xfstt, un serveur de polices TrueType pour le gestionnaire graphique X, contient deux types de failles de sécurité :
CAN-2003-0581 : un attaquant distant pouvait envoyer des requêtes conçues pour déclencher n'importe quel dépassement de tampon, causant un déni de service ou l'exécution potentielle de n'importe quel code sur le serveur avec les privilèges de l'utilisateur nobody.
CAN-2003-0625 : certaines données invalides envoyées durant la négociation de la connexion pouvaient permettre à un attaquant distant de lire certaines régions de la mémoire appartenant au processus xfstt. Cette information pouvait être utilisée pour l'identification du système ou pour aider à l'exploitation d'une faille de sécurité différente.
Pour la distribution stable (Woody), ces problèmes ont été corrigés dans la version 1.2.1-3.
Pour la distribution instable (Sid), CAN-2003-0581 est corrigé dans xfstt 1.5-1 et CAN-2003-0625 va être bientôt corrigé.
Nous vous recommandons de mettre à jour votre paquet xfstt.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.