Simon Kelly entdeckte eine Verwundbarkeit in dhcpd, einem RFC2131- und RFC1541-konformen DHCP-Client-Daemon, der mit root-Privilegien auf Client-Rechnern läuft. Ein böswilliger Administrator des regulären oder eines nicht vertrauenswürdigen DHCP-Servers könnte jeden Befehl mit root-Privilegien auf dem DHCP-Client-Rechner ausführen, indem er den Befehl in einer der Optionen in Shell-Metazeichen einschließt, die vom DHCP-Server zur Verfügung gestellt werden.
Dieses Problem wurde in Version 1.3.17pl2-8.1 für die alte stable Distribution (Potato) und in Version 1.3.22pl2-2 für die testing (Sarge) und unstable (Sid) Distributionen behoben. Die aktuelle stable Distribution (Woody) enthält kein dhcpcd-Paket.
Wir empfehlen Ihnen, Ihr dhcpcd-Paket zu aktualisieren (auf den Client-Rechnern).
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.