验证的 HTTP 请求标头解析器可能会访问分配到的内存缓冲区以外的内存。在带有内存访问权限保护的系统中，此漏洞可能会造成 Squid 进程意外终止。造成所有使用代理的客户端拒绝服务。CVE-2019-12529 由于缓冲区管理不正确，在处理 HTTP 基本验证凭据时，Squid 容易受到拒绝服务攻击。由于字符串终止不正确，基本验证凭据解码器可能会访问解码缓冲区以外的内存。在带有内存访问权限保护的系统中，此漏洞可能会造成 Squid 进程意外终止。造成所有使用代理的客户端拒绝服务。对于 Debian 8“Jessie”，这些问题已在 3.4:8-6+deb8u8 版本中修复。我们建议您升级 squid3 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 Mozilla Network 安全服务库 nss 中存在漏洞。CVE-2019-11719：导入 curve25519 私钥时发生越界读取 在 PKCS#8format 中导入前导 0x00 字节的 curve25519 私钥时，可能会在 Network Security Services (NSS) 库中触发越界读取。这可导致信息泄露。CVE-2019-11729：空或格式错误的 p256-ECDH 公钥可触发段错误 空或格式错误的 p256-ECDH 公钥可触发段错误，这是因为正确清理值后便将其复制进内存并使用。对于 Debian 8“Jessie”，这些问题已在 2:3.26-1+debu8u5 版本中修复。我们建议您升级 nss 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

将 diff 文件应用于原始文件的工具 patch 中的符号链接处理在特定情况下会出错。对于 Debian 8“Jessie”，此问题已在 2.7.5-1~deb8u2 版本中修复。建议您升级 patch 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

用于操纵包含（例如）EXIF 元数据的图像的工具 exiv2 中发现整数溢出漏洞。此漏洞可能会通过特别构建的文件造成拒绝服务。对于 Debian 8“Jessie”，这一问题已在 exiv2 版本 0.24-4.1+deb8u4 中修复。我们建议您升级 exiv2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

regext.c 中 onig_new_deluxe() 中的释放后使用可能允许攻击者通过提供构建的正则表达式，造成信息泄露、拒绝服务或执行代码。攻击者通过由 onig_new_deluxe() 处理的多字节编码，提供一对正则表达式模式和一个字符串。对于 Debian 8“Jessie”，此问题已在 5.9.5-3.2~deb8u2 版本中修复。建议您升级 libonig 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

LibreOffice 中发现两个安全问题：- CVE-2019-9848 Nils Emmerich 发现，恶意文档可能会通过 LibreLogo 执行任意 Python 代码。- CVE-2019-9849 Matei Badanoiu 发现隐藏模式未应用于项目符号。

Thunderbird 中发现多个安全问题，可能会造成执行任意代码、跨站脚本、欺骗、信息泄露、拒绝服务或跨站请求伪造。- 仅 stretch 解决了 CVE-2019-11719 和 CVE-2019-11729，在 buster 中，Thunderbird 使用 NSS 的全系统副本，将单独更新。

Harsh Jaiswal 发现，用于提供 ImageMagick 或 GraphicsMagick 封装程序的 Ruby 库 ruby-mini-magick 中存在远程 shell 执行漏洞，当使用带有来自于未清理的用户输入的特别构建的 URL 的 MiniMagick::Image.open 时可能会受到利用。

