Ulf Härnhammar vom Debian-Sicherheits-Audit-Projekt entdeckte, dass Unalz, ein Dekomprimierungsprogramm für ALZ-Archive, beim Auswerten von Dateinamen nur eine unzureichende Überprüfung der Grenzbedingungen durchführt. Dies kann die Ausführung von beliebigem Code zur Folge haben, wenn ein Angreifer ein speziell präpariertes ALZ-Archiv bearbeitet.
Die alte Stable-Distribution (Woody) enthält Unalz nicht.
Für die Stable-Distribution (Sarge) wurde dieses Problem in Version 0.30.1
Für die Unstable-Distribution (Sid) wird dieses Problem bald behoben sein.
Wir empfehlen Ihnen, Ihr Unalz-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.