Nyoppdaget sikkerhetsbrist rammer svært bredt

Bristen gjelder en heltallsoversvømmelse i xdr_array-funksjonen i Suns XDR-bibliotek ("external data representation"). Biblioteket tilbyr platformuavhengig utveksling av data mellom systemprosesser over et nettverk, og brukes spesielt i rutiner for kall på fjerne prosedyrer. Suns XDR distribueres videre gjennom en rekke andre bibliotek, som BSD og GNU, slik at flere Unix- og Linux-systemer er utsatt for sikkerhetshullet. Apple har bekreftet overfor amerikansk presse at brukere av Mac OS X må installere en fiks. Microsoft undersøker saken nærmere.

Computer Emergency Response Team (CERT) advarer at kyndige uvedkommende vil kunne utnytte bristen til å kjøre vilkårlig kode på offerets maskiner.

Bristen rammer også tjenester levert gjennom tredjepart, blant annet det utbredte autentiseringssystemet Kerberos som benytter Suns XDR-bibliotek i sitt driftssystem. Kerberos' opphav, Massachusetts Institute of Technology, advarer at bristen trolig vil kunne utnyttes til å oppnå rottilgang til en Kerberos-vert. MIT har lagt ut dette dokumentet med både forklaring og fiks: MIT krb5 Security Advisory 2002-001.

Nærmere detaljer om bristen er gitt i CERTs advarsel CERT® Advisory CA-2002-25 Integer Overflow In XDR Library, som også oppdateres fortløpende med informasjon om patcher fra ulike leverandører.