持久性的键值数据库 Redis 的 HyperLogLog 实现中发现多个漏洞，可能造成拒绝服务，或可能会造成任意代码执行。

Mozilla Firefox web 浏览器中发现多个安全问题，可能会造成执行任意代码、跨站脚本、欺骗、信息泄露、拒绝服务或跨站请求伪造。

模块化的 Java/J2EE 应用程序框架 libspring-java 中发现漏洞。CVE-2014-3578 存在一个目录遍历漏洞，允许远程攻击者通过特制的 URL 读取任意文件。CVE-2014-3625 存在一个目录遍历漏洞，允许远程攻击者通过不明向量读取任意文件，此漏洞与静态资源处理有关。CVE-2015-3192 当 DTD 未完全禁用时，内联的 DTD 声明未正确处理，这使得远程攻击者能够通过特制的 XML 文件造成拒绝服务（内存消耗和内存不足错误）。CVE-2015-5211 反射型文件下载 (RFD) 攻击漏洞，可让恶意用户构建带有批次脚本扩展的 URL，从而造成响应被下载，而不是被呈现，同时还包含响应中反射的某些输入。CVE-2016-9878 ResourceServlet 中的路径未正确清理，可能会允许目录遍历攻击。对于 Debian 8“Jessie”，这些问题已在 3.0.6.RELEASE-17+deb8u1 版本中修复。建议您升级 libspring-java 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Python 中的 urllib 库随附了第二个用于访问本地文件 ('local_file://') 的不知名 URL 方案支持。此方案可用于避开试图封锁本地文件访问权限的保护措施，并仅封锁知名的“file://”方案。此更新通过不允许“local_file://”URL 方案解决了此漏洞。此更新还修复了 DLA-1835-1 发布的更新中引入的另一个回归，该回归可能会破坏 libpython3.4-testsuite 的安装。对于 Debian 8“Jessie”，此问题已在 3.4.2-1~deb8u5 版本中修复。我们建议您升级 python3.4 程序包。若要了解更多 python3.4 的详细安全状态，请参阅其安全跟踪页面：https://security-tracker.debian.org/tracker/python3.4 请注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

DOSBox 仿真器中发现两个漏洞，当仿真器中运行恶意可执行文件时，可能会造成运行 DOSBox 的主机上执行任意代码。

JPEG 2000 图像库 openjpeg2 中发现两个安全漏洞。CVE-2016-9112 函数 opj_pi_next_cprl 中存在浮点异常或除零，可能会造成拒绝服务。CVE-2018-20847 函数 opj_get_encoding_parameters 中的值计算不正确，可能会造成整数溢出。CVE-2015-1239 的补丁已部分修复此问题。对于 Debian 8“Jessie”，这些问题已在 2.1:0-2+deb8u7 版本中修复。我们建议您升级 openjpeg2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Redis 内存中键值数据库提供的 Hyperloglog 功能内发现两个堆缓冲区溢出。对于 Debian 8“Jessie”，这些问题已在 redis 2:2.8.17-1+deb8u7 版本中修复。建议您升级 redis 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Spring Security 支持使用 PlaintextPasswordEncoder 的明文密码。如果使用受影响版本的 Spring Security 的应用程序利用了 PlaintextPasswordEncoder，且用户拥有空编码的密码，则恶意用户（或攻击者）能够使用密码“null”通过身份验证。对于 Debian 8“Jessie”，这一问题已在 2.0.7.RELEASE-3+deb8u2 版本中修复。建议您升级 libspring-security-2.0-java 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Fang-Pen Lin 发现，轻量级的消息内核库 ZeroMQ 中存在基于堆栈的缓冲区溢出缺陷。使用 libzmq 库连接到应用程序的远程、未经身份验证的客户端，在启用了 CURVE 加密/身份验证的情况下运行套接字监听，就可能会利用此缺陷造成拒绝服务或执行任意代码。

Fang-Pen Lin 发现，轻量级的消息内核库 ZeroMQ 中存在基于堆栈的缓冲区溢出缺陷。使用 libzmq 库连接到应用程序的远程、未经身份验证的客户端，在启用了 CURVE 加密/身份验证的情况下运行套接字监听，就可能会利用此缺陷造成拒绝服务或执行任意代码。对于 Debian 8“Jessie”，这一问题已在 4.0.5+dfsg-2+deb8u2 版本中修复。我们建议您升级 zeromq3 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Python web 部署框架 Django 中发现三个安全问题，可能会造成拒绝服务、可点击链接清理不完整或缺少 HTTP 请求重新定向到 HTTPS。

squid3 缓存代理服务器中发现多个跨站脚本漏洞。对于 Debian 8“Jessie”，这些问题已在 squid3 3.4.8-6+deb8u7 版本中修复。我们建议您升级 squid3 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

DLA 1846-1 发布的 unzip 安全更新在从源文件构建 Firefox web 浏览器可能会造成回归。

Firefox 发布版本 omni.ja 中存在类似于 zip 的文件，该文件是一种 zip 容器，其中央目录位于文件开头，而不是根据 zip 标准的要求位于本地条目之后。此更新现允许此类容器在实际上不存在重叠的情况下无需发出 zip bomb 警告。

