Laut der Full Disclosure-Mailinglisten ist in eMule-Versionen bis v0.42d ein Sicherheitsleck zu finden.

Mit Hilfe eines Fehlers in der Funktion DecodeBase16() kann ein Angreifer eigenen Code in ein somit verwundbares System einschleusen. Die Funktion dekodiert hexadezimale Zeichenketten und wird unter anderem von der Webserver-Funktionalität (Fernadministration des eMules) und dem integrierten IRC-Client benutzt.

Da die maximale Länge des gesendeten Strings nicht überprüft wird, kann beispielsweise mit dem SENDLINK-Befehl ein Buffer Overflow ausgelöst werden. Mit Hilfe dieses Fehlers können nun Angreifer eigenen Code einschleusen.

Die Entwickler von eMule haben bereits einen Patch auf v0.42e bereitgestellt.

Ein Beispiel zur Ausnutzung des Fehlers ist in der Quelle zu finden.
Der Downloadlink verweist auf die neue, fehlerbereinigte eMule-Version.