Berkeley news:
ù April 4, 2003 ù There is a software update with a precautionary security fix. To obtain it, go the the download page.
http://setiathome.ssl.berkeley.edu/download.html
Version 3.08 is a precautionary security release. There was a potential buffer overrun in the networking code of the client that is fixed with version 3.08. Note that to exploit this vulnerability, a potential attacker would have to trick the client into contacting a fake server rather than the actual SETI@home server. To our knowledge, no SETI@home client has ever been attacked in this manner. http://setiathome.ssl.berkeley.edu/version308.html
The page of the guy who found the exploit:
http://spoor12.edup.tudelft.nl/
Confirmed remote exploitable: setiathome-3.03.i386-pc-linux-gnu-gnulibc2.1 setiathome-3.03.i686-pc-linux-gnu-gnulibc2.1 setiathome-3.03.i386-pc-linux-gnulibc1-static setiathome-3.03.i686-pc-linux-gnulibc1-static setiathome-3.03.i386-winnt-cmdline.exe i386-unknown-freebsd2.2.8 (Special thanks to Niels Heinen) SETI@home.exe (v3.07 Screensaver)
Fixed Versions:
setiathome-3.08.i386-winnt-cmdline.exe is here !
ftp://alien.ssl.berkeley.edu/pub/setiathome-3.08.i386-winnt-cmdline.exe
linux 3.08 as well:
ftp://alien.ssl.berkeley.edu/pub/setiathome-3.08.i686-pc-linux-gnu.tar
Heise news: (german)
http://www.heise-online.de/newsticker/data/jk-07.04.03-000/
In den Clients des Projekts seti@home wurde eine Sicherheitsl�?�cke durch einen m÷glichen Buffer Overflow gefunden. Dadurch lΣsst sich auf den lokalen Servern durch Angreifer beliebiger Code ausf�?�hren. Laut dem Entdecker der L�?�cke, Berend-Jan Wever, d�?�rften alle Client-Versionen davon betroffen sein; allerdings muss der Angreifer dem Client per Spoofing einen anderen Server als den offiziellen seti@home-Server unterschieben. ZusΣtzlich lΣsst sich das Leck auch �?�ber einen Proxy-Server oder einen Router ausnutzen...