Ilia Alshanetsky さんにより、暗号化および復号化を行うライブラリ libmcrypt に、入力の検証が不適切または欠けていることに起因するバッファオーバフローが発見 されました。幾つかの関数で、期待しているより長い入力を与えることにより、 ユーザから libmcrypt をクラッシュさせることができ、悪意を持った任意の コマンドを libmcrypt を使っているユーザの権限、例えば Web サーバ権限で 実行することができる可能性があります。
もう一つの脆弱性が、libtool 経由で libmcrypt がアルゴリズムをロードする際の方法に発見されました。 複数のアルゴリズムを動的にロードする際、 アルゴリズムのロードのたびに少量のメモリがリークします。 常時実行される環境 (例えば Web サーバ) では、これは mcrypt を使う要求を繰り返しアプリケーションに行わせることで、 メモリを使い切らせる攻撃が可能です。
現安定版 (stable) (woody) では、これはバージョン 2.5.0-1woody1 で修正されています。
旧安定版 (potato) には libmcrypt が収録されていないため、 この問題の影響を受けません。
不安定版 (unstable) (sid) では、これはバージョン 2.5.5-1 で修正されています。
すぐに libmcrypt パッケージをアップグレードすることを勧めます。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。