wu-ftpd, un servidor de FTP, implementa una característica por la que se pueden recoger múltiples archivos en forma de un paquete de archivos construído dinámicamente, como un paquete tar. Los nombres de los archivos que se debían incluir se pasaban como argumentos de la línea de comando a tar, sin protección alguna a ser interpretados como opciones de la línea de comando. GNU tar admite varias opciones en la línea de comando que se podían aprovechar, por medio de esta vulnerabilidad, para ejecutar programas arbitrarios con los privilegios del proceso wu-ftpd.
Georgi Guninski avisó de que esta vulnerabilidad existía en Debian woody.
Para la distribución estable (woody), este problema se ha corregido en la versión 2.6.2-3woody2.
Para la distribución inestable (sid), este problema se corregirá en breve.
Le recomendamos que actualice el paqute wu-ftpd.
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.