Outre un système de fichiers plus performant et le support d'OpenSSH, cette nouvelle version corrige les innombrables vulnérabilités apparues depuis la version 2.8 (vulnérabilités ayant fait l'objet de correctifs de la part d'OpenBSD).

Voici énumérées ci-dessous les différentes vulnérabilités que la version 2.9 corrige :

• CERT-IST/AV-2001.096 : Débordements de pile de serveurs FTP dus aux caractères "jokers"
• CERT-IST/AV-2001.044a : Vulnérabilité dans les versions Intel des noyaux de NetBSD, OpenBSD et Solaris
• CERT-IST/AV-2001.052 : Débordement de pile dans sudo 1.6.3p5
• CERT-IST/AV-2001.025 : Vulnérabilités dans le serveur de noms BIND 4.9.x et 8.2.x de ISC
• CERT-IST/AV-2000.314 : Vulnérabilités dans Kerberos IV (KTH) sous les sytèmes BSD
• CERT-IST/AV-2000.312 : Vulnérabilité dans le serveur FTP sous OpenBSD, NetBSD, Linux SuSE et Linux Debian
• CERT-IST/AV-2000.120 : Débordement de pile dans le package Xlockmore sous NetBSD, OpenBSD, FreeBSD, Linux Debian et Linux Mandrake
• CERT-IST/AV-2000.119 : Vulnérabilité dans le filtre de paquets IPFilter sous Unix
• CERT-IST/AV-2000.015 : Vulnérabilité dans le système de fichiers procfs sous FreeBSD 3.3 et antérieures, OpenBSD 2.8 et antérieures, NetBSD 1.4.1 et antérieures

Voici également les problèmes qui n'ont pas été cités par le Cert-IST au travers de ses différents avis car le Cert-IST a considéré qu'ils relevaient de contextes trop spécifiques :

• la librairie relative à la fonction " readline " permet la création de fichier " historique " avec des droits trop permissifs
• problème au niveau de la gestion du champ AH du protocole IPSec pouvant entraîner un déni de service (http://www.openbsd.org/errata28.html#ipsec_ah )
• renforcement des programmes de génération de nombres aléatoires (http://www.openbsd.org/errata28.html#rnd ).

Pour plus d'information :

• Page de la version 2.9 : http://www.openbsd.org/29.html
• Liste complète des changements par rapport à la version 2.8 : http://www.openbsd.org/plus29.html