pidgin 已更新，可修正 4 個安全性問題：

- 修正收到包含超長值的 UPnP 回應時所發生的當機情況。(CVE-2013-0274、bnc#804742)

- 修正惡意伺服器將超長的使用者 ID 傳送給我們時，Sametime 通訊協定中發生的損毀情況。
 (CVE-2013-0273、bnc#804742)

- 修正 MXit 伺服器或攔截式攻擊可能傳送會造成緩衝區溢位或導致當機或執行遠端程式碼之特製資料的錯誤。(CVE-2013-0272、bnc#804742)

- 修正遠端 MXit 使用者可能指定待寫入本機檔案路徑的錯誤。
 (CVE-2013-0271、bnc#804742)

遠端主機上安裝的 Pidgin 版本比 2.10.7.舊。因此可能受到以下弱點影響：

- 存在一個與 'MXit' 外掛程式和影像儲存有關的錯誤，可允許覆寫任意檔案。(CVE-2013-0271)

- 檔案 'libpurple/protocols/mxit/http.c' 的函式 'mxit_cb_http_read' 中有一個堆疊型緩衝區溢位問題，其在處理某些 HTTP 標頭時可允許任意程式碼執行。(CVE-2013-0272)

- 檔案 'libpurple/protocols/sametime/sametime.c' 的函式 'mw_prpl_normalize' 中有一個錯誤，其在處理長度大於 4096 位元組的使用者 ID 時可允許拒絕服務攻擊。(CVE-2013-0273)

- 檔案 'libpurple/upnp.c' 的函式 'upnp_parse_description_cb'、'purple_upnp_discover_send_broadcast'、'looked_up_public_ip_cb'、'looked_up_internal_ip_cb'、'purple_upnp_set_port_mapping' 和 'purple_upnp_remove_port_mapping' 中有多個錯誤，其在處理某些 UPnP 回應訊息時可允許拒絕服務攻擊。
 (CVE-2013-0274)

pidgin 已更新，可修正安全性問題：

- 修正收到包含超長值的 UPnP 回應時發生的當機。(CVE-2013-0274)

- 修正惡意伺服器將超長的使用者 ID 傳送給我們時，Sametime 中發生的損毀情況。(CVE-2013-0273)

- 修正 MXit 伺服器或攔截式攻擊可能傳送會造成緩衝區溢位或導致當機或執行遠端程式碼之特製資料的錯誤。(CVE-2013-0272)

- 修正遠端 MXit 使用者可能指定待寫入本機檔案路徑的錯誤。
 (CVE-2013-0271)

Pidgin 報告：

libpurple

修正收到包含超長值的 UPnP 回應時發生的當機。

MXit

修正遠端 MXit 使用者可能指定待寫入本機檔案路徑的兩個錯誤。

修正 MXit 伺服器或攔截式攻擊可能傳送會造成緩衝區溢位或導致當機或執行遠端程式碼之特製資料的錯誤。

Sametime

修正惡意伺服器將超長的使用者 ID 傳送給我們時，Sametime 中發生的損毀情況。

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 在 2.10.8 版之前的 Pidgin 中，libpurple 中的 Yahoo! 通訊協定外掛程式未正確驗證 UTF-8 資料，其允許遠端攻擊者透過特製的位元組序列造成拒絕服務 (應用程式損毀)。
 (CVE-2012-6152)

- 在 2.10.7 版之前的 Pidgin 中，libpurple 中的 MXit 通訊協定外掛程式可能允許遠端攻擊者透過特製的 (1) mxit 或 (2) mxit/imagestrips 路徑名稱建立或覆寫檔案。(CVE-2013-0271)

- 在 2.10.7 版之前的 Pidgin 中，libpurple 的 MXit 通訊協定外掛程式之 http.c 內的緩衝區溢位，會允許遠端伺服器透過長 HTTP 標頭執行任意程式碼。
 (CVE-2013-0272)

