遠端主機上安裝的 pidgin 版本低於 2.10.11-9。因此會受到 ALAS2-2023-2115 公告中提及的一個弱點影響。

  - 在 Pidgin 2.14.9 之前版本中發現一個問題。可偽造 DNS 回應的遠端攻擊者可將用戶端連線重新導向至惡意伺服器。用戶端將對惡意網域名稱 (而非原始 XMPP 服務網域) 執行 TLS 憑證驗證，進而允許攻擊者接管 XMPP 連線並取得使用者憑證和所有通訊內容。此問題與 CVE-2022-24968 類似。(CVE-2022-26491)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：pidgin (ALAS-2023-2115)

medium Nessus Plugin ID 178558

版本 1.0