Tavis Ormandy från Googles säkerhetsgrupp har upptäckt flera problem i PCRE, biblioteket med Perlkompatibla reguljära uttryck, vilket potentiellt kunde göra det möjligt för angripare att exekvera godtycklig kod genom att kompilera specialskrivna reguljära uttryck.
Version 7.0 av PCRE-biblioteket innehöll en stor omskrivning av kompilatorn för reguljära uttryck, och det ansågs vara ett för stort jobb att bakåtanpassa säkerhetsfixar från version 7.3 till versionerna i Debian stabila och gamla stabila utgåva (6.7 respektive 4.5). Därför är denna uppdatering baserad på version 7.4 (som innehåller säkerhetsrättelser från 7.3-versionen, plus flera fixar av återkommande fel), med speciella patchar för att göra den mer kompatibel med tidigare versioner. Viss försiktighet bör därför vidtas när uppdateringen installeras.
Projektet Common Vulnerabilities and Exposures identifierar följande problem:
Omatchade \Q\E-sekvenser med övergivna \E-koder kan få det kompilerade reguljära uttrycket att tappa synkroniseringen, vilket ger trasig bytekod som kunde utnyttjas på flera olika sätt.
Flera former av teckenklasser hade storlekarna felaktigt beräknade på det första passet, vilket gjorde att för lite minne allokerades.
Flera mönster på formen \X?\d eller \P{L}?\d i icke-UTF-8-läge kunde stega bakåt förbi början på strängen, vilket möjligen kunde läcka information från adressrymden, eller bara krascha genom läsningen utanför gränserna.
Ett antal rutiner kunde luras till att läsa förbi slutet på en sträng vid sökning efter matchande parenteser eller hakparenteser, vilket kunde utnyttjas i en överbelastningsattack.
Flera heltalsspill i hanteringen av teckensekvenser kunde resultera i heapspill eller läsningar/skrivningar utanför gränserna.
Flera oändliga slingor och heapspill upptäcktes i hanteringen av \P- och \P{x}-sekvenser, där längden på dessa icke-standardoperatorer hanterades felaktigt.
Teckenklasser som innehöll ensamma Unicodesekvenser optimerades felaktigt, vilket resulterade i ett heapspill.
För den gamla stabila utgåvan (Sarge) har dessa problem rättats i version 4.5+7.4-1.
För den stabila utgåvan (Etch) har dessa problem rättats i version 6.7+7.4-2.
För den instabila utgåvan (Sid) har dessa problem rättats i version 7.3-1.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.