セキュリティ問題を修正する新しい pidgin パッケージが、Slackware 13.0、13.1、13.37、 14.0、14.1、および最新版で利用可能です。

マルチプロトコルのインスタントメッセージングクライアントである Pidgin で、次のような複数の脆弱性が発見されています：

- CVE-2014-3694 SSL/TLS プラグインが、中間 CA 証明書の基本的な制約の拡張を検証できないことが判明しました。

- CVE-2014-3695 Yves Younan 氏と Richard Johnson 氏は、過剰な長さの値の顔文字によって Pidgin がクラッシュする可能性があることを発見しました。

- CVE-2014-3696 Yves Younan 氏と Richard Johnson 氏は、無効な形式の GroupWise メッセージによって Pidgin がクラッシュする可能性があることを発見しました。

- CVE-2014-3698 Thijs Alkemade 氏と Paul Aurich 氏は、無効な形式の XMPP メッセージによってメモリ漏洩が発生する可能性があることを発見しました。

2.10.10 に更新してください CVE-2014-3694、CVE-2014-3695、CVE-2014-3696、CVE-2014-3698 のセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

- バージョン 2.10.10 に更新してください：

+ 一般：

- SSL/TLS 証明書を検証する際に、基本制約拡張をチェックします。これは、悪意のある中間者が IM サーバーまたは他の https エンドポイントになりすますことを可能にするセキュリティホールを修正します。これは、 NSS および GnuTLS プラグインの両方に影響を与えます（CVE-2014-3694、boo#902495）。

- SSL に対して NSS プラグインを使用する際に、TLS 1.2 および 1.1 の許可および設定を行います（im#15909）。

+ libpurple3 の互換性：

-暗号化されたアカウントパスワードは、新しいパスワードが設定されるまで保存されます。

- Google Talk および Facebook XMPP アカウントのロードを修正します。

+ Windows 特有の変更：ユーザーがドラッグアンドドロップでスマイリーのテーマをインストールする際に、ファイルシステムの任意のファイルを上書きできません（CVE-2014-3697）。

+ Finch：Python 3 に対するビルドを修正します（im#15969）。

+ Gadu-Gadu：内部 libgadu をバージョン 1.12.0 に更新します。

+ Groupwise：大量のメモリを割り当てるべきと示すサーバーメッセージを解析するリモートクラッシュの可能性を修正します（CVE-2014-3696、boo#902410）。

+ IRC：/me コマンドを OTR で使用する場合にまだ暗号化されていないデータの漏洩の可能性を修正します（im#15750）。

+ MXit：形式が間違っているスマイリ応答を解析するリモートクラッシュの可能性を修正します（CVE-2014-3695、boo#902409）。

+ XMPP：

-悪意のある XMPP サーバーとリモートユーザーが巧妙に細工された XMPP メッセージを作成し、 libpurple に任意のメモリを含む XMPP メッセージを送信させる可能性がある、潜在的な情報漏洩を修正します（CVE-2014-3698、boo#902408）。

- Facebook XMPP ロースターの quirk を修正します（im#15041、im#15957）。

+ Yahoo：TLS 接続に GnuTLS ライブラリを使用する場合のログインを修正します（im#16172、boo#874606）。

- pidgin-gstreamer1.patch のドロップ：クラッシュを引き起こし、依然として Video は動作しません（boo#853038）。BuildRequires 条件をドロップし、GStreamer 1.0 に切り替えます。

- pidgin-crash-missing-gst-registry.patch をリベースします。

+ pidgin-crash-missing-gst-registry.patch を GST doc にしたがって追加します、「gst_init」は他の呼び出しの前に呼び出す必要があります。

pidginの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pidginは、複数インスタントメッセージングネットワークの複数アカウントに同時にログインできるインスタントメッセージングプログラムです。次のパッケージが新しいアップストリームバージョンにアップグレードされました：pidgin（2.10.11）（BZ#1369526）セキュリティ修正プログラム：* PidginのMxitプラグインが顔文字を処理する方法に、サービス拒否の欠陥が見つかりました。悪意のあるリモートサーバーまたは中間にいる攻撃者はこの欠陥を利用して、特別に細工された顔文字を送信することにより、Pidginをクラッシュさせる可能性があります。（CVE-2014-3695）* PidginがGroupwiseサーバーメッセージを解析する方法に、サービス拒否の欠陥が見つかりました。悪意のあるリモートサーバーや中間にいる攻撃者がこの欠陥を利用し、特別に細工されたメッセージを送信することにより、Pidginに過剰なメモリを消費させ、クラッシュを引き起こす可能性があります。（CVE-2014-3696）* PidginがXMPPメッセージを解析する方法に、情報漏えいの欠陥が発見されました。悪意のあるリモートサーバーまたは中間にいる攻撃者がこの欠陥を利用し、特別に細工されたXMPPメッセージを送信することにより、Pidginプロセスに属するメモリの一部を漏えいする可能性があります。（CVE-2014-3698）* PidginがXMLコンテンツを処理する方法に、領域外書き込みの欠陥が見つかりました。悪意のあるリモートサーバーがこの欠陥を利用し、Pidginをクラッシュさせたり、Pidginプロセスのコンテキストで任意のコードを実行する可能性があります。（CVE-2017-2640）* PidginのSSL/TLSプラグインに証明書検証機能に欠陥があることが見つかりました。攻撃者はこの欠陥を利用して、Pidginが信頼する偽の証明書を作成する可能性があり、これはPidginに対する中間者攻撃を行うために使用されることがあります。（CVE-2014-3694）Red Hatは、この問題を報告してくれたPidginプロジェクトに感謝の意を表します。アップストリームは、Yves Younan氏（Cisco Talos）とRichard Johnson氏（Cisco Talos）をCVE-2014-3695およびCVE-2014-3696の、Thijs Alkemade氏とPaul Aurich氏はCVE-2014-3698の、Jacob Appelbaum氏とMoxie Marlinspike氏はCVE-2014-3694の最初の報告者として認めています。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

