- バージョン 2.10.8 に更新（bnc#861019）：

+ General：Python ビルドのスクリプトおよびサンプルのプラグインは、現在は Python 3 と互換です（pidgin.im#15624）。

+ libpurple：

- STUN サーバーからの返信を読もうとする際に libpurple がエラーとなった場合に引き起こされるクラッシュの可能性を修正します（CVE-2013-6484）。

- 形式が間違っている HTTP 応答を解析するクラッシュの可能性を修正します（CVE-2013-6479）。

- チャンク転送エンコーディングで無効な形式の HTTP 応答を解析するバッファオーバーフローを修正します（CVE-2013-6485）。

- 負の Content-Length の HTTP プロキシ応答の処理を改善します。

- libnss を使用する場合に、件名がない SSL 証明書の処理を修正します。

- libnss を使用する場合に、タイムスタンプが遠い未来である SSL 証明書の処理を修正します（pidgin.im#15586）。

- すべての HTTP フェッチに、最大ダウンロードサイズを設定します。

+ Pidgin：

- 長い URL のツールチップの表示のクラッシュを修正します（CVE-2013-6478）。

- 1000 文字より長い URL の処理を改善します。

- Smiley Theme でのマルチバイトの UTF-8 文字の処理を修正します（pidgin.im#15756）。

+ AIM：信頼できない証明書のエラーを修正します。

+ AIM および ICQ：Direct IM セッションで無効な形式のメッセージを受信する場合に引き起こされる可能性のあるクラッシュを修正します。

+ Gadu-Gadu：

- リモートコードの実行が起こり得る、バッファオーバーフローを修正します。誘発できるのは、Gadu-Gadu サーバーまたは中間者のみです（CVE-2013-6487）。

- バディーリストのサーバーとの間でのインポート/エクスポートを無効にしました。

- 新しいアカウントの登録およびパスワード変更のオプションを無効にしました。

+ IRC：

- 悪意のあるサーバーや中間者は、さまざまなメッセージと一緒に十分な引数を非送信することで、クラッシュを引き起こす可能性があるバグを修正します（CVE-2014-0020）。

- 最初の IRC ステータスが正しく設定されないバグを修正します。

- Cyrus SASL サポートで libpurple がコンパイルされたときに、IRC が使用できなかったバグを修正します（pidgin.im#15517）。

+ MSN：

- MSN でヘッダーを解析する NULL ポインターデリファレンスを修正します（CVE-2013-6482）。

- MSN で OIM データを解析する NULL ポインターデリファレンスが、修正されます（CVE-2013-6482）。

- MSN で SOAP データを解析する NULL ポインターデリファレンスを修正します（CVE-2013-6482）。

- 非常に長いメッセージを送信する場合に発生する可能性があるクラッシュを修正します。リモートから引き起こせません。

+ MXit：

- リモートコードの実行が起こり得る、バッファオーバーフローを修正します（CVE-2013-6487）。

- ユーザーが切断された後に発生する可能性がある散発性のクラッシュを修正します。

- 検索結果によって連絡先を追加しようとする際に発生するクラッシュを修正します。

- 転送が失敗した時にエラーメッセージを表示します。

- InstantBird でのコンパイルを修正します。

- カスタムの顔文字の表示を修正します。

+ SILC：ホワイトボードセッションで、ホワイトボードの寸法を正しく設定します。

+ SIMPLE：リモートコードの実行が起こり得る、バッファオーバーフローを修正します（CVE-2013-6487）。

+ XMPP：

- ｢from｣アドレスと iq リクエストの｢to｣アドレスの一致を検証してiq 返信のなりすましを防ぎます（CVE-2013-6483）。

- 極端な値の偽造の遅延タイムスタンプを受信する際に発生するシステムでのクラッシュを修正します（CVE-2013-6477）。

- 独自のバディーアイコンに対して非常に小さいファイルを選択する場合、発生する可能性があるクラッシュや他の挙動を修正します。

- ユーザーが、リソースがない JID で、音声/ビデオのセッションを開始しようとする場合に発生するクラッシュを修正します。

- 最初の 2 つの使用可能な認証メカニズムは失敗しますが、以後のメカニズムが Cyrus SASL を使用して機能する場合のログインエラーを修正します（pidgin.im#15524）。

- 複数の HTTP 応答を一度に受信する場合、BOSH 接続で受信するスタンザのドロップを修正します（pidgin.im#15684）。

+ Yahoo！：

- UTF-8 ではない受信文字列を処理するクラッシュを修正します（CVE-2012-6152）。

- リモートのユーザーがクラッシュを引き起こす可能性がある、ピアツーピアのメッセージの読み取りのバグを修正します（CVE-2013-6481）。

+ プラグイン：

- 連絡先利用可能性のプラグインのクラッシュを修正します。

- perl 関数 Purple::Network::ip_atoi を修正します。

- Unity 統合プラグインを追加します。

+ Windows 固有の修正：（CVE-2013-6486、pidgin.im#15520、pidgin.im#15521、bgo#668154）。

- pidgin-irc-sasl.patch をドロップし、upstream を修正しました。

- pidgin-facebookchat の廃止：パッケージは維持されず、pidgin は Facebook Chat の組み込みとしてサポートされます。

- with_mono マクロで、mono-devel の BuildRequires を保護します。

- pidgin-gstreamer1.patch：Port を GStreamer 1.0 に追加します。openSUSE 13.1 およびそれ以降でのみ有効化されます。

