Я бы заглянул в его исходники.

Исходники

Оно на питоне: http://pastebin.com/5gTcs8xa

Прошу прощения, сам не программист...

Для ясности: он показывает, что Ленни имеет уязвимости, но это не так?

Как - не так? Такие пакеты не установлены или таких версии вообще нет?

Похоже на то, что он тупо выводит список уязвимостей без учета подверженности конкретной системы этим уязвимостям. Например, выводит CVE 2005 года, давно исправленные.

Пример. Debsecan вот что находит:

# debsecan --suite lenny | grep sudo
CVE-2005-4890 sudo (low urgency)
CVE-2012-0809 sudo (fixed, high urgency)

У меня стоит sudo 1.7.4p6-1:

Смотрим CVE-2012-0809: Format string vulnerability in the sudo_debug function in Sudo 1.8.0 through 1.8.3p1 allows local users to execute arbitrary code via format string sequences in the program name for sudo.

То есть мой sudo этому не подвержен, а debsecan все-равно на него ругается.

Такие пакеты не установлены или таких версии вообще нет?

Нет, он показывает информацию только для установленных пакетов, но он некорректно определяет, подвержен ли установленный у меня пакет определенной уязвимости, или нет.

Например, выводит CVE 2005 года, давно исправленные.

Нет, в данном случае я ошибся, CVE-2005-4890 как раз не исправлена. Некорректный пример...