<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On 11 April 2015 at 13:37, Daniele Tricoli <span dir="ltr"><<a href="mailto:eriol@mornie.org" target="_blank">eriol@mornie.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On Thursday 09 April 2015 09:19:03 Thomas Goirand wrote:<br>
> If the package isn't vulnerable, shouldn't this bug report be closed? If<br>
> that's the case, then I'll let you close it. In the mean while, I'll<br>
> downgrade the severity to normal, in order to not remove the package<br>
> (and its rev-dependencies) from testing.<br></blockquote><div><br></div><div>However, the package is vulnerable to the other issue:<br><br>
- If the secretKey was expected to be a RSA public key, but the attacker  
changed the header to indicate a signature algorithm of HMAC, the RSA  
public key would be used as the signing secret. <br><br></div><div>I think it is important that this issue is corrected in jessie. <br></div></div>
</div></div>