CVE-210-0277 CVE-2010-0420 CVE-2010-0423 セキュリティ修正および多くのマイナーバグ修正を含む 2.6.6

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数のセキュリティ問題を修正する pidgin パッケージの更新が、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Extensible Messaging and Presence Protocol （XMPP）使用時に Pidgin でファイル転送を開始する方法にバッファオーバーフローの欠陥が見つかりました。Pidgin クライアントがファイル転送を開始し、リモートターゲットが無効な形式の応答を送信した場合、Pidgin がクラッシュしたり、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。この欠陥は、Jabber や Google トークなど、XMPP を使用するアカウントにしか影響しません。（CVE-2009-1373）

Pidgin の QQ プロトコル復号化ハンドラーにサービス拒否の欠陥が見つかりました。QQ プロトコルでパケット情報を復号化したとき、ヒープデータが上書きされ、Pidgin がクラッシュしてしまう原因になる可能性があります。（CVE-2009-1374）

Pidgin の PurpleCircBuffer オブジェクトを展開する方法に欠陥が見つかりました。バッファが満杯のときにさらにデータが到着した場合、このバッファに保存されているデータは破損します。この破損データが原因で、混乱を招くデータがユーザーに提示されたり、Pidgin がクラッシュする場合があります。（CVE-2009-1375）

32 ビットのプラットフォームでは、Red Hat セキュリティアドバイザリ RHSA-2008:0584 が提供する、Pidgin の MSN プロトコルハンドラーに影響する整数オーバーフローの欠陥に対する修正が不完全であることが発見されました。Pidgin クライアントが特別に細工された MSN メッセージを受信した場合、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。（CVE-2009-1376）

注：デフォルトでは、MSN アカウントを使用するとき、ある人のバディーリスト上のユーザーだけが、その人にメッセージを送信することができます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

すべての Pidgin ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするためには、Pidgin を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:1060 から：

複数のセキュリティ問題を修正する pidgin パッケージの更新が、 Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Extensible Messaging and Presence Protocol （XMPP）使用時に Pidgin でファイル転送を開始する方法にバッファオーバーフローの欠陥が見つかりました。Pidgin クライアントがファイル転送を開始し、リモートターゲットが無効な形式の応答を送信した場合、Pidgin がクラッシュしたり、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。この欠陥は、Jabber や Google トークなど、XMPP を使用するアカウントにしか影響しません。(CVE-2009-1373)

Pidgin の QQ プロトコル復号化ハンドラーにサービス拒否の欠陥が見つかりました。QQ プロトコルでパケット情報を復号化したとき、ヒープデータが上書きされ、Pidgin がクラッシュしてしまう原因になる可能性があります。(CVE-2009-1374)

Pidgin の PurpleCircBuffer オブジェクトを展開する方法に欠陥が見つかりました。バッファが満杯のときにさらにデータが到着した場合、このバッファに保存されているデータは破損します。この破損データが原因で、混乱を招くデータがユーザーに提示されたり、Pidgin がクラッシュする場合があります。(CVE-2009-1375)

32 ビットのプラットフォームでは、Red Hat セキュリティアドバイザリ RHSA-2008:0584 が提供する、Pidgin の MSN プロトコルハンドラーに影響する整数オーバーフローの欠陥に対する修正が不完全であることが発見されました。Pidgin クライアントが特別に細工された MSN メッセージを受信した場合、 Pidgin の実行ユーザーの権限で任意のコードを実行してしまう可能性があります。(CVE-2009-1376)

注：デフォルトでは、MSN アカウントを使用するとき、ある人のバディーリスト上のユーザーだけが、その人にメッセージを送信することができます。これにより、不特定多数の MSN ユーザーがこの欠陥を悪用することが防がれます。

すべての Pidgin ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を解決するバックポートされたパッチが含まれます。この更新を有効にするためには、Pidgin を再起動する必要があります。

Federico Muttis 氏は、pidgin IM クライアントに様々なインスタントメッセージネットワークのサポートを追加する共有ライブラリである libpurple が、ヒープベースのバッファオーバーフローに対して脆弱であることを発見しました。この問題は CVE-2008-2927 および CVE-2009-1376 に対する修正が不完全であるために存在します。攻撃者が、MSN を介して被害者に 2 つの連続した SLP パケットを送信することにより、これを悪用する可能性があります。

第一のパケットは、ゼロのオフセットを含む SLP メッセージオブジェクトを作成するのに使用され、さらに、第二のパケットには、CVE-2008-2927 および CVE-2009-1376 で元々修正されている脆弱なコードを呼び出す細工されたオフセットが含まれています。これにより、攻撃者が任意のコードを実行する可能性があります。

注：「以下のユーザーのみを許可」を設定しているユーザーは、この攻撃に対して脆弱ではありません。以下の更新をインストールできない場合、Tools->Privacy から設定ができます。

- CVE-2010-0013 - 複数のその他のバグ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

GNOME 2.6.0：Gnome マルチプロトコルインスタントメッセージングクライアントパッチ。
Sun によるこのパッチの最終更新日：Dec/14/09

GNOME 2.6.0_x86：Gnome マルチプロトコルインスタントメッセージングクライアント Pat。
Sun によるこのパッチの最終更新日：Dec/11/09

