pidgin インスタントメッセンジャーが更新され、さまざまなセキュリティ問題が修正されています。

- IRC 引数解析での、リモートから引き起こせるクラッシュ。
 （CVE-2014-0020）

- SIMPLE ヘッダー解析でのバッファオーバーフロー。
 （CVE-2013-6490）

- MXit の顔文字解析でのバッファオーバーフロー。
 （CVE-2013-6489）

- Gadu-Gadu HTTP 解析でのバッファオーバーフロー。
 （CVE-2013-6487）

- Pidgin では、信頼できない実行可能ファイルに対する、クリック可能なリンクが使用されます。
 （CVE-2013-6486）

- チャンクされた HTTP 応答解析でのバッファオーバーフロー。
 （CVE-2013-6485）

- STUN サーバーからの応答読み取りでのクラッシュ。（CVE-2013-6484）

- XMPP は、一部の iq 返信の「送信元」を検証しません。
 （CVE-2013-6483）

- MSN の SOAP データを解析する NULL ポインターデリファレンス。
 （CVE-2013-6482）

- MSN の OIM データ解析での NULL ポインターデリファレンス。
 （CVE-2013-6482）

- MSN のヘッダー解析での NULL ポインターデリファレンス。
 （CVE-2013-6482）

- Yahoo! P2P メッセージ読み取りでのリモートクラッシュ。（CVE-2013-6481）

- HTTP 応答の解析でのリモートクラッシュ。（CVE-2013-6479）

- 長い URL 上でのポインターのホバーリングでのクラッシュ。
 （CVE-2013-6478）

- 不良の XMPP タイムスタンプの処理でのクラッシュ。（CVE-2013-6477）

- 文字の不適切なエンコーディングによる Yahoo! リモートクラッシュ。
 （CVE-2012-6152）

Thijs Alkemade 氏および Robert Vehse 氏は、Pidgin が Yahoo! プロトコルを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。
（CVE-2012-6152）

Jaime Breva Ribes 氏は、Pidgin が XMPP プロトコルを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。（CVE-2013-6477）

Pidgin が長い URL を不適切に処理することが判明しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。（CVE-2013-6478）

Jacob Appelbaum 氏は、Pidgin が特定の HTTP 応答を不適切に処理することを発見しました。悪意のあるリモートサーバーまたは中間者はこの問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否が発生する可能性があります。（CVE-2013-6479）

Daniel Atallah 氏は、Pidgin が Yahoo! プロトコルを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。（CVE-2013-6481）

Fabian Yamaguchi 氏および Christian Wressnegger 氏は、Pidgin が MSN プロトコルを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。
（CVE-2013-6482）

Fabian Yamaguchi 氏および Christian Wressnegger 氏は、Pidgin が XMPP iq 応答を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、メッセージを偽装する可能性があります。（CVE-2013-6483）

Pidgin が STUN サーバー応答を不適切に処理することが判明しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。（CVE-2013-6484）

Matt Jones 氏は、Pidgin が特定のチャンク HTTP 応答を不適切に処理することを発見しました。悪意のあるリモートサーバーまたは中間者はこの問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否または任意のコードが実行される可能性があります。（CVE-2013-6485）

Yves Younan 氏および Ryan Pentney 氏は、Pidgin が特定の Gadu-Gadu HTTP メッセージを不適切に処理することを発見しました。悪意のあるリモートサーバーまたは中間者はこの問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否または任意のコードが実行される可能性があります。
（CVE-2013-6487）

Yves Younan 氏および Pawel Janic 氏は、Pidgin が MXit 顔文字を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否または任意のコードの実行を引き起こす可能性があります。（CVE-2013-6489）

Yves Younan 氏は、Pidgin が SIMPLE ヘッダーを不適切に処理することを発見しました。
リモートの攻撃者が、この問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否または任意のコードの実行を引き起こす可能性があります。
（CVE-2013-6490）

Daniel Atallah 氏は、Pidgin が IRC 引数の解析を不適切に処理することを発見しました。悪意のあるリモートサーバーまたは中間者はこの問題を利用して、Pidgin をクラッシュさせ、結果としてサービス拒否が発生する可能性があります。
（CVE-2014-0020）。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 2.10.8 より前の Pidgin の libpurple における Yahoo! プロトコルプラグインは、UTF-8 データを適切に検証しません。これにより、リモートの攻撃者が、細工されたバイトシーケンスを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2012-6152)

