Jens Steube relatou duas vulnerabilidades no webfs , um servidor HTTP leve para conteúdo estático.
CAN-2003-0832 - Quando o virtual hosting (alojamento virtual) está habilitado, um cliente remoto pode especificar ".." como o nome do host em uma requisição, permitindo que o usuário tenha acesso a listagem de diretórios ou arquivos do diretório raiz.
CAN-2003-0833
Um nome de caminho longo pode estourar um buffer alocado na pilha, permitindo a execução
arbitrária de código. Para explorar essa falha, seria necessário a capacidade de criar
diretórios no servidor, em um local que pudesse ser acessado pelo servidor web. Em conjunto
com a CAN-2003-0832, este poderia ser um diretório como o /var/tmp onde todo mundo tem
permissão de escrita.
Para a atual distribuição estável (woody) esses problemas foram corrigidos na versão 1.17.2.
Para a distribuição instável (sid) esses problemas foram corrigidos na versão 1.20.
Nós recomendamos que atualize seu pacote webfs.
Checksums MD5 dos arquivos listados estão disponíveis no alerta original.