<html style="direction: ltr;">
  <head>

    <meta http-equiv="content-type" content="text/html; charset=gbk">
    <style type="text/css">body p { margin-bottom: 0cm; margin-top: 0pt; } </style>
  </head>
  <body style="direction: ltr;" bidimailui-charset-is-forced="true"
    bgcolor="#FFFFFF" text="#000000">
    Dear Maintainer,<br>
    <br>
    I don't know whether it is easy to exploit. But I believe every
    memory bug related to a security-oriented package is grave.<br>
    <br>
    By the way, I managed creating a patch locally, may it be useful for
    you.<br>
    <br>
    Persmule<br>
    <br>
    On Sun, 18 Oct 2015 17:31:08 -0400 Eric Dorland
    <a class="moz-txt-link-rfc2396E" href="mailto:eric@debian.org"><eric@debian.org></a> wrote:<br>
    > * persmule (<a class="moz-txt-link-abbreviated" href="mailto:persmule@gmail.com">persmule@gmail.com</a>) wrote:<br>
    > > Package: libengine-pkcs11-openssl<br>
    > > Version: 0.1.8-5<br>
    > > Severity: grave<br>
    > > Tags: security<br>
    > > Justification: user security hole<br>
    > > <br>
    > > Dear Maintainer,<br>
    > > <br>
    > > Functions in src/engine_pkcs11.c to set static global data
    (set_module,<br>
    > > set_pin, get_pin and set_init_args) do not free memories
    pointed by the<br>
    > > corresponding pointers before assigning them to newly
    allocated<br>
    > > memories, which<br>
    > > may cause memory leaks if they are called more than once.<br>
    > > <br>
    > > The bugs related to set_module, set_pin and get_pin are
    fixed on<br>
    > > upstream, but<br>
    > > the one of set_init_args is not.<br>
    > <br>
    > Agreed that these are valid memory leaks but what's the
    security<br>
    > implication? This doesn't seem obviously exploitable.<br>
    > <br>
    > -- <br>
    > Eric Dorland <a class="moz-txt-link-rfc2396E" href="mailto:eric@kuroneko.ca"><eric@kuroneko.ca></a><br>
    > 43CF 1228 F726 FD5B 474C E962 C256 FBD5 0022 1E93<br>
    <br>
  </body>
</html>