Paul Szabo und Matt Zimmerman haben zwei ähnliche Probleme in metrics entdeckt, einem Werkzeug für Software-Metrik. Zwei Skripte in diesem Paket, "halstead" und "gather_stats", öffnen temporäre Dateien, ohne die angemessenen Sicherheitsvorkehrungen zu treffen. "halstead" wird als Benutzerprogramm installiert, während "gather_stats" lediglich in einem Helferskript benutzt wird, das im Sourcecode enthalten ist. Diese Verwundbarkeiten können es einem lokalen Angreifer erlauben, Dateien zu überschreiben, die dem Benutzer gehören, der die Skripte ausführt, einschließlich root.
Die stable Distribution (Woody) ist nicht betroffen, weil sie keine metrics-Pakete mehr enthält.
Für die alte stable Distribution (Potato) wurde dieses Problem in Version 1.0-1.1 behoben.
Die unstable Distribution (Sid) ist nicht betroffen, weil sie keine metrics-Pakete mehr enthält.
Wir empfehlen Ihnen, Ihr metrics-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.