pidginの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pidginは、複数インスタントメッセージングネットワークの複数アカウントに同時にログインできるインスタントメッセージングプログラムです。次のパッケージが新しいアップストリームバージョンにアップグレードされました：pidgin（2.10.11）（BZ#1369526）セキュリティ修正プログラム：* PidginのMxitプラグインが顔文字を処理する方法に、サービス拒否の欠陥が見つかりました。悪意のあるリモートサーバーまたは中間にいる攻撃者はこの欠陥を利用して、特別に細工された顔文字を送信することにより、Pidginをクラッシュさせる可能性があります。（CVE-2014-3695）* PidginがGroupwiseサーバーメッセージを解析する方法に、サービス拒否の欠陥が見つかりました。悪意のあるリモートサーバーや中間にいる攻撃者がこの欠陥を利用し、特別に細工されたメッセージを送信することにより、Pidginに過剰なメモリを消費させ、クラッシュを引き起こす可能性があります。（CVE-2014-3696）* PidginがXMPPメッセージを解析する方法に、情報漏えいの欠陥が発見されました。悪意のあるリモートサーバーまたは中間にいる攻撃者がこの欠陥を利用し、特別に細工されたXMPPメッセージを送信することにより、Pidginプロセスに属するメモリの一部を漏えいする可能性があります。（CVE-2014-3698）* PidginがXMLコンテンツを処理する方法に、領域外書き込みの欠陥が見つかりました。悪意のあるリモートサーバーがこの欠陥を利用し、Pidginをクラッシュさせたり、Pidginプロセスのコンテキストで任意のコードを実行する可能性があります。（CVE-2017-2640）* PidginのSSL/TLSプラグインに証明書検証機能に欠陥があることが見つかりました。攻撃者はこの欠陥を利用して、Pidginが信頼する偽の証明書を作成する可能性があり、これはPidginに対する中間者攻撃を行うために使用されることがあります。（CVE-2014-3694）Red Hatは、この問題を報告してくれたPidginプロジェクトに感謝の意を表します。アップストリームは、Yves Younan氏（Cisco Talos）とRichard Johnson氏（Cisco Talos）をCVE-2014-3695およびCVE-2014-3696の、Thijs Alkemade氏とPaul Aurich氏はCVE-2014-3698の、Jacob Appelbaum氏とMoxie Marlinspike氏はCVE-2014-3694の最初の報告者として認めています。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

検出

RHEL 7：pidgin（RHSA-2017:1854）

critical Nessus プラグイン ID 102102

バージョン 3.17