The remote Redhat Enterprise Linux 5 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - pidgin: Out-of-bounds write in purple_markup_unescape_entity triggered by invalid XML (CVE-2017-2640)

  - cipher.c in the Cipher API in libpurple in Pidgin before 2.7.10 retains encryption-key data in process     memory, which might allow local users to obtain sensitive information by reading a core file or other     representation of memory contents. (CVE-2011-4922)

  - Pidgin 2.10.0 uses DBUS for certain cleartext communication, which allows local users to obtain sensitive     information via a dbus session monitor. (CVE-2012-1257)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

リモートホストは、GLSA-201701-38（Pidgin：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がPidginで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、特別に細工されたデータをMXitプロトコルを使用して送信する可能性があります。その結果、プロセスの権限で任意のコードがリモートで実行されたり、サービス拒否状態が引き起こされたり、機密情報が漏洩したりする可能性があります。回避策：現時点では、既知の回避策はありません。

The version of Pidgin installed on the remote Windows host is prior to 2.11.0. したがって、以下の複数の脆弱性による影響を受けます。

  - MXIT プロトコルを処理する際に、NULL ポインターデリファレンスの欠陥が存在します。リモートの攻撃者がこれを悪用して、細工された MXIT データを通じて、サービス拒否を引き起こす可能性があります。
    (CVE-2016-2365)

  - MXIT プロトコルを処理する際に、複数の領域外読み取りエラーが存在します。リモートの攻撃者がこれらを悪用して、細工された MXIT データを通じて、サービス拒否を引き起こす可能性があります。
    (CVE-2016-2366, CVE-2016-2370)

  - MXIT プロトコルを処理する際に、領域外読み取りエラーが存在します。A remote attacker can exploit this, via an invalid size for an avatar, to disclose memory contents or cause a denial of service. (CVE-2016-2367)

  - MXIT プロトコルを処理する際に、複数のメモリ破損の問題が存在します。A remote attacker can exploit these, via crafted MXIT data, to disclose memory contents or execute arbitrary code. (CVE-2016-2368)

  - MXIT プロトコルを処理する際に、NULL ポインターデリファレンスの欠陥が存在します。A remote attacker can exploit this, via crafted MXIT packet starting with a NULL byte, to cause a denial of service. (CVE-2016-2369)

  - MXIT プロトコルを処理する際に、領域外書き込みエラーが存在します。A remote attacker can exploit this, via crafted MXIT data, to corrupt memory, resulting in the execution of arbitrary code. (CVE-2016-2371)

  - MXIT プロトコルを処理する際に、領域外読み取りエラーが存在します。A remote attacker can exploit this, via an invalid size for a file transfer, to disclose memory contents or cause a denial of service. (CVE-2016-2372)

  - MXIT プロトコルを処理する際に、領域外読み取りエラーが存在します。リモートの攻撃者がこれを悪用して、無効なムードを送信することで、サービス拒否を引き起こす可能性があります。
    (CVE-2016-2373)

  - MXIT プロトコルを処理する際に、領域外書き込みエラーが存在します。A remote attacker can exploit this, via crafted MXIT MultiMX messages, to disclose memory contents or execute arbitrary code. (CVE-2016-2374)

  - MXIT プロトコルを処理する際に、領域外読み取りエラーが存在します。A remote attacker can exploit this, via crafted MXIT contact information, to disclose memory contents. (CVE-2016-2375)

  - MXIT プロトコルを処理する際に、バッファオーバーフロー状態が存在します。A remote attacker can exploit this, via a crafted packet having an invalid size, to execute arbitrary code. (CVE-2016-2376)

  - MXIT プロトコルを処理する際に、領域外書き込みエラーが存在します。A remote attacker can exploit this, via a negative content-length response to an HTTP request, to cause a denial of service. (CVE-2016-2377)

  - MXIT プロトコルを処理する際に、バッファオーバーフロー状態が存在します。A remote attacker can exploit this, via crafted data using negative length values, to cause a denial of service. (CVE-2016-2378)

  - ユーザーパスワードの暗号化時に弱い暗号を使用することにより、MXIT に欠陥が存在します。A man-in-the-middle attacker able to access login messages can exploit this to impersonate the user. (CVE-2016-2379)

  - MXIT プロトコルを処理する際に、領域外読み取りエラーが存在します。リモートの攻撃者がこれを悪用して、細工されたローカルメッセージを通じて、メモリの内容を漏洩させる可能性があります。
    (CVE-2016-2380)