- 2.10.7 より前の Pidgin における libpurple の MXit プロトコルプラグインにより、リモートの攻撃者が、細工された (1) mxit または (2) mxit/imagestrips パス名を通じて、ファイルを作成または上書きできる可能性があります。(CVE-2013-0271)

- 2.10.7 より前の Pidgin における libpurple の MXit プロトコルプラグインの http.c でのバッファオーバーフローにより、リモートサーバーが、長い HTTP ヘッダーを介して任意のコードを実行する可能性があります。
 (CVE-2013-0272)

- 2.10.7 より前の Pidgin における libpurple の Sametime プロトコルプラグインの sametime.c は、長いユーザー ID を適切に削除しません。これにより、リモートサーバーが、細工されたパケットを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-0273)

- 2.10.7 より前の Pidgin における libpurple の upnp.c は、UPnP 応答の長い文字列を適切に削除しません。これにより、リモートの攻撃者が、ローカルネットワークへのアクセスを利用して、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-0274)

- 2.10.8 より前の Pidgin における libpurple の複数の整数符号エラーにより、リモートの攻撃者が、XMPP メッセージの細工されたタイムスタンプ値を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-6477)

- 2.10.8 より前の Pidgin の gtkimhtml.c は、広い Pango レイアウトに対する下層のライブラリサポートと適切にやり取りしません。これにより、ユーザーが支援するリモートの攻撃者が、ツールチップで検査される長い URL を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-6478)

- 2.10.8 より前の Pidgin の libpurple の util.c は、Content-Length ヘッダーと一致しない HTTP 応答に対して、メモリを適切に割り当てません。これにより、リモート HTTP サーバーが、細工された応答を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6479)

- 2.10.8 より前の Pidgin の libpurple/protocols/yahoo/libymsg.c により、リモートの攻撃者が、細工された長さフィールドを持つ Yahoo! P2P メッセージを通じて、サービス拒否（クラッシュ）を引き起こし、バッファオーバーリードが発生する可能性があります。
 (CVE-2013-6481)

- 2.10.8 より前の Pidgin により、リモート MSN サーバーが、細工された (1) SOAP 応答、(2) OIM XML 応答、または (3) Content-Length ヘッダーを通じて、サービス拒否（NULL ポインターデリファレンスとクラッシュ）を引き起こす可能性があります。(CVE-2013-6482)

- 2.10.8 より前の Pidgin における libpurple の XMPP プロトコルプラグインは、iq 返信の送信元アドレスが iq リクエストの送信先アドレスと一致するかどうかを適切に判断しません。これにより、リモートの攻撃者が、細工された返信を通じて、iq トラフィックを偽装したり、サービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6483)

- 2.10.8 より前の Pidgin における libpurple の STUN プロトコル実装により、リモート STUN サーバーが、ソケット読み取りエラーを発生させることで、サービス拒否（領域外書き込みオペレーションとアプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6484)

- 2.10.8 より前の Pidgin における libpurple の util.c の バッファオーバーフローにより、リモート HTTP サーバーが、チャンク転送コーディングデータの無効なチャンクサイズフィールドを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明な他の影響を与えたりする可能性があります。(CVE-2013-6485)

- Windows の 2.10.8 より前の Pidgin の gtkutils.c により、ユーザーが支援するリモートの攻撃者が、explorer.exe コマンドの構築中に不適切に処理される file: URL を含むメッセージを通じて、任意のプログラムを実行する可能性があります。注：この脆弱性は、 CVE-2011-3185 の修正が不完全なために存在します。
 (CVE-2013-6486)

- 2.10.8 より前の Pidgin における Gadu-Gadu（gg）パーサーの libpurple/protocols/gg/lib/http.c の整数オーバーフローにより、リモートの攻撃者が、大きな Content-Length 値を通じて、詳細不明な影響を与え、バッファオーバーフローが発生する可能性があります。(CVE-2013-6487)

