Vi har modtaget rapporter om at "sårbarheden med opfangelse af angreb mod SSH CRC-32-kompensering" aktivt udnyttes. Dette er den samme heltalstypefejl som er rettet i OpenSSH i DSA-027-1. OpenSSH (Debians ssh-pakke) blev rettet på det tidspunkt, men ssh-nonfree og ssh-socks blev det ikke.
Selvom pakker i den ikke-frie (non-free) del af arkivet ikke officielt understøttes af Debian-projektet, har vi helt usædvanligt frigivet en opdateret ssh-nonfree-/ssh-socks-pakke til brugere der endnu ikke har skiftet til OpenSSH. Vi anbefaler dog at vores brugere begynder skifter til den almindeligt understøttede, DFSG-frie "ssh"-pakke så snart som muligt. ssh 1.2.3-9.3 er den OpenSSH-pakke som er tilgængelig i Debian 2.2r4.
De rettede ssh-nonfree-/ssh-socks-pakker er tilgængelige som version 1.2.27-6.2 til anvendelse med Debian 2.2 (potato) og version 1.2.27-8 til anvendelse med Debians unstabile-/testdistribution. Bemærk at de nye ssh-nonfree-/ssh-socks-pakker fjerne setuid-bit'en fra den binære ssh-fil, hvilket slår rhosts-rsa autentification fra. Har du brug for denne funktionalitet, kan du køre
chmod u+s /usr/bin/ssh1
efter at have installeret den nye pakke.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.