- openSUSE 13.1 およびそれ以降で、gstreamer-devel および gstreamer-plugins-base-devel BuildRequires を使います。

セキュリティ問題を修正する新しい pidgin パッケージが、Slackware 13.0、13.1、13.37、 14.0、14.1、および最新版で利用可能です。

pidgin インスタントメッセンジャーが更新され、さまざまなセキュリティ問題が修正されています。

- IRC 引数解析での、リモートから引き起こせるクラッシュ。
 （CVE-2014-0020）

- SIMPLE ヘッダー解析でのバッファオーバーフロー。
 （CVE-2013-6490）

- MXit の顔文字解析でのバッファオーバーフロー。
 （CVE-2013-6489）

- Gadu-Gadu HTTP 解析でのバッファオーバーフロー。
 （CVE-2013-6487）

- Pidgin では、信頼できない実行可能ファイルに対する、クリック可能なリンクが使用されます。
 （CVE-2013-6486）

- チャンクされた HTTP 応答解析でのバッファオーバーフロー。
 （CVE-2013-6485）

- STUN サーバーからの応答読み取りでのクラッシュ。（CVE-2013-6484）

- XMPP は、一部の iq 返信の「送信元」を検証しません。
 （CVE-2013-6483）

- MSN の SOAP データを解析する NULL ポインターデリファレンス。
 （CVE-2013-6482）

- MSN の OIM データ解析での NULL ポインターデリファレンス。
 （CVE-2013-6482）

- MSN のヘッダー解析での NULL ポインターデリファレンス。
 （CVE-2013-6482）

- Yahoo! P2P メッセージ読み取りでのリモートクラッシュ。（CVE-2013-6481）

- HTTP 応答の解析でのリモートクラッシュ。（CVE-2013-6479）

- 長い URL 上でのポインターのホバーリングでのクラッシュ。
 （CVE-2013-6478）

- 不良の XMPP タイムスタンプの処理でのクラッシュ。（CVE-2013-6477）

- 文字の不適切なエンコーディングによる Yahoo! リモートクラッシュ。
 （CVE-2012-6152）

リモートホストにインストールされている Pidgin のバージョンは、 2.10.8 より前です。このため、以下の脆弱性の影響を受ける可能性があります。

  - バンドルされている Pango のバージョンにエラーがあります。これにより、フォントをレンダリングし、特定の Unicode 文字を表示しようとする際に、アプリケーションがクラッシュする可能性があります。 

  - Errors exist related to handling unspecified characters, incorrect character encoding, incorrect XMPP timestamps, hovering a pointer over a long URL, unspecified HTTP responses, Yahoo! P2P messages, STUN responses, and IRC arguments that could cause application crashes and denial of service conditions.
    (CVE-2012-6152, CVE-2013-6477, CVE-2013-6478, CVE-2013-6479, CVE-2013-6481, CVE-2013-6484, CVE-2014-0020)

  - MSN SOAP、MSN OIM、MSN のヘッダーコンテンツの処理に関連してエラーが存在します。これにより、NULL ポインターが逆参照されたときに、アプリケーションのクラッシュが引き起こされる可能性があります。
    (CVE-2013-6482)

  - XMPP コンテンツに関連してエラーが存在し、このため一部の「iq」返信の「from」部分が検証されません。
    (CVE-2013-6483)

  - チャンク化された HTTP コンテンツや Gadu-Gadu HTTP コンテンツ、MXit 顔文字、SIMPLE ヘッダーの解析に関連してエラーが存在します。これにより、バッファオーバフローが引き起こされる可能性があります。
    (CVE-2013-6485, CVE-2013-6487, CVE-2013-6489, CVE-2013-6490)

  - The application does not protect against links to untrusted executable content. (CVE-2013-6486)

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 2.10.8 より前の Pidgin の libpurple における Yahoo! プロトコルプラグインは、UTF-8 データを適切に検証しません。これにより、リモートの攻撃者が、細工されたバイトシーケンスを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2012-6152)

- 2.10.7 より前の Pidgin における libpurple の MXit プロトコルプラグインにより、リモートの攻撃者が、細工された (1) mxit または (2) mxit/imagestrips パス名を通じて、ファイルを作成または上書きできる可能性があります。(CVE-2013-0271)

- 2.10.7 より前の Pidgin における libpurple の MXit プロトコルプラグインの http.c でのバッファオーバーフローにより、リモートサーバーが、長い HTTP ヘッダーを介して任意のコードを実行する可能性があります。
 (CVE-2013-0272)

