iDEFENSE は、"file" コマンドの ELF フォーマット解析ルーチンで バッファオーバーフローを起こす箇所を発見しました。 これを攻撃することで、コマンドを実行しているユーザの権限で任意の コードを実行することができます。 この脆弱性は、特別な ELF バイナリを作成し、それを file の入力として 与えることによって攻撃可能できるというものです。 これは、特別な ELF バイナリをファイルシステム上に置いておき、 誰かがそのバイナリを識別しようとして file コマンドを実行するのを 待つことで攻撃可能です。また、このようなバイナリを、入力を識別 するために file を用いるサービスに引き渡すことによっても可能です。 (例えば、プリンタフィルタには、プリンタへの入力を識別するために file コマンドを使うものがあります。)
修正されたパッケージは、Debian 2.2 (potato) に対してはバージョン 3.28-1.potato.1 、Debian 3.0 (woody) に対してはバージョン 3.37-3.1.woody.1 があります。 file パッケージを早急にアップグレードすることをお勧めします。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。