Sean Finney a découvert plusieurs cas d'utilisation de fichiers temporaires non sécurisés dans toolchain-source, composé de GNU binutils et des scripts, et des sources de GCC. Ces bogues permettaient à un attaquant local avec un minimum de connaissances de duper l'administrateur en écrasant des fichiers arbitraires par une attaque par lien symbolique. Le problème existe dans les scripts tpkg-* spécifiques à Debian.
Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 3.0.4-1woody1.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 3.4-5.
Nous vous recommandons de mettre à jour votre paquet toolchain-source.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.