Red Hat セキュリティアドバイザリ 2009:1059 から：

2 件のセキュリティ問題を修正する更新済みの pidgin パッケージが、Red Hat Enterprise Linux 3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Extensible Messaging and Presence Protocol （XMPP）使用時に Pidgin でファイル転送を開始する方法にバッファオーバーフローの欠陥が見つかりました。Pidgin クライアントがファイル転送を開始し、リモートターゲットが無効な形式の応答を送信した場合、Pidgin がクラッシュしたり、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。この欠陥は、Jabber や Google トークなど、XMPP を使用するアカウントにしか影響しません。(CVE-2009-1373)

32 ビットのプラットフォームでは、Red Hat セキュリティアドバイザリ RHSA-2008:0584 が提供する、Pidgin の MSN プロトコルハンドラーに影響する整数オーバーフローの欠陥に対する修正が不完全であることが発見されました。Pidgin クライアントが特別に細工された MSN メッセージを受信した場合、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。(CVE-2009-1376)

注：デフォルトでは、MSN アカウントを使用するとき、ある人のバディーリスト上のユーザーだけが、その人にメッセージを送信することができます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

Pidgin の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。この更新を有効にするためには、Pidgin を再起動する必要があります。

- 特別に細工された MSN SLP メッセージにより、pidgin で整数オーバーフローが発生する可能性があります。攻撃者はそれを悪用して任意のコードを実行する可能性があります。（CVE-2008-2927）

  - MSNファイル転送の過剰に長いファイル名により、pidginがクラッシュする可能性があります。（CVE-2008-2955）

  - SSL 証明書が検証されませんでした。このため、pidingは偽造された証明書を検出しませんでした。（CVE-2008-3532）

また、2008 年 7 月 1 日のサーバーの変更後に gaim クライアントが ICQ ネットワークに接続することを妨害していた問題が修正されました。

Pidgin の MSN プロトコルハンドラーに整数オーバーフローの欠陥が見つかりました。
ユーザーが悪意のある MSN メッセージを受信した場合、 Pidgin を実行しているユーザーの権限で任意のコードを実行することが可能でした。
（CVE-2008-2927）

注：デフォルトの Pidgin プライバシー設定では、バディーリストのユーザーからのメッセージのみが許可されます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

この更新は、次のバグにも対処しています：

- ICQ ネットワークへの接続を試みると、Pidgin が接続に失敗し、「使用しているクライアントのバージョンが古すぎます」という警告が表示され、ICQ アカウントが無効化されます。この更新で ICQ ネットワークに接続する Pidgin の機能が回復します。

Red Hat セキュリティアドバイザリ 2008:0584 から：

1 つのセキュリティ問題を修正し、1 つのバグに対処する更新済みの Pidgin パッケージが、Red Hat Enterprise Linux 3、4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、マルチプロトコルのインターネットメッセージングクライアントです。

Pidgin の MSN プロトコルハンドラーに整数オーバーフローの欠陥が見つかりました。
ユーザーが悪意のある MSN メッセージを受信した場合、 Pidgin を実行しているユーザーの権限で任意のコードを実行することが可能でした。
(CVE-2008-2927)

注：デフォルトの Pidgin プライバシー設定では、バディーリストのユーザーからのメッセージのみが許可されます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

この更新は、次のバグにも対処しています：

* ICQ ネットワークへの接続を試みると、Pidgin が接続に失敗し、「使用しているクライアントのバージョンが古すぎます」というアラートが表示され、ICQ アカウントが無効化されます。この更新で ICQ ネットワークに接続する Pidgin の機能が回復します。

すべての Pidgin ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を解決するバックポートされたパッチが含まれます。