- 在 2.10.7 版之前的 Pidgin 中，libpurple 之 Sametime 通訊協定外掛程式內的 sametime.c 未正確終止長使用者 ID，其允許遠端伺服器透過特製的封包造成拒絕服務 (應用程式損毀)。
 (CVE-2013-0273)

- 在 2.10.7 版之前的 Pidgin 中，libpurple 內的 upnp.c 未正確終止 UPnP 回應中的長字串，其允許遠端攻擊者利用本機網路的存取權造成拒絕服務 (應用程式損毀)。(CVE-2013-0274)

- 在 2.10.8 版之前的 Pidgin 中，libpurple 內的多個整數正負號錯誤允許遠端攻擊者透過 XMPP 訊息中的特製時間戳記值造成拒絕服務 (應用程式損毀)。(CVE-2013-6477)

- 在 2.10.8 版之前的 Pidgin 中，gtkimhtml.c 未正確與寬 Pango 配置的基礎程式庫支援互動，其允許使用者協助的遠端攻擊者透過使用工具提示檢查的長 URL 造成拒絕服務 (應用程式損毀)。(CVE-2013-6478)

- 在 2.10.8 之前的 Pidgin 中，libpurple 內的 util.c 未正確針對與 Content-Length 標頭不一致的 HTTP 回應配置記憶體，其允許遠端 HTTP 伺服器透過特製回應造成拒絕服務 (應用程式損毀)。
 (CVE-2013-6479)

- 在 2.10.8 版之前的 Pidgin 中，libpurple/protocols/yahoo/libymsg.c 允許遠端攻擊者透過具有特製長度欄位的 Yahoo! P2P 訊息觸發緩衝區過度讀取，進而造成拒絕服務 (損毀)。
 (CVE-2013-6481)

- 2.10.8 版之前的 Pidgin 允許遠端 MSN 伺服器透過特製的 (1) SOAP 回應、(2) OIM XML 回應或 (3) Content-Length 標頭造成拒絕服務 (NULL 指標解除參照與損毀)。(CVE-2013-6482)

- 在 2.10.8 版之前的 Pidgin 中，libpurple 中的 XMPP 通訊協定外掛程式無法正確確定 iq 回覆中的寄件者地址是否與 iq 要求中的收件者地址一致，其允許遠端攻擊者透過特製的回覆偽造 iq 流量或造成拒絕服務 (NULL 指標解除參照與應用程式損毀)。
 (CVE-2013-6483)

- 在 2.10.8 版之前的 Pidgin 中，libpurple 內的 STUN 通訊協定實作允許遠端 STUN 伺服器觸發通訊端讀取錯誤，進而造成拒絕服務 (超出邊界寫入操作與應用程式損毀)。
 (CVE-2013-6484)

- 在 2.10.8 版之前的 Pidgin 中，libpurple 之 util.c 內的緩衝區溢位允許遠端 HTTP 伺服器透過區塊傳輸編碼資料中的無效區塊大小欄位造成拒絕服務 (應用程式損毀)，或可能造成其他不明影響。(CVE-2013-6485)

- 在 Windows 上 2.10.8 版之前的 Pidgin 中，gtkutils.c 允許使用者協助的遠端攻擊者透過包含 file: URL 的訊息 (其於建構 explorer.exe 命令期間遭到不當處理) 執行任意程式。注意：此弱點之所以存在，是因為 CVE-2011-3185 的修正不完整。
 (CVE-2013-6486)

- 在 2.10.8 版之前的 Pidgin 中，Gadu-Gadu (gg) 剖析器之 libpurple/protocols/gg/lib/http.c 內的整數溢位允許遠端攻擊者透過大 Content-Length 值觸發緩衝區溢位，進而造成不明影響。(CVE-2013-6487)

- 在 2.10.8 版之前的 Pidgin 中，MXit 功能的整數正負號錯誤允許遠端攻擊者透過特製的表情符號值觸發整數溢位及緩衝區溢位，進而造成拒絕服務 (分割錯誤)。(CVE-2013-6489)

