Wir haben Berichte erhalten, dass der "SSH CRC-32 compensation attack detector vulnerability" aktiv ausgenutzt wird. Das ist der selbe Integer-Typ-Fehler, der kürzlich für OpenSSH in DSA-027-1 behoben wurde. OpenSSH (das Debian ssh Paket) wurde zu dieser Zeit behoben, aber ssh-nonfree und ssh-socks wurden es nicht.
Obwohl Pakete in der non-free Sektion des Archives nicht offiziell vom Debian-Projekt unterstützt werden, führen wir die üblichen Schritte durch, um aktualisierte ssh-nonfree/ssh-socks Pakete für jene Benutzer zu veröffentlichen, die noch nicht auf OpenSSH umgestellt haben. Jedoch empfehlen wir, dass unsere Benutzer auf das regulär unterstützte, DFSG-freie "ssh" Paket so bald wie möglich umsteigen. ssh 1.2.3-9.3 ist das in Debian 2.2r4 verfügbare OpenSSH Paket.
Die korrigierten ssh-nonfree/ssh-socks Pakete sind in der Version 1.2.27-6.2 für die Debian 2.2 (Potato) und Version 1.2.27-8 für die Debian unstable/testing Distribution verfügbar. Beachten Sie, dass die neuen ssh-nonfree/ssh-socks Pakete das setuid Bit vom ssh-Programm gelöscht haben, was rhosts-rsa Authentifizierung abschaltet. Wenn Sie diese Funktionalität benötigen, rufen Sie
chmod u+s /usr/bin/ssh1
nach dem Installieren des neuen Paketes auf.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.