Florian Heinz さん heinz@cronon-ag.de は、 vsnprintf の実装に含まれるバグによる、qpopper の不正利用ができることを Bugtraq メーリングリストに投稿しました。 サンプルの攻撃方法は、有効なユーザアカウントとパスワードを必要とし、 pop_msg() 関数の文字列をオーバーフローさせることで ユーザに "mail" グループ権限とシステムのシェルをユーザに与えることができます。 Qvsnprintf 関数は qpopper のあるところにはどこでも使用されているので、 さらなる不正利用ができる可能性があります。
Debian 2.2 (potato) の qpopper パッケージは、snprintf の実装の 脆弱性を含みません。 Debian 3.0 (woody) では、バージョン 4.0.4-2.woody.3 でアップデートされた版が使えます。 リリースされていないバージョンの Debian を使用しているユーザは、 バージョン 4.0.4-9 以上にアップグレードすることが必要です。 qpopper パッケージを早急にアップグレードすることをお勧めします。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。