[Dogbert]

Nimelt leiti Debiani OpenSSL paketist alates versioonist 0.9.8c-1 (etch) (17.sept 2006) turvaauk, mille tõttu selle abil genereeritud krüptovõtmete võimalike väärtuste hulk on 32768, mitte peaaegu lõpmatu hulk, nagu olema peaks.
Seetõttu on kõik selle abil genereeritud SSH, OpenVPN, DNSSEC võtmed, kõik genereeritud X.509 serdid ja SSL/TLS ühendustes kasutatavad sessioonivõtmed potentsiaalselt murtavad brute-force rünnaku abil.
Viga mõjutab kõiki Debianil baseeruvaid süsteeme, see tähendab, et lisaks Debianile on vigased ka kõik buntulised - Ubuntu, Kubuntu jne

Vahemärkusena, et GnuPG või GNUTLS abil genereeritud võtmed on korras ja neid see viga ei mõjuta.

Parandused nii openssl-ile kui openssh-le on olemas http://security.debian.org allikates ja need saab paigaldada tavalisel viisil paketihalduri abil (peaks kehtima ka Ubuntule)

Kõik vigased võtmed ja serdid tuleks genereerida uuesti:
http://www.debian.org/security/key-rollover/

OpenSSH parandustepaketiga tuleb kaasa ka vahend olemasolevate SSH krüptovõtmete kontrollimiseks: ssh-vulnkey
Leitud veast mõjutatud võtmed tuleks genereerida uuesti

Täpsemalt:
OpenSSL veast: http://www.debian.org/security/2008/dsa-1571
OpenSSH veast: http://www.debian.org/security/2008/dsa-1576

Kui keegi soovib uudist täiendada ja arvab, et see on oluline, siis palun, tehke seda.
Kui kellelgi tekib raskusi paranduste paigalduse või uute võtmete/sertide genereerimisega, siis kindlasti leidub ka siin aitajaid.

_______________________________
Allikad:
http://www.debian.org/security/2008/dsa-1571
http://www.debian.org/security/2008/dsa-1576
http://blog.washingtonpost.com/securityfix/2008/05/debian_and_ubuntu_users_fix_yo.html
http://www.slyck.com/forums/viewtopic.php?t=42738