Florian Heinz heinz@cronon-ag.de skrev till sändlistan Bugtraq om ett sätt att utnyttja qpopper baserat på ett fel i den implementation av vsnprintf som medföljer. Exemplet kräver ett giltigt användarkonto och lösenord och spiller en sträng i pop_msg()-funktionen, vilket ger användaren gruppbehörighet i enlighet med gruppen ”mail” och ett skal på systemet. Eftersom Qvsnprintf används på andra ställen i qpopper kan det vara möjligt att även utnyttja andra delar av koden.
Qpopper-paketet i Debian 2.2 (Potato) innehåller inte den sårbara implementationen av snprintf. För Debian 3.0 (Woody) är ett uppdaterat paket tillgängligt i version 4.0.4-2.woody.3. De som kör en ännu inte släppt version av Debian bör uppgradera till 4.0.4-9 eller nyare. Vi rekommenderar att ni uppgraderar era qpopper-paket omedelbart.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.