La version de curl distribuée avec la Debian GNU/Linux 2.2 à un
bogue dans le code d'échec d'authentification : lorsqu'il crée le message
d'erreur, il n'arrive pas à vérifier la taille allouée au tampon pour
stocker le message. Ceci peut être exploité par une machine distante en
retournant une réponse invalide à une requête en provenance de curl.
Cela a pour résultat un débordement de tampon dans curl qui autorise
alors l'exécution de code arbitraire par son intermédiaire.
Debian possède deux versions de curl : le paquet curl
ordinaire et le paquet curl-ssl ayant l'option de chiffrement activée. Ce
bogue a été corrigé dans la version 6.0-1.1 de curl et dans la
version 6.0-1.2 de curl-ssl.
La première version de cette alerte désignait un mauvais paquet pour i386.
Il a été remplacé par la version 6.0-1.1.1.
