Debian DSA-2859-1：pidgin - いくつかの脆弱性

critical Nessus プラグイン ID 72439

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

マルチプロトコルのインスタントメッセージングクライアントである Pidgin で、次のような複数の脆弱性が発見されています：

- CVE-2013-6477 Jaime Breva Ribes 氏は、遠い未来のタイムスタンプ付きメッセージを送信することで、リモートの XMPP ユーザーがクラッシュを誘発できることを発見しました。

- CVE-2013-6478 過度に広いツールチップウィンドウにより、Pidgin がクラッシュする可能性があります。

- CVE-2013-6479 Jacob Appelbaum 氏は、悪意のあるサーバーまたは「中間者」が、無効な形式の HTTP ヘッダーを送信することで、サービス拒否を引き起こす可能性があることを発見しました。

- CVE-2013-6481 Daniel Atallah 氏は、無効な形式の Yahoo! P2P メッセージにより、Pidgin がクラッシュする可能性があることを発見しました。

- CVE-2013-6482 Fabian Yamaguchi 氏と Christian Wressnegger 氏は、無効な形式の MSN メッセージにより Pidgin がクラッシュする可能性があることを発見しました。

- CVE-2013-6483 Fabian Yamaguchi 氏と Christian Wressnegger 氏は、無効な形式の XMPP メッセージにより、Pidgin がクラッシュする可能性があることを発見しました。

- CVE-2013-6484 STUN サーバーからの応答を読み取る際に、エラーを間違って処理しているため、クラッシュを引き起こす可能性があることが判明しました。

- CVE-2013-6485 Matt Jones 氏は、無効な形式の HTTP 応答を解析する際に、バッファオーバーフローがあることを発見しました。

- CVE-2013-6487 Yves Younan 氏と Ryan Pentney 氏は、Gadu-Gadu メッセージを解析する際に、バッファオーバーフローがあることを発見しました。

- CVE-2013-6489 Yves Younan 氏と Pawel Janic 氏は、MXit 絵文字を解析する際に、整数オーバーフローがあることを発見しました。

- CVE-2013-6490 Yves Younan 氏は、SIMPLE ヘッダーを解析する際に、バッファオーバーフローがあることを発見しました。

- CVE-2014-0020 Daniel Atallah 氏は、無効な形式の IRC 引数を通じて、Pidgin がクラッシュする可能性があることを発見しました。

ソリューション

pidgin パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）の場合、直接バックポートは提供されません。修正済みパッケージが、backports.debian.org から間もなく提供されることになっています。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 2.10.9-1+deb7u1 で修正されています。