遠端主機上安裝的 Pidgin 版本比 2.10.10 版舊。因此受到以下弱點影響：

- 在隨附的 libpurple 程式庫中，存在一個與 SSL 基本限制延伸模組和憑證授權單位 (CA) 驗證相關的錯誤，此錯誤允許中繼憑證當做 CA 受到信任。
 (CVE-2014-3694)

- 在隨附的 libpurple 程式庫中，存在一個與表情符號處理相關的錯誤，此錯誤允許攻擊者損毀應用程式。(CVE-2014-3695)

- 在隨附的 libpurple 程式庫中，存在一個與 'Groupwise' 訊息處理和 UI 記憶體管理相關的錯誤，此錯誤允許攻擊者損毀應用程式。(CVE-2014-3696)

- 存在一個與針對「笑臉符號主題」處理 'untar' 作業相關的錯誤，此錯誤允許任意檔案覆寫。此問題僅會影響 Microsoft Windows 上的安裝。(CVE-2014-3697)

- 在隨附的 libpurple 程式庫中，存在一個與處理 XMPP 訊息相關的錯誤，此錯誤允許攻擊者取得任意記憶體內容。
 (CVE-2014-3698)

此更新中修正了下列問題：

+ 一般：

- 驗證 SSL/TLS 憑證時，檢查基本的限制延伸模組。這可修正一個安全漏洞，該漏洞允許惡意的攔截式攻擊模擬 IM 伺服器或任何其他 https 端點。NSS 和 GnuTLS 外掛程式都會受到這個問題影響 (CVE-2014-3694、 boo#902495)。

- 使用 NSS 外掛程式執行 SSL 時，允許並偏好 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 相容性：

- 加密帳戶的密碼會保留到設定新的密碼為止。

- 修正載入 Google Talk 和 Facebook XMPP 帳戶。

+ Groupwise：修正剖析伺服器訊息時可能會造成的遠端當機，該訊息會指示應配置大量記憶體 (CVE-2014-3696、boo#902410)。

+ IRC：修正搭配 OTR 使用 /me 命令時，可能會洩漏未加密資料的問題 (im#15750)。

+ MXit：修正剖析格式錯誤的表情符號回應時，可能會造成的遠端當機 (CVE-2014-3695、boo#902409)。

+ XMPP：

- 修正潛在的資訊洩漏問題，在該問題中，惡意的 XMPP 伺服器甚或惡意的遠端使用者可利用特製的 XMPP 訊息，導致 libpurple 傳送含有任意記憶體的 XMPP 訊息 (CVE-2014-3698、boo#902408)。

+ Yahoo：修正使用 GnuTLS 程式庫進行 TLS 連線時的登入問題 (im#16172、boo#874606)。

Slackware 13.0、13.1、13.37、14.0、14.1 和最新版本有最新的 pidgin 套件可修正安全性問題。

- 2.10.10 版本的更新：

+ 一般：

- 驗證 SSL/TLS 憑證時，檢查基本的限制延伸模組。這可修正一個安全漏洞，該漏洞允許惡意的攔截式攻擊模擬 IM 伺服器或任何其他 https 端點。NSS 和 GnuTLS 外掛程式都會受到這個問題影響 (CVE-2014-3694、 boo#902495)。

- 使用 NSS 外掛程式執行 SSL 時，允許並偏好 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 相容性：

- 加密帳戶的密碼會保留到設定新的密碼為止。

- 修正載入 Google Talk 和 Facebook XMPP 帳戶。

+ Windows 特定變更：當使用者透過拖放方式安裝笑臉符號主題時，不允許在檔案系統上覆寫任意檔案 (CVE-2014-3697)。

+ Finch：修正針對 Python 3 的版本 (im#15969)。

+ Gadu-Gadu：將內部 libgadu 更新至版本 1.12.0。

+ Groupwise：修正剖析伺服器訊息時可能會造成的遠端當機，該訊息會指示應配置大量記憶體 (CVE-2014-3696、boo#902410)。

+ IRC：修正搭配 OTR 使用 /me 命令時，可能會洩漏未加密資料的問題 (im#15750)。

+ MXit：修正剖析格式錯誤的表情符號回應時，可能會造成的遠端當機 (CVE-2014-3695、boo#902409)。

+ XMPP：

- 修正潛在的資訊洩漏問題，在該問題中，惡意的 XMPP 伺服器甚或惡意的遠端使用者可利用特製的 XMPP 訊息，導致 libpurple 傳送含有任意記憶體的 XMPP 訊息 (CVE-2014-3698、boo#902408)。

- 修正 Facebook XMPP 名冊 quirk (im#15041、im#15957)。

+ Yahoo：修正使用 GnuTLS 程式庫進行 TLS 連線時的登入問題 (im#16172、boo#874606)。

- 中斷 pidgin-gstreamer1.patch：造成當機及視訊仍無法正常運作 (boo#853038)。中斷切換至 GStreamer 1.0 的 BuildRequires 情況。

- 重定基底 pidgin-crash-missing-gst-registry.patch。

+ 根據 GST 文件新增 pidgin-crash-missing-gst-registry.patch，應在其他任何呼叫之前呼叫 'gst_init'。

ID	名稱	產品	系列	已發布	已更新	嚴重性
78689	Pidgin < 2.10.10 多個弱點	Nessus	Windows	2014/10/27	2019/11/25	medium
78663	FreeBSD：libpurple/pidgin -- 多個弱點 (d057c5e6-5b20-11e4-bebd-000c2980a9f3)	Nessus	FreeBSD Local Security Checks	2014/10/24	2021/1/6	medium
79101	openSUSE 安全性更新：pidgin (openSUSE-SU-2014:1376-1)	Nessus	SuSE Local Security Checks	2014/11/11	2021/1/19	medium
78657	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：pidgin (SSA:2014-296-02)	Nessus	Slackware Local Security Checks	2014/10/24	2021/1/14	medium
79223	openSUSE 安全性更新：pidgin (openSUSE-SU-2014:1397-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium