最近、Debian プロジェクトの複数のサーバに、Debian 開発者のアカウントを 用いたセキュリティ侵害が発生し、未知の root 権限取得が行われました。調査により、 burneye で暗号化された攻撃ツールが見つかりました。Robert van der Meulen さんがバイナリを復号化したところ、カーネルへの攻撃ツールであると判明しました。 Red Hat と SuSE のカーネル・セキュリティチームの分析により、これはすぐに brk システムコールに存在する整数オーバフローを用いた攻撃ツールであると判明しました。 このバグを悪用すると、ユーザランドのプログラムからカーネルメモリ全体への アクセスが可能となります。この問題は 9 月の時点で Andrew Morton さんが 発見していましたが、残念ながら 2.4.22 カーネルのリリースには間に合いませんでした。
このバグは、2.4 系ではカーネルバージョン 2.4.23 で、そして 2.6.0-test6 カーネルツリーで修正されています。Debian では、カーネルソースパッケージの バージョン 2.4.18-14、i386 カーネルイメージのバージョン 2.4.18-12、alpha カーネルイメージのバージョン 2.4.18-11 でそれぞれ修正されています。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。