对于 Debian 8“Jessie”，这一问题已在 6.0.-16+deb8u5 版本中修复。

建议您升级 unzip 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

用于运行旧版 DOS 程序的仿真器 DOSBox 中发现多个安全漏洞。CVE-2019-7165 bat 文件内存在过长的行，可能会使缓冲区解析溢出，攻击者利用此漏洞能够执行任意代码。CVE-2019-12594 DOSBox 内访问权限控制不足，这使得攻击者能够访问主机系统中的资源，并执行任意代码。对于 Debian 8“Jessie”，这些问题已在 0.74-4~deb8u1 版本中修复。建议您升级 dosbox 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

lemonldap-ng 单点登录系统中发现 XML 外部实体漏洞。此漏洞可能会造成机密数据泄露、拒绝服务、服务器端请求伪造、端口扫描等。对于 Debian 8“Jessie”，这一问题已在 lemonldap-ng 版本 1.3.3-1+deb8u2 中修复。我们建议您升级 lemonldap-ng 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

权威 DNS 服务器 pdns 中发现两个漏洞，通过 master/slave 设置中的格式错误区域记录和过多 NOTIFY 数据包，可能会造成拒绝服务。CVE-2019-10162 PowerDNS 权威服务器中发现问题，可让经过授权的用户通过在受其控制的 MASTER 类型区域中插入特制的记录造成服务器退出。此问题的原因在于，当权威服务器在查找要用于传出通知的 NS/A/AAAA 记录的过程中遇到解析错误时，可能会退出。CVE-2019-10163 PowerDNS 权威服务器中发现问题，可让远程、经过授权的主服务器通过发送大量的 NOTIFY 消息，造成高 CPU 负载，甚至阻止任何从属区域进一步更新。请注意，只有配置为从属服务器的服务器会受到此问题的影响。对于 Debian 8“Jessie”，这些问题已在 3.4:1-4+deb8u10 版本中修复。建议您升级 pdns 程序包。若要了解更多 pdns 的详细安全状态，请参阅其安全跟踪页面：https://security-tracker.debian.org/tracker/pdns 请注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Joran Dirk Greef 发现，ChaCha20-Poly1305 中使用的过长随机数未得到正确处理，可能会造成随机数重新使用。此漏洞未影响 OpenSSL 内部使用的 ChaCha20-Poly1305，例如 TLS。

Mozilla Firefox web 浏览器中发现沙盒逃逸，如果结合其他漏洞，可能会造成执行任意代码。

Django Python web 开发框架中发现，在通过 HTTPS 连接了反向代理时，未正确识别 HTTP 连接。当 django.http.HttpRequest.scheme 部署到通过 HTTPS 连接 Django 的反向代理背后时，可能会将通过 HTTP 发出的客户端请求错误检测为使用 HTTPS。此漏洞可能会造成 is_secure() 和 build_absolute_uri() 的错误结果，并且 HTTP 请求可能不会根据 SECURE_SSL_REDIRECT 重新定向到 HTTPS。现在对于 HTTP 和 HTTPS 请求，HttpRequest.scheme 均遵守 SECURE_PROXY_SSL_HEADER（如已配置），并且对请求设定了适当的标头。如果您在转发 HTTP 请求的反向代理背后部署了 Django，并且通过 HTTPS 连接到 Django，请务必核实您的应用程序能够根据方案 is_secure()、build_absolute_uri() 和 SECURE_SSL_REDIRECT 正确处理代码路径。对于 Debian 8“Jessie”，这一问题已在 python-django 版本 1.7.11-1+deb8u6 中修复。我们建议您升级 python-django 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 rdesktop RDP 客户端中发现多个安全问题，可能会导致拒绝服务和执行任意代码。

XML 解析 C 库 Expat 中发现未正确处理 XML 输入，包括包含有大量冒号的 XML 名称，可能会造成拒绝服务。

已在开源多媒体框架 gpac 中发现三个问题。其中两个是空指针取消引用，另一个是基于堆的缓冲区溢出。对于 Debian 8“Jessie”，这些问题已在 0.5.0+svn5324~dfsg1-1+deb8u4 版本中修复。我们建议您升级 gpac 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

发现 salsa20 的 amd64 实现存在缺陷。如果生成了超过 256 GiB 的密钥流，或如果计数器以其他方式增长到 32 位以上，则 amd64 实现首先会生成错误的输出，随后回退到上一个生成的密钥流。对于 Debian 8“Jessie”，此问题已在 0.0~hg190-1+deb8u1 版本中修复。obfs4proxy 已重新构建为 0.0.3-2+deb8u1 版本。建议您升级 golang-golang-x-crypto-dev 和 obfs4proxy 程序包，并重新构建任意使用 golang-golang-x-crypto-dev 的软件。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

