David Maciejak a remarqué que webcalendar, un calendrier multiutilisateurs basé sur PHP, retournait des messages d'erreur différents lors d'une erreur de mot de passe ou d'utilisateur inexistant, ce qui permettait à des attaquants distants d'obtenir des informations sur les identifiants d'utilisateurs valides.
L'ancienne distribution stable (Woody) ne contient pas le paquet webcalendar.
Pour l'actuelle distribution stable (Sarge), ce problème a été corrigé dans la version 0.9.45-4sarge4.
Pour la distribution instable (Sid), ce problème sera bientôt corrigé.
Nous vous recommandons de mettre à jour votre paquet webcalendar.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.