La portée de cette annonce est XFree86 3.3.6 seulement, vu que c'est la version sortie avec Debian GNU/Linux 2.2 (Potato) ; les paquets Debian de XFree86 4.0 et plus ne sont pas encore sortis en tant que parties d'une distribution Debian.
Plusieurs personnes sont responsables de l'écriture de ces corrections, incluant Aaron Campbell, Paulo Cesar Pereira de Andrade, Keith Packard, David Dawes, Matthieu Herrb, Trevor Johnson, Colin Phipps et Branden Robinson.
_XReply() et
_XAsyncReply() s'ils se connectent à un serveur X malicieux
qui a des données corrompues dans ses réponses au protocole X. NOTE :
Cette attaque n'est effective que si les clients X utilisent des applications
avec des privilèges élevés et au maximum elle offre un accès qu'à ce niveau
de privilège. Par exemple, le client classique de X est xterm. Sur beaucoup
de systèmes Unix, xterm est lié à root ; dans Debian 2.2,
xterm est lié au groupe utmp, ce qui signifie qu'une exploitation
effective permettrait de modifier les fichiers lastlog, utmp et wtmp --
pas d'accès root général. Notez aussi que l'attaquant
doit avoir les droits suffisants pour démarrer un client X et pouvoir se
connecter avec succès à un serveur X ;
XauLock() dans la bibliothèque Xau ne gère pas
proprement les fichiers temporaires ;
Il existe plusieurs autres soucis concernant la sécurité et XFree86 qui sont annoncés avec ceux ci-dessus mais pour lesquels un système à jour Debian 2.2 N'EST PAS vulnérable :
XOpenDisplay()
de Xlib par laquelle un serveur X malin pourrait causer un déni de service
ou une attaque par dépassement de tampon. Comme au dessus, cette attaque
est effective que si les clients X utilisent des privilèges élevés et
l'attaquant doit avoir les droits suffisants pour démarrer un client X et
pouvoir se connecter avec succès à un serveur X. Debian 2.2 et 2.2r1
sont vulnérables à un seul de ces problèmes car nous avons inclus des
correctifs XFree86 3.3.6 pour annuler les trois autres. Une autre
correction est faite dans Debian 2.2r2 réglant ce quatrième souci ;
mktemp() au lieu de
mkstemp(). Ce problème n'existe plus dans XFree86 3.3.6 et
donc aucune Debian 2.2 n'est affectée.