Специалист по безопасности из университета Carnegie Mellon и его команда обнаружили условия возникновения тысяч крахов исполняемых файлов из дистрибутива Debian Wheezy. Ошибки были выявлены с помощью автоматизированной системы для поиска ошибок Mayhem (PDF), которая разрабатывалась в одной из лабораторий учреждения последние несколько лет.

Полный список программ, в которых были найдены проблемы можно посмотреть здесь. Из наиболее известных можно отметить xml2, fvwm, xorg-server, vnc4, amule, attr, freetds, rss-glx, cairo, udftools, checkpolicy, db, strigi, dhcpd, gutenprint, faad2, exim4, tiff, fluxbox, mgetty, gcc, hal, groff, hunspell, squid, nasm.

Для того чтобы не наводнять систему трекинга ошибок Debian новыми записями, вместо заведения более 1200 отчётов об ошибках исследователи направили разработчикам Debian данные об ошибках в форме сводного отчёта. Как правило, проблемы вызваны переполнением стека или ошибками форматирования строки. Указанные проблемы в своей массе не являются критическими уязвимостями, но могут помочь атакующему провести более успешную и быструю атаку на удалённый компьютер. Например, проведённая ещё до эксперимента с Debian ручная проверка 29 крахов, выявленных с использованием Mayhem, показала, что во всех из данных программ присутствуют уязвимости, для которых может быть разработан эксплоит (среди программ, в которых подтверждены уязвимости rsync, aspell, freeradius, ghostscript, iwconfig и т.п.).