O problema é causado por um estouro de inteiro no componente dstring.c do pacote GNU cpio, especificamente na função `ds fgetstr`. Esse estouro desencadeia uma gravação fora dos limites da pilha (heap), permitindo que invasores executem código arbitrário por meio de um arquivo de padrão malicioso associado à opção -E. Não está claro se há casos comuns em que o arquivo de padrão seja composto por dados não confiáveis.