En parlant de bugs..

Debian a fait la mega boulette et a compromis avec un patch qui leur est spécifique, la génération de clefs avec openssl.

http://lists.debian.org/debian-security-announce/2008/msg001(...)

Bien sur, ça touche aussi Mobutu qui se contente de reprendre tout ce que fait debian et d'y mettre du sucre :
http://www.ubuntu.com/usn/usn-612-1

"All OpenSSH and X.509 keys generated on such systems must be considered untrustworthy, regardless of the system on which they are used, even after the update has been applied. "