XaoS, un programme pour afficher des images fractales, est installé avec les droits de root sur certaines architectures pour utiliser svgalib, qui demande un accès privilégié au matériel vidéo. Cependant, il n'est pas conçu pour une exécution sécurisée et peut être exploité pour obtenir les privilèges de root.
Dans ces paquets mis à jour, le bit setuid a été enlevé du binaire xaos. Les utilisateurs qui ont besoin de la fonctionnalité de la svgalib devront donner ces privilèges seulement à un certain groupe de confiance.
Cette faille de sécurité est exploitable dans la version 3.0-18 (Potato) sur les architectures i386 et alpha, et dans la version 3.0-23 (Woody) sur l'architecture i386 seulement.
Pour la distribution stable (Woody), ce problème a été corrigé dans la version 3.0-23woody1.
Pour l'ancienne distribution stable (Potato), ce problème a été corrigé dans la version 3.0-18potato1.
Pour la distribution instable (Sid), ce problème a été corrigé dans la version 3.1r-4.
Nous vous recommandons de mettre à jour votre paquet xaos.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.