- 2.10.8 より前の Pidgin の MXit 機能の整数符号エラーにより、リモートの攻撃者が、細工された顔文字値を通じて、サービス拒否（セグメンテーション違反）を引き起こし、整数オーバーフローとバッファオーバーフローが発生する可能性があります。(CVE-2013-6489)

- 2.10.8 より前の Pidgin の SIMPLE プロトコル機能により、リモートの攻撃者が、負の Content-Length ヘッダーを通じて、詳細不明な影響を与え、バッファオーバーフローが発生する可能性があります。(CVE-2013-6490)

- 2.10.8 より前の Pidgin の libpurple の IRC プロトコルプラグインは、引数カウントを適切に検証しません。これにより、リモート IRC サーバーが、細工されたメッセージを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2014-0020)

リモートホストにインストールされている Pidgin のバージョンは、 2.10.8 より前です。このため、以下の脆弱性の影響を受ける可能性があります。

  - バンドルされている Pango のバージョンにエラーがあります。これにより、フォントをレンダリングし、特定の Unicode 文字を表示しようとする際に、アプリケーションがクラッシュする可能性があります。 

  - Errors exist related to handling unspecified characters, incorrect character encoding, incorrect XMPP timestamps, hovering a pointer over a long URL, unspecified HTTP responses, Yahoo! P2P messages, STUN responses, and IRC arguments that could cause application crashes and denial of service conditions.
    (CVE-2012-6152, CVE-2013-6477, CVE-2013-6478, CVE-2013-6479, CVE-2013-6481, CVE-2013-6484, CVE-2014-0020)

  - MSN SOAP、MSN OIM、MSN のヘッダーコンテンツの処理に関連してエラーが存在します。これにより、NULL ポインターが逆参照されたときに、アプリケーションのクラッシュが引き起こされる可能性があります。
    (CVE-2013-6482)

  - XMPP コンテンツに関連してエラーが存在し、このため一部の「iq」返信の「from」部分が検証されません。
    (CVE-2013-6483)

  - チャンク化された HTTP コンテンツや Gadu-Gadu HTTP コンテンツ、MXit 顔文字、SIMPLE ヘッダーの解析に関連してエラーが存在します。これにより、バッファオーバフローが引き起こされる可能性があります。
    (CVE-2013-6485, CVE-2013-6487, CVE-2013-6489, CVE-2013-6490)

  - The application does not protect against links to untrusted executable content. (CVE-2013-6486)

セキュリティ問題を修正する新しい pidgin パッケージが、Slackware 13.0、13.1、13.37、 14.0、14.1、および最新版で利用可能です。

2.10.9 への更新

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2014:0139 から：

複数のセキュリティの問題を修正する更新済みの pidgin パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Pidgin が特定の HTTP 応答を処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工された HTTP 応答を送信し、Pidgin をクラッシュさせるたり、 Pidgin を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2013-6485）

Pidgin のいくつかのプロトコルプラグイン（Gadu-Gadu、MXit、SIMPLE）で、複数のヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工されたメッセージを送信する可能性があり、これにより、Pidgin をクラッシュさせたり、 Pidgin を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2013-6487、 CVE-2013-6489、CVE-2013-6490）

Pidgin の複数のプロトコルプラグイン（Yahoo!、XMPP、MSN、stun、IRC）に、複数のサービス拒否の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、特別に細工されたメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2012-6152、 CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、 CVE-2013-6484、CVE-2014-0020）

Pidgin XMPP プロトコルプラグインが、「iq」応答の発信源を検証していないことが見つかりました。リモートの攻撃者が、この欠陥を利用して、「iq」応答を偽装する可能性があります。これにより、捏造データの注入を引き起こすことや、NULL ポインターデリファレンスで Pidgin をクラッシュさせる可能性があります。（CVE-2013-6483）

Pidgin が特定の HTTP 応答ヘッダーを解析する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、特別に細工された HTTP 応答ヘッダーで、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6479）

マウスポインターが長い URL の上に重なると、Pidgin がクラッシュすることが見つかりました。リモートの攻撃者が、この欠陥を利用して、長い URL 文字列があるメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6478）