Slackware 13.0、13.1、13.37、14.0、14.1 和最新版本有最新的 pidgin 套件可修正安全性問題。

在 Pidgin (多重通訊協定即時訊息用戶端) 中發現多個弱點：

- CVE-2014-3694 據發現，SSL/TLS 外掛程式無法驗證中繼 CA 憑證中的基本限制延伸模組。

- CVE-2014-3695 Yves Younan 和 Richard Johnson 發現，具有超大型長度值的 emoticons 可能造成 Pidgin 損毀。

- CVE-2014-3696 Yves Younan 和 Richard Johnson 發現，格式錯誤的 Groupwise 訊息可能造成 Pidgin 損毀。

- CVE-2014-3698 Thijs Alkemade 和 Paul Aurich 發現，格式錯誤的 XMPP 訊息可導致記憶體洩漏。

2.10.10 的更新 CVE-2014-3694、CVE-2014-3695、CVE-2014-3696、CVE-2014-3698 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- 2.10.10 版本的更新：

+ 一般：

- 驗證 SSL/TLS 憑證時，檢查基本的限制延伸模組。這可修正一個安全漏洞，該漏洞允許惡意的攔截式攻擊模擬 IM 伺服器或任何其他 https 端點。NSS 和 GnuTLS 外掛程式都會受到這個問題影響 (CVE-2014-3694、 boo#902495)。

- 使用 NSS 外掛程式執行 SSL 時，允許並偏好 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 相容性：

- 加密帳戶的密碼會保留到設定新的密碼為止。

- 修正載入 Google Talk 和 Facebook XMPP 帳戶。

+ Windows 特定變更：當使用者透過拖放方式安裝笑臉符號主題時，不允許在檔案系統上覆寫任意檔案 (CVE-2014-3697)。

+ Finch：修正針對 Python 3 的版本 (im#15969)。

+ Gadu-Gadu：將內部 libgadu 更新至版本 1.12.0。

+ Groupwise：修正剖析伺服器訊息時可能會造成的遠端當機，該訊息會指示應配置大量記憶體 (CVE-2014-3696、boo#902410)。

+ IRC：修正搭配 OTR 使用 /me 命令時，可能會洩漏未加密資料的問題 (im#15750)。

+ MXit：修正剖析格式錯誤的表情符號回應時，可能會造成的遠端當機 (CVE-2014-3695、boo#902409)。

+ XMPP：

- 修正潛在的資訊洩漏問題，在該問題中，惡意的 XMPP 伺服器甚或惡意的遠端使用者可利用特製的 XMPP 訊息，導致 libpurple 傳送含有任意記憶體的 XMPP 訊息 (CVE-2014-3698、boo#902408)。

- 修正 Facebook XMPP 名冊 quirk (im#15041、im#15957)。

+ Yahoo：修正使用 GnuTLS 程式庫進行 TLS 連線時的登入問題 (im#16172、boo#874606)。

- 中斷 pidgin-gstreamer1.patch：造成當機及視訊仍無法正常運作 (boo#853038)。中斷切換至 GStreamer 1.0 的 BuildRequires 情況。

