Ilia Alshanetsky a découvert plusieurs dépassements de tampon dans libmcrypt, une bibliothèque de cryptage et de décryptage, qui ont pour origine une validation mauvaise ou manquante des entrées. En passant des paramètres qui sont plus longs que prévu à un certain nombre de fonctions (les fonctions multiples sont affectées), l'utilisateur peut faire planter libmcrypt et pourrait insérer du code arbitraire ou bien même malveillant qui serait exécuté par l'utilisateur de libmcrypt, en général un serveur web.
Une autre vulnérabilité vient d'une fuite de mémoire dans l'usage de libtool par libmcrypt pour charger dynamiquement des algorithmes. À chaque chargement, une petite partie de la mémoire n'est pas désallouée. Dans un environnement persistant (comme un serveur web), cela peut permettre de saturer la mémoire en lançant de manière répétée des requêtes à une application utilisant la bibliothèque mcrypt.
Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 2.5.0-1woody1.
L'ancienne distribution stable (Potato) ne contient pas de paquets libmcrypt.
Pour la distribution instable (Sid), ce problème n'existe pas pour l'actuelle version 2.5.5-1.
Nous vous recommandons de mettre à jour vos paquets libmcrypt.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.