リモートホストにインストールされている Pidgin のバージョンは、 2.7.10 より前です。こうしたバージョンは、アプリケーションが、「libpurple/cipher.c」で使用された特定のデータ構造体を解放する前に、適切にクリアしないために、情報漏洩の脆弱性の影響を受ける可能性があります。攻撃者が、この欠陥を悪用して、部分的な情報を libpurple が解放するメモリ領域から抽出する可能性があります。

リモートの Oracle Linux 6 ホストに、ELSA-2011-0616 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2011-1091 RH バグ #683031のパッチを追加します。
    - 現在は upstream を含むパッチを削除しています
        pidgin-2.6.6-clientLogin-proxy-fix.patchpidgin-2.6.6-clientLogin-use-https.patchpidgin-2.6.6-CVE-2010-1624.patchpidgin-2.6.6-CVE-2010-3711.patch

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Evgeny Boger 氏は、Pidgin が AIM および ICQ プロトコルハンドラーのバディーリストを不適切に処理することを発見しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は Ubuntu 10.04 LTS、11.04 および 11.1 にしか影響を与えません。（CVE-2011-4601）

Thijs Alkemade 氏は、Pidgin が XMPP プロトコルハンドラーの無効な形式の音声およびビデオチャットリクエストを不適切に処理することを発見しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は Ubuntu 10.04 LTS、11.04 および 11.1 にしか影響を与えません。（CVE-2011-4602）

Diego Bauche Madero は、SILC プロトコルハンドラーにおいて Pidgin による UTF-8 シーケンスの処理が不正確に行われたことを発見しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は Ubuntu 10.04 LTS、11.04 および 11.1 にしか影響を与えません。（CVE-2011-4603）

Julia Lawall 氏は、Pidgin が暗号オペレーションで使用されたメモリコンテンツを不適切に消去することを発見しました。攻撃者がこれを悪用して、メモリコンテンツを読み取ることで、情報漏洩させる可能性があります。この問題は、Ubuntu 10.04 LTS だけに影響を与えました。（CVE-2011-4922）

Clemens Huebner 氏および Kevin Stange 氏は、Pidgin が XMPP プロトコルハンドラーのチャットルーム内のニックネーム変更を不適切に処理することを発見しました。リモートの攻撃者がこれを悪用して、ニックネームを変更することで、サービス拒否を引き起こすことができます。この問題の影響を受けるのは、Ubuntu 11.10 のみです。
（CVE-2011-4939）

Thijs Alkemade 氏は、Pidgin が MSN プロトコルハンドラーのオフラインインスタントメッセージを不適切に処理することを発見しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は Ubuntu 10.04 LTS、11.04 および 11.1 にしか影響を与えません。（CVE-2012-1178）

José Valentín Gutiérrez 氏は、Pidgin が XMPP プロトコルハンドラーのファイル転送リクエスト中の SOCKS5 プロキシ接続を不適切に処理することを発見しました。リモートの攻撃者が特別に細工されたリクエストを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。
この問題の影響を受けるのは、 Ubuntu 12.04 LTS および 11.10 のみでした。（CVE-2012-2214）

Fabian Yamaguchi 氏は、Pidgin が MSN プロトコルハンドラーの無効な形式のメッセージを不適切に処理することを発見しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。（CVE-2012-2318）

Ulf Härnhammar 氏は、Pidgin が MXit プロトコルハンドラーのインライン画像付きのメッセージを不適切に処理することを発見しました。リモートの攻撃者が、特別に細工されたメッセージを送信し、ユーザーの権限で任意のコードを実行する可能性があります。（CVE-2012-3374）。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.7.10 以前の Pidgin の libpurple の Cipher API 内の cipher.c は、暗号化キーのデータをプロセスメモリに保持し続けます。これにより、ローカルユーザーがコアファイルやメモリ内容の他の表現を読み取ることで、機密情報を取得する可能性があります。(CVE-2011-4922)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2011:0616 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Pidgin は、複数インスタントメッセージングネットワークの複数アカウントに同時にログインできるインスタントメッセージングプログラムです。

    複数の NULL ポインターデリファレンスの欠陥が、 Pidgin Yahoo! メッセンジャープロトコルプラグインが無効な形式の YMSG パケットを処理する方法で見つかりました。リモートの攻撃者がこれらの欠陥を利用して、特別に細工された通知メッセージを介してPidginをクラッシュさせる可能性があります。 （CVE-2011-1091）

    Red Hat は、この問題を報告してくれた Pidgin プロジェクトに感謝の意を表します。
    Upstream は、Marius Wachtler 氏を最初の報告者として認めます。

    この更新では、次のバグも修正しています。

    * pidgin パッケージの以前のバージョンは、libpurple/cipher.c で使用されている特定のデータ構造を解放しようとする際に適切に消去していませんでした。
    以前に解放されたメモリの不正にクリアされた領域から、部分的な情報が抽出される可能性があります。この更新で、解放時にデータ構造が適切にクリアされます。（BZ#684685）

    * このエラータは、Pidgin を Upstream バージョン 2.7.9 にアップグレードします。このアップグレードで対処されたすべての変更のリストについては、http://developer.pidgin.im/wiki/ChangeLogを参照してください（BZ#616917）

    * kn_INおよびta_INロケールの一部の不完全な変換が訂正されました。（BZ#633860、BZ#640170）

    pidgin のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。この更新を有効にするためには、Pidgin を再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
52042	Pidgin < 2.7.10 の情報漏洩	Nessus	Windows	2011/2/21	2018/7/24	medium
181064	Oracle Linux 6pidginELSA-2011-0616	Nessus	Oracle Linux Local Security Checks	2023/9/7	2025/4/29	medium
59903	Ubuntu 10.04 LTS / 11.04 / 11.10 / 12.04 LTS：pidgin の脆弱性（USN-1500-1）	Nessus	Ubuntu Local Security Checks	2012/7/10	2019/9/19	high
217478	Linux Distros のパッチ未適用の脆弱性: CVE-2011-4922	Nessus	Misc.	2025/3/3	2025/3/3	high
54598	RHEL 6：pidgin （RHSA-2011:0616）	Nessus	Red Hat Local Security Checks	2011/5/20	2025/4/14	medium

検出

プラグインの検索

medium

medium

high

high

medium