XML 解析 C 库 Expat 中发现未正确处理 XML 输入，包括包含有大量冒号的 XML 名称，可能会造成拒绝服务。对于 Debian 8“Jessie”，此问题已在 2.1.0-6~deb8u5 版本中修复。建议您升级 expat 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

专为显示高质量的抗锯齿图形而打造的轻量级 PDF 查看器 mupdf 中修复了多个次要问题。CVE-2018-5686 在 MuPDF 中，由于未考虑到 EOF，pdf_parse_array 函数 (pdf/pdf-parse.c) 中存在无限循环漏洞和应用程序挂起。远程攻击者可利用此漏洞，通过特制的 PDF 文件，造成拒绝服务。CVE-2019-6130 MuPDF 的 fitz/document.c 文件函数 fz_load_page 中存在 SEGV，这一点已由 mutool 证实。此漏洞与 cbz/mucbz.c、cbz/muimg.c 和 svg/svg-doc.c 中的页码错误处理有关。CVE-2018-6192 在 MuPDF 中，pdf/pdf-xref.c 中的 pdf_read_new_xref 函数可让远程攻击者通过特制的 PDF 文件造成拒绝服务（段冲突和应用程序崩溃）。对于 Debian 8“Jessie”，这些问题已在 1.5-1~deb8u6 版本中修复。建议您升级 mupdf 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

1.8.6-0+deb8u1 发布的 rdesktop 更新引入了回归，可能会破坏 RDP 协议协商。更新后的 rdesktop 程序包现在可用于修正此问题。对于 Debian 8“Jessie”，此问题已在 1.8.6-0~deb8u2 版本中修复。我们建议您升级 rdesktop 程序包。若要了解更多 rdesktop 的详细安全状态，请参阅其安全跟踪页面：https://security-tracker.debian.org/tracker/rdesktop 请注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Thunderbird 中发现多个安全性问题，若读取格式错误的电子邮件消息可能会导致执行任意代码。对于 Debian 8“Jessie”，这些问题已在 1:60.7.2-1~deb8u1 版本中修复。我们建议您升级 thunderbird 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Thunderbird 中发现多个安全性问题，若读取格式错误的电子邮件消息可能会导致执行任意代码。

作为 DLA-1835-1 发布的更新在 Python 3.4 中的 http.client 库中引起了回归，被试图修复 CVE-2019-9740 和 CVE-2019-9947 的修补程序破坏。对于 Debian 8“Jessie”，这一问题已在 3.4.2-1+deb8u4 版本中修复。我们建议您升级 python3.4 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Python（面向对象的交互式高级语言）中发现多个漏洞，包括 CVE-2018-14647 Python 的 elementtree C 加速器在初始化期间无法初始化 Expat 的哈希 salt。这可以通过构建 XML 文档轻松对 Expat 进行拒绝服务攻击，该文档可造成 Expat 内部数据结构的病态哈希碰撞，从而导致消耗大量的 CPU 和 RAM。CVE-2019-5010 使用特制的 X509 证书造成空指针取消引用。CVE-2019-9636 在 NFKC 正则化期间不当处理 Unicode 编码（具有错误的 netloc），造成信息泄露（针对给定主机名称缓存的凭据、cookie 等）。一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。CVE-2019-9740 在 urllib2 中发现一个问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中），随后是 HTTP 标头或 Redis 命令即为一例。CVE-2019-9947 在 urllib2 中发现问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在缺少 ? 字符的 URL 的路径组件中），随后是 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。CVE-2019-9948 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file:///etc/passwd') 调用即为一例。CVE-2019-10160 发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。对于 Debian 8“Jessie”，这些问题已在 2.7.9-2+deb8u3 版本中修复。我们建议您升级 python2.7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

高质量的块排序文件压缩器 bzip2 中 CVE-2019-12900 的原始修复在提取包含缺陷的 libzip2 创建的特定 lbzip2 文件时引入了回归。有关更多信息，请参阅 https://bugs.debian.org/931278。对于 Debian 8“Jessie”，此问题已在 1.0.6-4~deb7u2 版本中修复。我们建议您升级 bzip2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 libvirt 中发现两个漏洞，是一个针对由内核等提供的不同底层虚拟化机制的抽象 API。- CVE-2019-10161：防止只读客户端可使用 API 指定任意路径（可使用 libvirtd 进程的权限访问）的漏洞。能够访问 libvirtd 套接字的攻击者可利用此漏洞探测任意文件的存在、造成拒绝服务或造成 libvirtd 执行任意程序。- CVE-2019-10167：通过 API 防止任意代码执行漏洞，其中用户指定的二进制是用于探测域的功能。只读客户端可针对此参数指定任意路径，造成 libvirtd 以自己的权限执行特制的可执行文件。对于 Debian 8“Jessie”，这些问题已在 libvirt 1.2.9-9+deb8u7 版本中修复。建议您升级 libvirt 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

