Eine Verwundbarkeit in NANOG-traceroute wurde entdeckt, einer erweiterten Version des Van Jacobson/BSD traceroute-Programms. Ein Pufferüberlauf tritt in der 'get_origin()'-Funktion auf. Wegen vom whois-Parser unzureichenden Grenz-Prüfungen kann es möglich sein, Speicher auf dem System-Stack zu zerstören. Diese Verwundbarkeit kann von einem entfernten Angreifer ausgenutzt werden, um root-Privilegien auf dem angegriffenen Rechner zu erlangen, jedoch höchstwahrscheinlich nicht in Debian.
Das Common Vulnerabilities and Exposures (CVE) Projekt identifiziert zusätzlich die folgenden Verwundbarkeiten, die bereits in der Debian-Version in stable (Woody) und oldstable (Potato) behoben wurden und hier wegen der Vollständigkeit erwähnt werden (und da andere Distributionen ein eigenes Gutachten dafür veröffentlichen mussten):
Glücklicherweise lässt das Debian-Paket die Privilegien recht früh nach dem Start fallen, daher verursachen diese Probleme höchstwahrscheinlich keine Ausnutzbarkeiten auf einem Debian-Rechner.
Für die aktuelle stable Distribution (Woody) wurde das obige Problem in Version 6.1.1-1.2 behoben.
Für die alte stable Distribution (Potato) wurde das obige Problem in Version 6.0-2.2 behoben.
Für die unstable Distribution (Sid) wurden diese Probleme in Version 6.3.0-1 behoben.
Wir empfehlen Ihnen, Ihr traceroute-nanog Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.