Red Hat は、これらの問題についてレポートしてくれた Pidgin プロジェクトに感謝の意を表します。Upstream は、Thijs Alkemade 氏、Robert Vehse 氏、 Jaime Breva Ribes 氏、Tor Project の Jacob Appelbaum 氏、Daniel Atallah 氏、ゲッティンゲン大学の Fabian Yamaguchi 氏と Christian Wressnegger 氏、 Volvent の Matt Jones 氏、および Sourcefire VRT の Yves Younan 氏、 Ryan Pentney 氏、Pawel Janic 氏を、これらの問題の最初の報告者として認めます。

pidgin の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするためには、Pidgin を再起動する必要があります。

- バージョン 2.10.8 に更新（bnc#861019）：

+ General：Python ビルドのスクリプトおよびサンプルのプラグインは、現在は Python 3 と互換です（pidgin.im#15624）。

+ libpurple：

- STUN サーバーからの返信を読もうとする際に libpurple がエラーとなった場合に引き起こされるクラッシュの可能性を修正します（CVE-2013-6484）。

- 形式が間違っている HTTP 応答を解析するクラッシュの可能性を修正します（CVE-2013-6479）。

- チャンク転送エンコーディングで無効な形式の HTTP 応答を解析するバッファオーバーフローを修正します（CVE-2013-6485）。

- 負の Content-Length の HTTP プロキシ応答の処理を改善します。

- libnss を使用する場合に、件名がない SSL 証明書の処理を修正します。

- libnss を使用する場合に、タイムスタンプが遠い未来である SSL 証明書の処理を修正します（pidgin.im#15586）。

- すべての HTTP フェッチに、最大ダウンロードサイズを設定します。

+ Pidgin：

- 長い URL のツールチップの表示のクラッシュを修正します（CVE-2013-6478）。

- 1000 文字より長い URL の処理を改善します。

- Smiley Theme でのマルチバイトの UTF-8 文字の処理を修正します（pidgin.im#15756）。

+ AIM：信頼できない証明書のエラーを修正します。

+ AIM および ICQ：Direct IM セッションで無効な形式のメッセージを受信する場合に引き起こされる可能性のあるクラッシュを修正します。

+ Gadu-Gadu：

- リモートコードの実行が起こり得る、バッファオーバーフローを修正します。誘発できるのは、Gadu-Gadu サーバーまたは中間者のみです（CVE-2013-6487）。

- バディーリストのサーバーとの間でのインポート/エクスポートを無効にしました。

- 新しいアカウントの登録およびパスワード変更のオプションを無効にしました。

+ IRC：

- 悪意のあるサーバーや中間者は、さまざまなメッセージと一緒に十分な引数を非送信することで、クラッシュを引き起こす可能性があるバグを修正します（CVE-2014-0020）。

- 最初の IRC ステータスが正しく設定されないバグを修正します。

- Cyrus SASL サポートで libpurple がコンパイルされたときに、IRC が使用できなかったバグを修正します（pidgin.im#15517）。