权威 DNS 服务器 pdns 中发现两个漏洞，通过 master/slave 设置中的格式错误区域记录和过多 NOTIFY 数据包，可能会造成拒绝服务。

ID	名称	严重性
126968	Debian DSA-4487-1：neovim - 安全更新	high
126967	Debian DSA-4486-1：openjdk-11 - 安全更新	medium
126966	Debian DSA-4485-1：openjdk-8 - 安全更新	medium
126965	Debian DLA-1863-1：linux-4.9 安全更新	high
126964	Debian DLA-1862-1：linux 安全更新	high
126927	Debian DLA-1861-1：libsdl2-image 安全更新	high
126926	Debian DLA-1860-1：libxslt 安全更新	critical
126837	Debian DSA-4484-1：linux - 安全更新	high
126836	Debian DLA-1859-1：bind9 安全更新	high
126835	Debian DLA-1858-1：squid3 安全更新	critical
126834	Debian DLA-1857-1：nss 安全更新	high
126833	Debian DLA-1856-1：patch 安全更新	medium
126832	Debian DLA-1855-1：exiv2 安全更新	medium
126793	Debian DLA-1854-1：libonig 安全更新	critical
126755	Debian DSA-4483-1：libreoffice - 安全更新	critical
126657	Debian DSA-4482-1：thunderbird - 安全更新	critical
126656	Debian DSA-4481-1：ruby-mini-magick - 安全更新	high
126655	Debian DSA-4480-1：redis - 安全更新	high
126654	Debian DSA-4479-1：firefox-esr - 安全更新	critical
126653	Debian DLA-1853-1：libspring-java 安全更新	critical
126652	Debian DLA-1852-1：python3.4 安全更新	critical
126608	Debian DSA-4478-1：dosbox - 安全更新	critical
126607	Debian DLA-1851-1：openjpeg2 安全更新	high
126606	Debian DLA-1850-1：redis 安全更新	high
126605	Debian DLA-1848-1：libspring-security-2.0-java 安全更新	high
126529	Debian DSA-4477-1：zeromq3 - 安全更新	critical
126528	Debian DLA-1849-1：zeromq3 安全更新	critical
126514	Debian DSA-4476-1：python-django - 安全更新	medium
126513	Debian DLA-1847-1：squid3 安全更新	medium
126512	Debian DLA-1846-2：unzip 回归更新	low
126511	Debian DLA-1845-1：dosbox 安全更新	critical
126482	Debian DLA-1844-1：lemonldap-ng 安全更新	high
126481	Debian DLA-1843-1：pdns - 安全更新	high
126392	Debian DSA-4475-1：openssl - 安全更新	high
126391	Debian DSA-4474-1：firefox-esr - 安全更新	critical
126390	Debian DLA-1842-1：python-django 安全更新	medium
126352	Debian DSA-4473-1：rdesktop - 安全更新	high
126351	Debian DSA-4472-1：expat - 安全更新	high
126350	Debian DLA-1841-1：gpac 安全更新	high
126349	Debian DLA-1840-1：golang-go.crypto 安全更新	medium
126348	Debian DLA-1839-1：expat 安全更新	high
126347	Debian DLA-1838-1：mupdf 安全更新	medium
126248	Debian DLA-1837-2：rdesktop 回归更新	high
126247	Debian DLA-1836-1：thunderbird 安全更新	critical
126224	Debian DSA-4471-1：thunderbird - 安全更新	critical
126223	Debian DLA-1835-2：python3.4 回归更新	medium
126222	Debian DLA-1834-1：python2.7 安全更新	critical
126221	Debian DLA-1833-2：bzip2 回归更新	critical
126220	Debian DLA-1832-1：libvirt 安全更新	high
126129	Debian DSA-4470-1：pdns - 安全更新	high

检测

Nessus 的 Debian Local Security Checks 系列

high

medium

medium

high

high

high

critical

high

high

critical

high

medium

medium

critical

critical

critical

high

high

critical

critical

critical

critical

high

high

high

critical

critical

medium

medium

low

critical

high

high

high

critical

medium

high

high

high

medium

high

medium

high

critical

critical

medium

critical

critical

high

high