Ifølge David Wagner, iDEFENSE og Apache HTTP Server-projektet, er der fundet flere sårbarheder som kan fjernudnyttes i Apache-pakken, en udbredt webserver. Det meste af koden er delt mellem Apache- og Apache-SSL-pakkerne, hvorfor de også deles om sårbarhederne. Disse sårbarheder kan give en angriber mulighed for at sætte et "denial of service"-angreb mod serveren i gang, eller udføre et "cross site scripting"-angreb, eller stjæle cookies fra andre af webstedets brugere. Sårbarheder i de medfølgende programmer htdigest, htpassword og ApacheBench kan udnyttes når de kaldes via CGI. Desuden kan den usikre oprettelse af midlertidige filer i htdigest og htpassword også udnyttes lokalt. Projektet "Common Vulnerabilities and Exposures" (CVE) har fundet frem til følgende sårbarheder:
Dette er den samme sårbarhed som CAN-2002-1233, der allerede er rettet i potato, men senere forsvandt og aldrig blev tilføjet af opstrøm. (Der følger dog ikke binære filer med apache-ssl.)
Disse problemer er rettet i version 1.3.26.1+1.48-0woody3 i den aktuelle stabile distribution (woody) og i 1.3.9.13-4.2 i den gamle stabile distribution (potato). Rettede pakker til den ustabile distribution (sid) forventes snart.
Vi anbefaler at du omgående opgraderer din Apache-SSL-pakke.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.