  - MXIT プロトコルを処理する際に、ディレクトリトラバーサルの欠陥が存在します。A remote attacker can exploit this, via crafted MXIT data using an invalid file name for a splash image, to overwrite files. (CVE-2016-4323)

  - GnuTLS の使用時に X.509 証明書が適切にインポートされないことにより、詳細不明な脆弱性が存在します。これ以上の詳細情報はありません。

遠端主機受到 GLSA-201701-38 中所述的弱點影響 (Pidgin：多個弱點)

    在 Pidgin 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能使用 MXit 通訊協定傳送特製的資料，進而可能導致以處理程序的權限執行任意程式碼、造成拒絕服務情形，或洩漏機密資訊。
  因應措施：

    目前尚無已知的因應措施。

遠端主機上安裝的 Pidgin 版本比 2.11.0 舊。
因此，會受到多個弱點影響：

- 處理 MXIT 通訊協定時存在一個 NULL 指標解除參照瑕疵。遠端攻擊者可惡意利用此瑕疵，透過特製的 MXIT 資料造成拒絕服務。
 (CVE-2016-2365)

- 處理 MXIT 通訊協定時，存在多個超出邊界讀取錯誤。遠端攻擊者可惡意利用這些錯誤，透過特製的 MXIT 資料造成拒絕服務。
 (CVE-2016-2366、CVE-2016-2370)

- 處理 MXIT 通訊協定時，存在一個超出邊界讀取錯誤。遠端攻擊者可惡意利用此錯誤，透過無效的虛擬人偶大小，洩漏記憶體內容或造成拒絕服務。(CVE-2016-2367)

- 處理 MXIT 通訊協定時，存在多個記憶體損毀問題。遠端攻擊者可惡意利用這些問題，透過特製的 MXIT 資料洩漏記憶體內容或執行任意程式碼。(CVE-2016-2368)

- 處理 MXIT 通訊協定時存在一個 NULL 指標解除參照瑕疵。遠端攻擊者可惡意利用此瑕疵，透過開頭為 NULL 位元組的特製 MXIT 封包造成拒絕服務。(CVE-2016-2369)

- 處理 MXIT 通訊協定時，存在一個超出邊界寫入錯誤。遠端攻擊者可惡意利用此錯誤，透過特製的 MXIT 資料損毀記憶體，進而導致執行任意程式碼。(CVE-2016-2371)

- 處理 MXIT 通訊協定時，存在一個超出邊界讀取錯誤。遠端攻擊者可惡意利用此錯誤，透過無效的檔案傳輸大小，洩漏記憶體內容或造成拒絕服務。(CVE-2016-2372)

- 處理 MXIT 通訊協定時，存在一個超出邊界讀取錯誤。遠端攻擊者可惡意利用此錯誤，藉由傳送無效的 mood 造成拒絕服務。
 (CVE-2016-2373)

- 處理 MXIT 通訊協定時，存在一個超出邊界寫入錯誤。遠端攻擊者可惡意利用此錯誤，透過特製的 MXIT MultiMX 訊息洩漏記憶體內容或執行任意程式碼。(CVE-2016-2374)

- 處理 MXIT 通訊協定時，存在一個超出邊界讀取錯誤。遠端攻擊者可惡意利用此錯誤，透過特製的 MXIT 聯絡人資訊洩漏記憶體內容。(CVE-2016-2375)

- 處理 MXIT 通訊協定時存在一個緩衝區溢位情形。遠端攻擊者可惡意利用此問題，透過含有無效大小的特製封包來執行任意程式碼。(CVE-2016-2376)

- 處理 MXIT 通訊協定時，存在一個超出邊界寫入錯誤。遠端攻擊者可惡意利用此錯誤，透過某 HTTP 要求的負內容長度回應造成拒絕服務。(CVE-2016-2377)

- 處理 MXIT 通訊協定時存在一個緩衝區溢位情形。遠端攻擊者可惡意利用此問題，透過使用負長度值的特製資料造成拒絕服務。(CVE-2016-2378)

- MXIT 中存在一個瑕疵，這是因為加密使用者密碼時使用了弱式密碼編譯所導致。攔截式攻擊者若能存取登入訊息，便可惡意利用此瑕疵來模擬使用者。(CVE-2016-2379)

- 處理 MXIT 通訊協定時，存在一個超出邊界讀取錯誤。遠端攻擊者可惡意利用此錯誤，透過特製的本機訊息洩漏記憶體內容。
 (CVE-2016-2380)

