Se ha descubierto que el manejador de la señal que implementa la expiración
del límite de tiempo de login
en la versión de Debian del servidor OpenSSH usa funciones
que no son seguras frente a señales asíncronas, dando lugar a una
vulnerabilidad de denegación de servicio (CVE-2008-4109).
El problema se corrigió originalmente en OpenSSH 4.4p1 (CVE-2006-5051), pero el parche que se adaptó a la versión lanzada en etch era incorrecto.
Aquellos sistemas afectados por este problema sufren la presencia de numerosos procesos sshd zombis. También se han observado procesos con el título de proceso «[net]» asignado. Con el tiempo, si se acumulan un número suficiente de estos procesos será imposible iniciar una nueva sesión en el sistema. La presencia de estos procesos no indica necesariamente que esta vulnerabilidad esté siendo explotada. Es posible provocar esta denegación de servicio por accidente.
Para la versión estable (etch) este problema se ha resuelto en la versión 4.3p2-9etch3.
Para las versiones inestable (sid) y de pruebas (lenny), este problema se ha resuelto en la versión 4.6p1-1.
Recomendamos que actualice los paquetes openssh.
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.