Nós recebemos notícias de que o "SSH CRC-32 compensation attack detector vulnerability" está sendo ativamente exploitado. Esse é o mesmo erro do tipo inteiro anteriormente corrigido para OpenSSH no DSA-027-1. OpenSSH (o pacote ssh da Debian) foi consertado na mesma hora, mas o ssh-nonfree e o ssh-socks não foram.
Mesmo que os pacotes da seção non-free do repositório ainda não sejam oficialmente suportados pelo projeto Debian, nós tomamos um posição não usual e estamos lançando pacotes ssh-nonfree/ssh-socks atualizados para aqueles que ainda não migraram para o OpenSSH. Entretanto, nós recomendamos que nossos usuários migrem para o que é suportado regularmente, o pacote DFSG-free "ssh", logo. ssh 1.2.3-9.3 é o pacote OpenSSH disponível no Debian 2.2r4.
Os pacotes ssh-nonfree/ssh-socks consertados estão disponíveis na versão 1.2.27-6.2 para uso com o Debian 2.2 (potato) e na versão 1.2.27-8 para o uso com a distribuição Debian unstable/testing. Note que os novos pacotes ssh-nonfree/ssh-socks removem o bit setuid do binário ssh, desativando autenticação rhosts-rsa. Se você precisar dessa funcionalidade, rode
chmod u+s /usr/bin/ssh1
depois de instalar o novo pacote.
Checksums MD5 dos arquivos listados estão disponíveis no alerta original.