Red Hat セキュリティアドバイザリ 2014:0139 から：

複数のセキュリティの問題を修正する更新済みの pidgin パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Pidgin が特定の HTTP 応答を処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工された HTTP 応答を送信し、Pidgin をクラッシュさせるたり、 Pidgin を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2013-6485）

Pidgin のいくつかのプロトコルプラグイン（Gadu-Gadu、MXit、SIMPLE）で、複数のヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工されたメッセージを送信する可能性があり、これにより、Pidgin をクラッシュさせたり、 Pidgin を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2013-6487、 CVE-2013-6489、CVE-2013-6490）

Pidgin の複数のプロトコルプラグイン（Yahoo!、XMPP、MSN、stun、IRC）に、複数のサービス拒否の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、特別に細工されたメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2012-6152、 CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、 CVE-2013-6484、CVE-2014-0020）

Pidgin XMPP プロトコルプラグインが、「iq」応答の発信源を検証していないことが見つかりました。リモートの攻撃者が、この欠陥を利用して、「iq」応答を偽装する可能性があります。これにより、捏造データの注入を引き起こすことや、NULL ポインターデリファレンスで Pidgin をクラッシュさせる可能性があります。（CVE-2013-6483）

Pidgin が特定の HTTP 応答ヘッダーを解析する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、特別に細工された HTTP 応答ヘッダーで、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6479）

マウスポインターが長い URL の上に重なると、Pidgin がクラッシュすることが見つかりました。リモートの攻撃者が、この欠陥を利用して、長い URL 文字列があるメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6478）

Red Hat は、これらの問題についてレポートしてくれた Pidgin プロジェクトに感謝の意を表します。Upstream は、Thijs Alkemade 氏、Robert Vehse 氏、 Jaime Breva Ribes 氏、Tor Project の Jacob Appelbaum 氏、Daniel Atallah 氏、ゲッティンゲン大学の Fabian Yamaguchi 氏と Christian Wressnegger 氏、 Volvent の Matt Jones 氏、および Sourcefire VRT の Yves Younan 氏、 Ryan Pentney 氏、Pawel Janic 氏を、これらの問題の最初の報告者として認めます。

pidgin の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするためには、Pidgin を再起動する必要があります。

検出

Oracle Linux 6：pidgin（ELSA-2014-0139）

critical Nessus プラグイン ID 72362

変更ログが見つかりません