- 2.10.7 より前の Pidgin における libpurple の Sametime プロトコルプラグインの sametime.c は、長いユーザー ID を適切に削除しません。これにより、リモートサーバーが、細工されたパケットを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-0273)

- 2.10.7 より前の Pidgin における libpurple の upnp.c は、UPnP 応答の長い文字列を適切に削除しません。これにより、リモートの攻撃者が、ローカルネットワークへのアクセスを利用して、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-0274)

- 2.10.8 より前の Pidgin における libpurple の複数の整数符号エラーにより、リモートの攻撃者が、XMPP メッセージの細工されたタイムスタンプ値を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-6477)

- 2.10.8 より前の Pidgin の gtkimhtml.c は、広い Pango レイアウトに対する下層のライブラリサポートと適切にやり取りしません。これにより、ユーザーが支援するリモートの攻撃者が、ツールチップで検査される長い URL を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。(CVE-2013-6478)

- 2.10.8 より前の Pidgin の libpurple の util.c は、Content-Length ヘッダーと一致しない HTTP 応答に対して、メモリを適切に割り当てません。これにより、リモート HTTP サーバーが、細工された応答を通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6479)

- 2.10.8 より前の Pidgin の libpurple/protocols/yahoo/libymsg.c により、リモートの攻撃者が、細工された長さフィールドを持つ Yahoo! P2P メッセージを通じて、サービス拒否（クラッシュ）を引き起こし、バッファオーバーリードが発生する可能性があります。
 (CVE-2013-6481)

- 2.10.8 より前の Pidgin により、リモート MSN サーバーが、細工された (1) SOAP 応答、(2) OIM XML 応答、または (3) Content-Length ヘッダーを通じて、サービス拒否（NULL ポインターデリファレンスとクラッシュ）を引き起こす可能性があります。(CVE-2013-6482)

- 2.10.8 より前の Pidgin における libpurple の XMPP プロトコルプラグインは、iq 返信の送信元アドレスが iq リクエストの送信先アドレスと一致するかどうかを適切に判断しません。これにより、リモートの攻撃者が、細工された返信を通じて、iq トラフィックを偽装したり、サービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6483)

- 2.10.8 より前の Pidgin における libpurple の STUN プロトコル実装により、リモート STUN サーバーが、ソケット読み取りエラーを発生させることで、サービス拒否（領域外書き込みオペレーションとアプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2013-6484)

- 2.10.8 より前の Pidgin における libpurple の util.c の バッファオーバーフローにより、リモート HTTP サーバーが、チャンク転送コーディングデータの無効なチャンクサイズフィールドを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こしたり、詳細不明な他の影響を与えたりする可能性があります。(CVE-2013-6485)

- Windows の 2.10.8 より前の Pidgin の gtkutils.c により、ユーザーが支援するリモートの攻撃者が、explorer.exe コマンドの構築中に不適切に処理される file: URL を含むメッセージを通じて、任意のプログラムを実行する可能性があります。注：この脆弱性は、 CVE-2011-3185 の修正が不完全なために存在します。
 (CVE-2013-6486)

- 2.10.8 より前の Pidgin における Gadu-Gadu（gg）パーサーの libpurple/protocols/gg/lib/http.c の整数オーバーフローにより、リモートの攻撃者が、大きな Content-Length 値を通じて、詳細不明な影響を与え、バッファオーバーフローが発生する可能性があります。(CVE-2013-6487)

- 2.10.8 より前の Pidgin の MXit 機能の整数符号エラーにより、リモートの攻撃者が、細工された顔文字値を通じて、サービス拒否（セグメンテーション違反）を引き起こし、整数オーバーフローとバッファオーバーフローが発生する可能性があります。(CVE-2013-6489)

- 2.10.8 より前の Pidgin の SIMPLE プロトコル機能により、リモートの攻撃者が、負の Content-Length ヘッダーを通じて、詳細不明な影響を与え、バッファオーバーフローが発生する可能性があります。(CVE-2013-6490)

- 2.10.8 より前の Pidgin の libpurple の IRC プロトコルプラグインは、引数カウントを適切に検証しません。これにより、リモート IRC サーバーが、細工されたメッセージを通じて、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。
 (CVE-2014-0020)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75256	openSUSE セキュリティ更新：pidgin / pidgin-branding-openSUSE（openSUSE-SU-2014：0239-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
72265	Slackware 13.0/13.1/13.37/14.0/14.1/最新版：pidgin（SSA：2014-034-01）	Nessus	Slackware Local Security Checks	2014/2/4	2021/1/14	critical
74173	SuSE 11.3 セキュリティ更新：finch（SAT パッチ番号 9213）	Nessus	SuSE Local Security Checks	2014/5/24	2021/1/19	critical
72282	Pidgin < 2.10.8 複数の脆弱性	Nessus	Windows	2014/2/4	2019/11/26	critical
80740	Oracle Solaris サードパーティのパッチの更新：pidgin（multiple_vulnerabilities_in_pidgin2）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical

検出

プラグインの検索

high

critical

critical

critical

critical