Red Hat セキュリティアドバイザリ 2009:1218 から：

セキュリティ問題を修正する更新済みの Pidgin パッケージが Red Hat Enterprise Linux 3、4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Core Security Technologies の Federico Muttis 氏は、Pidgin の MSN プロトコルハンドラーで欠陥を発見しました。ユーザーが悪意のある MSN メッセージを受信した場合、 Pidgin を実行しているユーザーの権限で任意のコードを実行することが可能でした。(CVE-2009-2694)

注：ユーザーは、バディーリストのユーザーからのメッセージにこの欠陥の影響を制限させる場合のみ、プライバシーの設定を変更できます。

このパッケージでは、Pidgin はバージョン 2.5.9 にアップグレードされます。詳細な変更内容については、Pidgin のリリースノートを参照してください：
http://developer.pidgin.im/wiki/ChangeLog

Pidgin の全ユーザーは、これらの更新済みパッケージへアップグレードし、この問題を修正する必要があります。この更新を有効にするためには、Pidgin を再起動する必要があります。

CVE-2009-2694 pidgin：msn_slplink_process_msg() の不充分な入力検証

Core Security Technologies の Federico Muttis 氏は、Pidgin の MSN プロトコルハンドラーで欠陥を発見しました。ユーザーが悪意のある MSN メッセージを受信した場合、 Pidgin を実行しているユーザーの権限で任意のコードを実行することが可能でした。（CVE-2009-2694）

この更新を有効にするためには、Pidgin を再起動する必要があります。

新しい機能、バグの修正、CVE-2010-1624 に対するセキュリティの修正を備えた 2.7.0 完全な Upstream の変更ログ：* http://developer.pidgin.im/wiki/ChangeLog Fedora パッケージングの変更点：* システム SSL 証明書を使用します * Voice と Video にさらに別の依存関係を追加します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Pidgin は、IRC プロトコルハンドラーで、特定のトピックメッセージを適切に処理していないことが判明しました。ユーザーが騙されて、悪意のある IRC サーバーに接続するとしたら、攻撃者は、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-2703）

Pidgin は、旧式の特定の Jabber サーバーに接続する際に、「require TLS/SSL」設定を適切に強制していないことが判明しました。リモートの攻撃者が、中間者攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-3026）

Pidgin は、MSN プロトコルハンドラーで、特定の SLP 招待メッセージを適切に処理していないことが判明しました。リモートの攻撃者は、特別に細工された招待メッセージを送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-3083）

Pidgin は、XMPP プロトコルハンドラーで、特定のエラーを適切に処理していないことが判明しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は、Ubuntu 8.10 および Ubuntu 9.04 にしか影響を与えません。
（CVE-2009-3085）

Pidgin は、OSCAR プロトコルハンドラーで、無効な形式の contact-list データを適切に処理していないことが判明しました。リモートの攻撃者は、特別に細工された contact-list データを送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。（CVE-2009-3615）

Pidgin は、MSN プロトコルハンドラーで、カスタムな絵文字リクエストを適切に処理していないことが判明しました。リモートの攻撃者は、カスタムな絵文字リクエスト内で特別に細工されたファイル名を送信することで、ディレクトリトラバーサルを通じて、任意のファイルを入手する可能性があります。この問題の影響を受けるのは、Ubuntu 8.10、Ubuntu 9.04 および Ubuntu 9.10 のみです。（CVE-2010-0013）

Ubuntu 8.04 LTS 用の Pidgin も更新され、MSN プロトコルに関する接続の問題を修正しました。

USN-675-1 および USN-781-1 では、更新済みの Pidgin パッケージを提供しており、Ubuntu 8.04 LTS での複数のセキュリティの脆弱性を修正しました。CVE-2008-2955 および CVE-2009-1376 を修正するためのセキュリティのパッチは、不完全でした。この更新は、この問題を修正します。

Pidgin は、MSN プロトコルハンドラーで、長いファイル名や特殊文字を含むファイル転送を適切に処理していないことが判明しました。リモートの攻撃者は、ファイル転送リクエストで特別に細工されたファイル名を送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。（CVE-2008-2955）

Pidgin は、MSN プロトコルハンドラーで、特定の無効な形式のメッセージを適切に処理していないことが判明しました。リモートの攻撃者が、特別に細工されたメッセージを送信し、ユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2009-1376）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
47244	Fedora 11 : pidgin-2.6.6-1.fc11 （2010-1279）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	critical
43751	CentOS 4 / 5：pidgin（CESA-2009:1060）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
67863	Oracle Linux 4：pidgin（ELSA-2009-1060）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
44735	Debian DSA-1870-1：pidgin - 不十分な入力検証	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	critical
47184	Fedora 11 : pidgin-2.6.5-1.fc11 （2010-0429）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	critical
107319	Solaris 10 (sparc) : 119548-14	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
107822	Solaris 10 (x86 ) ： 119549-14	Nessus	Solaris Local Security Checks	2018/3/12	2021/1/14	critical
67912	Oracle Linux 3/4：pidgin（ELSA-2009-1218）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
60644	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の pidgin	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
47495	Fedora 11 : pidgin-2.7.0-2.fc11 （2010-8523）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	critical
44057	Ubuntu 8.04 LTS / 8.10 / 9.04 / 9.10：pidgin 脆弱性（USN-886-1）	Nessus	Ubuntu Local Security Checks	2010/1/19	2019/9/19	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical