Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の pidgin

medium Nessus プラグイン ID 60505

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Pidgin の MSN プロトコルハンドラーで、サービス拒否の欠陥が見つかりました。
リモートユーザーが、注意深く細工されたファイルリクエストを送信することができて、 Pidgin ユーザーがこれを受け入れた場合、Pidgin がクラッシュする可能性があります。
（CVE-2008-2955）

Pidgin のユニバーサルプラグアンドプレイ（UPnP）リクエストの処理にサービス拒否の欠陥が見つかりました。悪意ある UPnP サーバーがリクエストを Pidgin に送信して、過剰な量のデータをダウンロードさせ、利用可能なすべてのメモリまたはディスクスペースを消費させることが可能です。（CVE-2008-2957）

Pidgin が SSL 証明書を処理する方法で、欠陥が見つかりました。Pidgin の NSS SSL 実装が、 SSL 証明書の認証を適切に検証しませんでした。これにより、ユーザーが知らないうちに悪意ある SSL サービスに接続する可能性があります。（CVE-2008-3532）

また、この更新は、pidgin をバージョン 2.3.1 からバージョン 2.5.2 へアップグレードし、Pidgin プロジェクトからの多くの安定性と機能性に関する修正を追加します。

注：最近、Secure Internet Live Conferencing （SILC）チャットネットワークプロトコルが変更されました。これにより、Red Hat Enterprise Linux に同梱されているあらゆるバージョンの Pidgin が影響を受けます。

現在、Pidgin は最新バージョンの SILC サーバー（1.1.14）に接続することができません。最初のログイン時に適切な鍵の交換に失敗します。この更新では、これは修正されません。Red Hat Bugzilla #474212（「参照」セクションにリンクがあります）に詳細が記載されています。

注：更新を有効にするには、エラータパッケージのインストール後に Pidgin を再起動する必要があります。