- 處理 MXIT 通訊協定時存在一個目錄遊走瑕疵。遠端攻擊者可惡意利用此瑕疵，透過使用無效開頭顯示畫面影像檔名的特製 MXIT 資料來覆寫檔案。(CVE-2016-4323)

- 存在一個不明弱點，這是因為使用 GnuTLS 時未正確匯入 X.509 憑證所導致。目前尚無其他詳細資料可以提供。
 (VulnDB 140411)

远程主机上安装的 Pidgin 版本低于 2.11.0。
因此，它受到多种漏洞的影响：

- 处理 MXIT 协议时存在一个空指针取消引用缺陷。远程攻击者可利用此缺陷，通过构建的 MXIT 数据造成拒绝服务。
 (CVE-2016-2365)

- 处理 MXIT 协议时存在多个越界读取错误。远程攻击者可利用这些错误，通过构建的 MXIT 数据造成拒绝服务。
 （CVE-2016-2366、CVE-2016-2370）

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过无效的虚拟形象大小，泄露内存内容或造成拒绝服务。(CVE-2016-2367)

- 处理 MXIT 协议时存在多个内存损坏问题。远程攻击者可利用这些问题，通过构建的 MXIT 数据泄露内存内容或执行任意代码。(CVE-2016-2368)

- 处理 MXIT 协议时存在一个空指针取消引用缺陷。远程攻击者可利用此缺陷，通过以空字节开头的构建的 MXIT 数据包造成拒绝服务。(CVE-2016-2369)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过构建的 MXIT 数据损坏内存，从而导致任意代码执行。(CVE-2016-2371)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过无效的文件传输大小，泄露内存内容或造成拒绝服务。(CVE-2016-2372)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过发送无效的 mood 造成拒绝服务。
 (CVE-2016-2373)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过构建的 MXIT MultiMX 消息泄露内存内容或执行任意代码。(CVE-2016-2374)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过构建的 MXIT 联系信息泄露内存内容。(CVE-2016-2375)

- 处理 MXIT 协议时存在一个缓冲区溢出情况。远程攻击者可利用此问题，通过含有无效大小的构建的数据包来执行任意代码。(CVE-2016-2376)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过 HTTP 请求的负 content-length 响应造成拒绝服务。(CVE-2016-2377)

- 处理 MXIT 协议时存在一个缓冲区溢出情况。远程攻击者可利用此问题，通过使用负长度值的构建的数据造成拒绝服务。(CVE-2016-2378)

- MXIT 中存在一个缺陷，这是因为加密用户密码时使用了弱加密所导致。中间人攻击者如果能访问登录消息，便可利用此缺陷来冒充用户。(CVE-2016-2379)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过构建的本地消息泄露内存内容。
 (CVE-2016-2380)

- 处理 MXIT 协议时存在一个目录遍历缺陷。远程攻击者可利用此缺陷，通过使用无效启动图像文件名的构建的 MXIT 数据来覆盖文件。(CVE-2016-4323)

- 存在一个不明漏洞，这是因为使用 GnuTLS 时未正确导入 X.509 证书所导致。无其他详细内容。
 (VulnDB 140411)

远程主机受到 GLSA-201701-38 中所述漏洞的影响（Pidgin：多个漏洞）

    已在 Pidgin 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能使用 MXit 协议发送特制的数据，进而可能导致以进程的权限远程执行任意代码、拒绝服务情况，或泄露机密信息。
  变通方案：

    目前无任何已知的变通方案。

The remote host is affected by the vulnerability described in GLSA-201701-38 (Pidgin: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Pidgin. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker might send specially crafted data using the MXit       protocol, possibly resulting in the remote execution of arbitrary code       with the privileges of the process, a Denial of Service condition, or in       leaking confidential information.
  Workaround :

    There is no known workaround at this time.

