Директории /var/man/cat* открыты на запись, что позволяет создать файлы с именами содержащими sh-символы, которые будут выполнены при вызове команды man.
vulners.com/securityvulns/securityvulns:doc:1845