+ MSN：

- MSN でヘッダーを解析する NULL ポインターデリファレンスを修正します（CVE-2013-6482）。

- MSN で OIM データを解析する NULL ポインターデリファレンスが、修正されます（CVE-2013-6482）。

- MSN で SOAP データを解析する NULL ポインターデリファレンスを修正します（CVE-2013-6482）。

- 非常に長いメッセージを送信する場合に発生する可能性があるクラッシュを修正します。リモートから引き起こせません。

+ MXit：

- リモートコードの実行が起こり得る、バッファオーバーフローを修正します（CVE-2013-6487）。

- ユーザーが切断された後に発生する可能性がある散発性のクラッシュを修正します。

- 検索結果によって連絡先を追加しようとする際に発生するクラッシュを修正します。

- 転送が失敗した時にエラーメッセージを表示します。

- InstantBird でのコンパイルを修正します。

- カスタムの顔文字の表示を修正します。

+ SILC：ホワイトボードセッションで、ホワイトボードの寸法を正しく設定します。

+ SIMPLE：リモートコードの実行が起こり得る、バッファオーバーフローを修正します（CVE-2013-6487）。

+ XMPP：

- ｢from｣アドレスと iq リクエストの｢to｣アドレスの一致を検証してiq 返信のなりすましを防ぎます（CVE-2013-6483）。

- 極端な値の偽造の遅延タイムスタンプを受信する際に発生するシステムでのクラッシュを修正します（CVE-2013-6477）。

- 独自のバディーアイコンに対して非常に小さいファイルを選択する場合、発生する可能性があるクラッシュや他の挙動を修正します。

- ユーザーが、リソースがない JID で、音声/ビデオのセッションを開始しようとする場合に発生するクラッシュを修正します。

- 最初の 2 つの使用可能な認証メカニズムは失敗しますが、以後のメカニズムが Cyrus SASL を使用して機能する場合のログインエラーを修正します（pidgin.im#15524）。

- 複数の HTTP 応答を一度に受信する場合、BOSH 接続で受信するスタンザのドロップを修正します（pidgin.im#15684）。

+ Yahoo！：

- UTF-8 ではない受信文字列を処理するクラッシュを修正します（CVE-2012-6152）。

- リモートのユーザーがクラッシュを引き起こす可能性がある、ピアツーピアのメッセージの読み取りのバグを修正します（CVE-2013-6481）。

+ プラグイン：

- 連絡先利用可能性のプラグインのクラッシュを修正します。

- perl 関数 Purple::Network::ip_atoi を修正します。

- Unity 統合プラグインを追加します。

+ Windows 固有の修正：（CVE-2013-6486、pidgin.im#15520、pidgin.im#15521、bgo#668154）。

- pidgin-irc-sasl.patch をドロップし、upstream を修正しました。

- pidgin-facebookchat の廃止：パッケージは維持されず、pidgin は Facebook Chat の組み込みとしてサポートされます。

- with_mono マクロで、mono-devel の BuildRequires を保護します。

- pidgin-gstreamer1.patch：Port を GStreamer 1.0 に追加します。openSUSE 13.1 およびそれ以降でのみ有効化されます。

- openSUSE 13.1 およびそれ以降で、gstreamer-devel および gstreamer-plugins-base-devel BuildRequires を使います。

複数のセキュリティの問題を修正する更新済みの pidgin パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Pidgin が特定の HTTP 応答を処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工された HTTP 応答を送信し、Pidgin をクラッシュさせるたり、 Pidgin を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2013-6485）

Pidgin のいくつかのプロトコルプラグイン（Gadu-Gadu、MXit、SIMPLE）で、複数のヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工されたメッセージを送信する可能性があり、これにより、Pidgin をクラッシュさせたり、 Pidgin を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2013-6487、 CVE-2013-6489、CVE-2013-6490）

Pidgin の複数のプロトコルプラグイン（Yahoo!、XMPP、MSN、stun、IRC）に、複数のサービス拒否の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、特別に細工されたメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2012-6152、 CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、 CVE-2013-6484、CVE-2014-0020）

Pidgin XMPP プロトコルプラグインが、「iq」応答の発信源を検証していないことが見つかりました。リモートの攻撃者が、この欠陥を利用して、「iq」応答を偽装する可能性があります。これにより、捏造データの注入を引き起こすことや、NULL ポインターデリファレンスで Pidgin をクラッシュさせる可能性があります。（CVE-2013-6483）

Pidgin が特定の HTTP 応答ヘッダーを解析する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、特別に細工された HTTP 応答ヘッダーで、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6479）

マウスポインターが長い URL の上に重なると、Pidgin がクラッシュすることが見つかりました。リモートの攻撃者が、この欠陥を利用して、長い URL 文字列があるメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6478）

Red Hat は、これらの問題についてレポートしてくれた Pidgin プロジェクトに感謝の意を表します。Upstream は、Thijs Alkemade 氏、Robert Vehse 氏、 Jaime Breva Ribes 氏、Tor Project の Jacob Appelbaum 氏、Daniel Atallah 氏、ゲッティンゲン大学の Fabian Yamaguchi 氏と Christian Wressnegger 氏、 Volvent の Matt Jones 氏、および Sourcefire VRT の Yves Younan 氏、 Ryan Pentney 氏、Pawel Janic 氏を、これらの問題の最初の報告者として認めます。

pidgin の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするためには、Pidgin を再起動する必要があります。

