Zack Weinberg a découvert une utilisation non sécurisée de fichiers temporaires dans os._execvpe de os.py. Il utilise un nom qu'on peut déterminer à l'avance qui peut permettre l'exécution d'un code arbitraire.
Ce problème a été corrigé dans plusieurs versions de Python : pour l'actuelle distribution stable (Woody), ça a été corrigé dans la version 1.5.2-23.1 de Python 1.5, dans la version 2.1.3-3.1 de Python 2.1 et dans la version 2.2.1-4.1 de Python 2.2. Pour l'ancienne distribution stable (Potato) cela a été corrigé dans la version 1.5.2-10potato12 pour Python 1.5. Pour la distribution unstable (Sid) ceci a été corrigé dans la version 1.5.2-24 de Python 1.5, dans la version 2.1.3-6a de Python 2.1 et dans la version 2.2.1-8 de Python 2.2. Python 2.3 n'est pas affecté par cette faille.
Nous vous recommandons de mettre à jour vos paquets Python immédiatement.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.