- 重定基底 pidgin-crash-missing-gst-registry.patch。

+ 根據 GST 文件新增 pidgin-crash-missing-gst-registry.patch，應在其他任何呼叫之前呼叫 'gst_init'。

現已提供適用於 Red Hat Enterprise Linux 7 的 pidgin 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Pidgin 是即時訊息程式，可同時在多個即時訊息網路上登入多個帳戶。下列套件已升級至更新的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全性修正：* 在 Pidgin 的 Mxit 外掛程式處理表情符號的方式中，發現一個拒絕服務缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的表情符號，使 Pidgin 損毀。(CVE-2014-3695) * 在 Pidgin 剖析 Groupwise 伺服器訊息的方式中，發現一個拒絕服務缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的訊息，使 Pidgin 耗用過量記憶體，甚或導致當機。(CVE-2014-3696) * 在 Pidgin 剖析 XMPP 訊息的方式中，發現一個資訊洩漏缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的 XMPP 訊息，揭露屬於 Pidgin 處理程序的一部份記憶體。(CVE-2014-3698)* 在 Pidgin 處理 XML 內容的方式中，發現一個超出邊界寫入缺陷。惡意的遠端伺服器可利用此缺陷損毀 Pidgin，或在 pidgin 處理程序的內容中執行任意程式碼。(CVE-2017-2640) * 據發現，Pidgin 的 SSL/TLS 外掛程式的憑證驗證功能有一個缺陷。攻擊者可利用此缺陷，建立 Pidgin 會信任的假憑證，然後再用來對 Pidgin 發動攔截式攻擊。(CVE-2014-3694) Red Hat 感謝 Pidgin 專案報告這些問題。上游確認 Yves Younan (Cisco Talos) 及 Richard Johnson (Cisco Talos) 為 CVE-2014-3695 與 CVE-2014-3696 的原始報告者；Thijs Alkemade 及 Paul Aurich 為 CVE-2014-3698 的原始報告者；以及 Jacob Appelbaum 及 Moxie Marlinspike 為 CVE-2014-3694 的原始報告者。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

現已提供適用於 Red Hat Enterprise Linux 7 的 pidgin 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Pidgin 是即時訊息程式，可同時在多個即時訊息網路上登入多個帳戶。下列套件已升級至更新的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全性修正：* 在 Pidgin 的 Mxit 外掛程式處理表情符號的方式中，發現一個拒絕服務缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的表情符號，使 Pidgin 損毀。(CVE-2014-3695) * 在 Pidgin 剖析 Groupwise 伺服器訊息的方式中，發現一個拒絕服務缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的訊息，使 Pidgin 耗用過量記憶體，甚或導致當機。(CVE-2014-3696) * 在 Pidgin 剖析 XMPP 訊息的方式中，發現一個資訊洩露缺陷。惡意遠端伺服器或攔截式攻擊者可利用此缺陷，透過傳送特製的 XMPP 訊息，揭露屬於 Pidgin 處理程序的一部份記憶體。(CVE-2014-3698)* 在 Pidgin 處理 XML 內容的方式中，發現一個超出邊界寫入缺陷。惡意的遠端伺服器可利用此缺陷損毀 Pidgin，或在 pidgin 處理程序的內容中執行任意程式碼。(CVE-2017-2640) * 據發現，Pidgin 的 SSL/TLS 外掛程式的憑證驗證功能有一個缺陷。攻擊者可利用此缺陷，建立 Pidgin 會信任的假憑證，然後再用來對 Pidgin 發動攔截式攻擊。(CVE-2014-3694) Red Hat 感謝 Pidgin 專案報告這些問題。上游確認 Yves Younan (Cisco Talos) 及 Richard Johnson (Cisco Talos) 為 CVE-2014-3695 與 CVE-2014-3696 的原始報告者；Thijs Alkemade 及 Paul Aurich 為 CVE-2014-3698 的原始報告者；以及 Jacob Appelbaum 及 Moxie Marlinspike 為 CVE-2014-3694 的原始報告者。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

The remote host is running a vulnerable version of Pidgin chat client.  This version of Pidgin is vulnerable to multiple flaws which would allow an attacker to read/write arbitrary data, subvert security tokens, cause a denial of service, and more.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78657	Slackware 13.0/13.1/13.37/14.0/14.1/最新版：pidgin（SSA：2014-296-02）	Nessus	Slackware Local Security Checks	2014/10/24	2021/1/14	medium
78659	Debian DSA-3055-1：pidgin - セキュリティ更新	Nessus	Debian Local Security Checks	2014/10/24	2021/1/11	medium
79091	Fedora 20 : pidgin-2.10.10-1.fc20 （2014-14069）	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79223	openSUSE セキュリティ更新：pidgin（openSUSE-SU-2014:1397-1）	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	medium
102736	CentOS 7：pidgin（CESA-2017:1854）	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
102102	RHEL 7：pidgin（RHSA-2017:1854）	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	critical
78657	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：pidgin (SSA:2014-296-02)	Nessus	Slackware Local Security Checks	2014/10/24	2021/1/14	medium
78659	Debian DSA-3055-1：pidgin - 安全性更新	Nessus	Debian Local Security Checks	2014/10/24	2021/1/11	medium
79091	Fedora 20 : pidgin-2.10.10-1.fc20 (2014-14069)	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79223	openSUSE 安全性更新：pidgin (openSUSE-SU-2014:1397-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	medium
102736	CentOS 7：pidgin (CESA-2017:1854)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
102102	RHEL 7：pidgin (RHSA-2017:1854)	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	critical
8575	Pidgin < 2.10.10	Nessus Network Monitor	Internet Messengers	2014/10/23	2019/3/6	medium

検出

プラグインの検索

medium

medium

medium

medium

critical

critical

medium

medium

medium

medium

critical

critical

medium