Red Hat セキュリティアドバイザリ 2009:1060 から：

複数のセキュリティ問題を修正する pidgin パッケージの更新が、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Extensible Messaging and Presence Protocol （XMPP）使用時に Pidgin でファイル転送を開始する方法にバッファオーバーフローの欠陥が見つかりました。Pidgin クライアントがファイル転送を開始し、リモートターゲットが無効な形式の応答を送信した場合、Pidgin がクラッシュしたり、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。この欠陥は、Jabber や Google トークなど、XMPP を使用するアカウントにしか影響しません。(CVE-2009-1373)

Pidgin の QQ プロトコル復号化ハンドラーにサービス拒否の欠陥が見つかりました。QQ プロトコルでパケット情報を復号化したとき、ヒープデータが上書きされ、Pidgin がクラッシュしてしまう原因になる可能性があります。(CVE-2009-1374)

Pidgin の PurpleCircBuffer オブジェクトを展開する方法に欠陥が見つかりました。バッファが満杯のときにさらにデータが到着した場合、このバッファに保存されているデータは破損します。この破損データが原因で、混乱を招くデータがユーザーに提示されたり、Pidgin がクラッシュする場合があります。(CVE-2009-1375)

32 ビットのプラットフォームでは、Red Hat セキュリティアドバイザリ RHSA-2008:0584 が提供する、Pidgin の MSN プロトコルハンドラーに影響する整数オーバーフローの欠陥に対する修正が不完全であることが発見されました。Pidgin クライアントが特別に細工された MSN メッセージを受信した場合、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。(CVE-2009-1376)

注：デフォルトでは、MSN アカウントを使用するとき、ある人のバディーリスト上のユーザーだけが、その人にメッセージを送信することができます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

すべての Pidgin ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするためには、Pidgin を再起動する必要があります。

複数のセキュリティ問題を修正する pidgin パッケージの更新が、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Extensible Messaging and Presence Protocol （XMPP）使用時に Pidgin でファイル転送を開始する方法にバッファオーバーフローの欠陥が見つかりました。Pidgin クライアントがファイル転送を開始し、リモートターゲットが無効な形式の応答を送信した場合、Pidgin がクラッシュしたり、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。この欠陥は、Jabber や Google トークなど、XMPP を使用するアカウントにしか影響しません。（CVE-2009-1373）

Pidgin の QQ プロトコル復号化ハンドラーにサービス拒否の欠陥が見つかりました。QQ プロトコルでパケット情報を復号化したとき、ヒープデータが上書きされ、Pidgin がクラッシュしてしまう原因になる可能性があります。（CVE-2009-1374）

Pidgin の PurpleCircBuffer オブジェクトを展開する方法に欠陥が見つかりました。バッファが満杯のときにさらにデータが到着した場合、このバッファに保存されているデータは破損します。この破損データが原因で、混乱を招くデータがユーザーに提示されたり、Pidgin がクラッシュする場合があります。（CVE-2009-1375）

32 ビットのプラットフォームでは、Red Hat セキュリティアドバイザリ RHSA-2008:0584 が提供する、Pidgin の MSN プロトコルハンドラーに影響する整数オーバーフローの欠陥に対する修正が不完全であることが発見されました。Pidgin クライアントが特別に細工された MSN メッセージを受信した場合、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。（CVE-2009-1376）

注：デフォルトでは、MSN アカウントを使用するとき、ある人のバディーリスト上のユーザーだけが、その人にメッセージを送信することができます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

すべての Pidgin ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするためには、Pidgin を再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67862	Oracle Linux 3：pidgin（ELSA-2009-1059）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
51722	SuSE 10 セキュリティ更新：pidgin、gaim、finch（ZYPP パッチ番号 5573）	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	medium
60438	Scientific Linux セキュリティ更新：SL 3.0.x、SL 4.x、SL 5.x の pidgin	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67725	Oracle Linux 3/4：pidgin（ELSA-2008-0584）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
67863	Oracle Linux 4：pidgin（ELSA-2009-1060）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
43751	CentOS 4 / 5：pidgin（CESA-2009:1060）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical

検出

プラグインの検索

high

medium

medium

medium

critical

critical