The remote Redhat Enterprise Linux 7 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - pidgin: MXIT g_snprintf Multiple Buffer Overflow Vulnerabilities (CVE-2016-2368)

  - pidgin: Eavesdropping hashed password when logging (CVE-2016-2379)

  - libgadu before 1.11.4 and 1.12.0 before 1.12.0-rc3, as used in Pidgin and other products, allows remote     Gadu-Gadu file relay servers to cause a denial of service (memory overwrite) or possibly execute arbitrary     code via a crafted message. (CVE-2014-3775)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

The version of Pidgin installed on the remote Windows host is prior to 2.11.0. It is, therefore, affected by multiple vulnerabilities :

  - A NULL pointer dereference flaw exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT data, to cause a denial of service.
    (CVE-2016-2365)

  - Multiple out-of-bounds read errors exist when handling     the MXIT protocol. A remote attacker can exploit these,     via crafted MXIT data, to cause a denial of service.
    (CVE-2016-2366, CVE-2016-2370)

  - An out-of-bounds read error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     an invalid size for an avatar, to disclose memory     contents or cause a denial of service. (CVE-2016-2367)

  - Multiple memory corruption issues exist when handling     the MXIT protocol. A remote attacker can exploit these,     via crafted MXIT data, to disclose memory contents or     execute arbitrary code. (CVE-2016-2368)

  - A NULL pointer dereference flaw exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT packet starting with a NULL byte, to cause     a denial of service. (CVE-2016-2369)

  - An out-of-bounds write error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT data, to corrupt memory, resulting in the     execution of arbitrary code. (CVE-2016-2371)

  - An out-of-bounds read error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     an invalid size for a file transfer, to disclose memory     contents or cause a denial of service. (CVE-2016-2372)

  - An out-of-bounds read error exists when handling the     MXIT protocol. A remote attacker can exploit this, by     sending an invalid mood, to cause a denial of service.
    (CVE-2016-2373)

  - An out-of-bounds write error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT MultiMX messages, to disclose memory     contents or execute arbitrary code. (CVE-2016-2374)

  - An out-of-bounds read error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT contact information, to disclose memory     contents. (CVE-2016-2375)

  - A buffer overflow condition exists when handling the     MXIT protocol. A remote attacker can exploit this, via     a crafted packet having an invalid size, to execute     arbitrary code. (CVE-2016-2376)

  - An out-of-bounds write error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     a negative content-length response to an HTTP request,     to cause a denial of service. (CVE-2016-2377)

  - A buffer overflow condition exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted data using negative length values, to cause a     denial of service. (CVE-2016-2378)

  - A flaw exists in MXIT due to using weak cryptography     when encrypting a user password. A man-in-the-middle     attacker able to access login messages can exploit this     to impersonate the user. (CVE-2016-2379)

  - An out-of-bounds read error exists when handling the     MXIT protocol. A remote attacker can exploit this, via     a crafted local message, to disclose memory contents.
    (CVE-2016-2380)

  - A directory traversal flaw exists when handling the     MXIT protocol. A remote attacker can exploit this, via     crafted MXIT data using an invalid file name for a     splash image, to overwrite files. (CVE-2016-4323)

  - An unspecified vulnerability exists due to X.509     certificates not being properly imported when using     GnuTLS. No other details are available.

The remote Redhat Enterprise Linux 6 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - pidgin: Out-of-bounds write in purple_markup_unescape_entity triggered by invalid XML (CVE-2017-2640)

  - Pidgin 2.10.0 uses DBUS for certain cleartext communication, which allows local users to obtain sensitive     information via a dbus session monitor. (CVE-2012-1257)

  - The (1) bundled GnuTLS SSL/TLS plugin and the (2) bundled OpenSSL SSL/TLS plugin in libpurple in Pidgin     before 2.10.10 do not properly consider the Basic Constraints extension during verification of X.509     certificates from SSL servers, which allows man-in-the-middle attackers to spoof servers and obtain     sensitive information via a crafted certificate. (CVE-2014-3694)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
199298	RHEL 5 : pidgin (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	critical
96542	GLSA-201701-38：Pidgin：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/1/17	2021/1/11	critical
91784	Pidgin < 2.11.0 複数の脆弱性	Nessus	Windows	2016/6/23	2019/11/14	high
96542	GLSA-201701-38：Pidgin：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/17	2021/1/11	critical
91784	Pidgin < 2.11.0 多個弱點	Nessus	Windows	2016/6/23	2019/11/14	high
91784	Pidgin < 2.11.0 多种漏洞	Nessus	Windows	2016/6/23	2019/11/14	high
96542	GLSA-201701-38 : Pidgin：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/17	2021/1/11	critical
96542	GLSA-201701-38 : Pidgin: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2017/1/17	2021/1/11	critical
199333	RHEL 7 : pidgin (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
91784	Pidgin < 2.11.0 Multiple Vulnerabilities	Nessus	Windows	2016/6/23	2019/11/14	high
199367	RHEL 6 : pidgin (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	critical

検出

プラグインの検索

critical

critical

high

critical

high

high

critical

critical

high

high

critical