Pidgin が特定の HTTP 応答を処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工された HTTP 応答を送信し、Pidgin をクラッシュさせるたり、 Pidgin を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2013-6485）

Pidgin のいくつかのプロトコルプラグイン（Gadu-Gadu、MXit、SIMPLE）で、複数のヒープベースのバッファオーバーフローの欠陥が見つかりました。悪意あるサーバーが、特別に細工されたメッセージを送信する可能性があり、これにより、Pidgin をクラッシュさせたり、 Pidgin を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2013-6487、 CVE-2013-6489、CVE-2013-6490）

Pidgin の複数のプロトコルプラグイン（Yahoo!、XMPP、MSN、stun、IRC）に、複数のサービス拒否の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、特別に細工されたメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2012-6152、 CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、 CVE-2013-6484、CVE-2014-0020）

Pidgin XMPP プロトコルプラグインが、「iq」応答の発信源を検証していないことが見つかりました。リモートの攻撃者が、この欠陥を利用して、「iq」応答を偽装する可能性があります。これにより、捏造データの注入を引き起こすことや、NULL ポインターデリファレンスで Pidgin をクラッシュさせる可能性があります。（CVE-2013-6483）

Pidgin が特定の HTTP 応答ヘッダーを解析する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、特別に細工された HTTP 応答ヘッダーで、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6479）

マウスポインターが長い URL の上に重なると、Pidgin がクラッシュすることが見つかりました。リモートの攻撃者が、この欠陥を利用して、長い URL 文字列があるメッセージを送信することにより、 Pidgin をクラッシュさせる可能性があります。（CVE-2013-6478）

この更新を有効にするためには、Pidgin を再起動する必要があります。

リモートホストは、GLSA-201405-22 で説明されている脆弱性の影響を受けます（Pidgin：複数の脆弱性）

Pidgin に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、Pidgin プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたり、ファイルを上書きしたり、トラフィックを偽装したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
74173	SuSE 11.3 セキュリティ更新：finch（SAT パッチ番号 9213）	Nessus	SuSE Local Security Checks	2014/5/24	2021/1/19	critical
72386	Ubuntu 12.04 LTS / 12.10 / 13.10：pidgin の脆弱性（USN-2100-1）	Nessus	Ubuntu Local Security Checks	2014/2/7	2021/1/19	critical
80740	Oracle Solaris サードパーティのパッチの更新：pidgin（multiple_vulnerabilities_in_pidgin2）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical
72282	Pidgin < 2.10.8 複数の脆弱性	Nessus	Windows	2014/2/4	2019/11/26	critical
72265	Slackware 13.0/13.1/13.37/14.0/14.1/最新版：pidgin（SSA：2014-034-01）	Nessus	Slackware Local Security Checks	2014/2/4	2021/1/14	critical
72359	Fedora 20 : pidgin-2.10.9-1.fc20 （2014-2013）	Nessus	Fedora Local Security Checks	2014/2/6	2021/1/11	critical
72362	Oracle Linux 6：pidgin（ELSA-2014-0139）	Nessus	Oracle Linux Local Security Checks	2014/2/6	2021/1/14	critical
75256	openSUSE セキュリティ更新：pidgin / pidgin-branding-openSUSE（openSUSE-SU-2014：0239-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
72352	CentOS 5 / 6：pidgin（CESA-2014:0139）	Nessus	CentOS Local Security Checks	2014/2/6	2021/1/4	critical
72364	RHEL 5 / 6：pidgin（RHSA-2014:0139）	Nessus	Red Hat Local Security Checks	2014/2/6	2021/1/14	critical
72365	Scientific Linux セキュリティ更新：SL5.x、SL6.x i386/x86_64 の pidgin	Nessus	Scientific Linux Local Security Checks	2014/2/6	2021/1/14	critical
72519	Fedora 19 : pidgin-2.10.9-1.fc19 （2014-1999）	Nessus	Fedora Local Security Checks	2014/2/17	2021/1/11	critical
74064	GLSA-201405-22：Pidgin：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

critical