On a découvert que reprepro, une outil pour créer des dépôts de paquets Debian, ne vérifiait la validité des signatures connues que lors de la mise à jour à partir d'une site distant et ne rejetait donc pas les paquets ayant simplement des signatures inconnues. Cela permet à un attaquant de contourner ce mécanisme d'authentification.
L'ancienne distribution stable (Sarge) n'est pas affectée par ce problème.
Pour la distribution stable (Etch), ce problème a été corrigé dans la version 1.3.1+1-1.
Pour la distribution instable (Sid), ce problème a été corrigé dans la version 2.2.4-1.
Nous vous recommandons de mettre à jour votre paquet reprepro.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.