Tavis Ormandy fra Google Security Team har opdaget flere sikkerhedsproblemer i PCRE, Perl-Compatible Regular Expression-biblioteket, hvilket potentielt kunne gøre det muligt for angribere at udføre vilkårlig kode ved at compile særligt fremstillede regulære udtryk.
Version 7.0 af PCRE-biblioteket indeholdt en større omskrivning af regulære udtryk-compileren, og det blev vurderet upraktisk at tilbageføre sikkerhedsrettelserne fra version 7.3 til versionerne i Debians stabile og gamle stable distributioner (6.7 hhv. 4.5). Derfor er denne opdatering baseret på version 7.4 (der indeholder sikkerhedsfejlrettelser fra version 7.3, samt flere rettede regressioner), med særlige rettelser til at forbedre kompatibiliteten med de ældre versioner. Man skal derfor være særlig omhyggelig når denne opdatering lægges på.
Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
Ikke-matchede \Q\E-sekvenser med forældreløse \E-koder kunne medføre at compilet regex blev afsynkroniseret, med ødelagt bytecode til følge, hvilket kunne give flere udnytbare situationer.
Flere former for tegn-klasser havde fejlberegnede størrelser i de indledende gennemløb, medførende at for lidt hukommelse blev allokeret.
Flere møstre på formen \X?\d eller \P{L}?\d i ikke-UTF-8-tilstand kunne springe tilbage til før begyndelsen af strengen, muligvis lækkende oplysninger fra adresserummet, eller forårsagende et nedbrud ved at læse uden for grænserne.
En antal rutiner kunne narres til at læse ud over slutningen af en streng, ved søgning efter ikke-matchede parenteser eller klammer, medførende et lammelsesangreb (denial of service).
Flere heltalsoverløb i behandlingen af escape-sekvenser kunne medføre heap-overløb eller læsning/skrivning uden for grænserne.
Flere uendelige løkker og heap-overløb blev opdaget i hånteringen af sekvenser med \P og \P{x}, hvor længden af disse ikke-standard handlinger blev håndteret ukorrekt.
Tegn-klasser indeholdende en enlig unicode-sekevens blev optimeret på forkert vis, medførende heap-overløb.
I den gamle stabile distribution (sarge), er disse problemer rettet i version 4.5+7.4-1.
I den stabile distribution (etch), er disse problemer rettet i version 6.7+7.4-2.
I den ustabile distribution (sid), er disse problemer rettet i version 7.3-1.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.