lighttpd до 1.4.33 не проверяет возвращаемое значение функций (1) setuid, (2) setgid или (3) setgroups, что может привести к тому, что ligh…

lighttpd до 1.4.33 не проверяет возвращаемое значение функций (1) setuid, (2) setgid или (3) setgroups, что может привести к тому, что lighttpd будет работать от имени root, если он будет перезапущен, и позволяет удаленным злоумышленникам получать привилегии, как продемонстрировано несколькими вызовами функции clone, которые приводят к сбою setuid при достижении предела пользовательского процесса.