據發現，RPM 會將檔案內容寫入到使用暫時名稱的目標安裝目錄，並且只有在暫存檔已完全寫入後，才會驗證其密碼編譯簽章。
在某些情況下，系統會解譯未驗證的暫存檔內容，並從中擷取命令。這可能會讓攻擊者修改已簽署的 RPM 檔案，從而可以在套件安裝期間，執行其所選擇的程式碼。
(CVE-2013-6435)

據發現，在 RPM 檔案的承載區段中，剖析特製的 CPIO 標頭時，RPM 可能會出現整數溢位，從而導致堆疊型緩衝區溢位。這可能會讓攻擊者修改已簽署的 RPM 檔案，從而可以在套件安裝期間，執行其所選擇的程式碼。(CVE-2014-8118)

必須重新啟動所有連結到 RPM 程式庫的執行中應用程式，此更新才會生效。

偵測

Scientific Linux 安全性更新：SL7.x x86_64 上的 rpm

critical Nessus Plugin ID 80016

找不到變更記錄