Versionen av curl som distribuerades med Debian GNU/Linux 2.2 innehöll ett
fel i felloggningskoden: När det skapade ett felmeddelande kontrollerade det
inte storleken på den buffert som allokerats för att lagra meddelandet.
Detta kunde utnyttjas av fjärrvärden genom att returnera ett ogiltigt svar
på en fråga från curl, vilket överskred felbuffertens storlek och lurade
curl att exekvera valfri kod.
Debian kommer med två versioner av curl: Det normala curl-paketet och
curl-ssl med aktiverad kryptografi.
Felet har rättats i curl version 6.0-1.1 och curl-ssl version 6.0-1.2.
Den första utgåvan av denna varning listade ett felaktigt kompilerat
paket för i386; detta har ersatts med version 6.0-1.1.1.