- 在 2.10.8 版之前的 Pidgin 中，SIMPLE 通訊協定功能允許遠端攻擊者透過負 Content-Length 標頭觸發緩衝區溢位，進而造成不明影響。(CVE-2013-6490)

- 在 2.10.8 版之前的 Pidgin 中，libpurple 的 IRC 通訊協定外掛程式未驗證引數計數，其允許遠端 IRC 伺服器透過特製的訊息造成拒絕服務 (應用程式損毀)。
 (CVE-2014-0020)

Slackware 12.2、13.0、13.1、13.37、14.0 和最新版本有最新的 pidgin 套件可修正安全性問題。

Chris Wysopal 發現 Pidgin 未正確處理 MXit 通訊協定處置程式中的檔案傳輸。遠端攻擊者可利用此問題來建立或覆寫任意檔案。此問題只會影響 Ubuntu 11.10、Ubuntu 12.04 LTS 和 Ubuntu 12.10。
(CVE-2013-0271)

據發現，Pidgin 未正確處理 MXit 通訊協定處置程式中的長 HTTP 標頭。惡意遠端伺服器可利用此問題執行任意程式碼。(CVE-2013-0272)

據發現，Pidgin 未正確處理 Sametime 通訊協定處置程式中的長使用者 ID。惡意遠端伺服器可利用此問題造成 Pidgin 損毀，進而導致拒絕服務。
(CVE-2013-0273)

據發現，當處理 UPnP 回應時，Pidgin 未正確處理長字串。遠端攻擊者可利用此問題造成 Pidgin 當機，進而導致拒絕服務。
(CVE-2013-0274)。

遠端主機受到 GLSA-201405-22 中所述的弱點影響 (Pidgin：多個弱點)

在 Pidgin 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以 Pidgin 處理程序的權限執行任意程式碼、造成拒絕服務情況、覆寫檔案或偽造流量。
 因應措施：

目前尚無已知的因應措施。

Pidgin 已更新至 2.10.7，可修正 IRC 根本無法在 12.3 版中正常運作的多種安全性問題與錯誤。

變更：

- 新增 pidgin-irc-sasl.patch：將 irc 模組連結至 SASL。
 允許載入 IRC 模組 (bnc#806975)。

- 2.10.7 版的更新 (bnc#804742)：

+ Alien hatchery：

- 無變更

+ 一般：

- 當使用以下項目指定無效通訊協定外掛程式時，組態指令碼現在將以狀態 1 結束：

--with-static-prpls 與 --with-dynamic-prpls 引數。
 (pidgin.im#15316)

+ libpurple：

- 修正收到包含超長值的 UPnP 回應時發生的當機。(CVE-2013-0274)

- 當在 GnuTLS 的支援之下構建時，不直接連結至 libgcrypt。(pidgin.im#15329)

- 修正在回應中傳回空白 <URLBase/> 元素之路由器上的 UPnP 對應。(pidgin.im#15373)

- Tcl 外掛程式使用 saner，這是無爭用情形的外掛程式載入。

- 修正 savedstatus-changed 的 Tcl 訊號測試外掛程式。
 (pidgin.im#15443)

+ Pidgin：

- 使 Pidgin 對非 X11 GTK+ (例如 MacPorts 的 +no_x11 變體) 而言更易用。

+ Gadu-Gadu：

- 修正大型聯絡人清單的啟動時損毀情形。好友的虛擬人偶支援將遭到停用，直到 3.0.0 為止。
 (pidgin.im#15226、pidgin.im#14305)

+ IRC：

SASL 驗證的支援。(pidgin.im#13270)

- 在通道加入時列印主題 setter 資訊。
 (pidgin.im#13317)

+ MSN：

- 修正當為某些使用者登入 MSN 時的 SSL 憑證問題。

- 修正當在載入圖示之前移除使用者時的損毀問題。(pidgin.im#15217)

+ MXit：

- 修正遠端 MXit 使用者可能指定待寫入本機檔案路徑的錯誤。
 (CVE-2013-0271)

- 修正 MXit 伺服器或攔截式攻擊可能傳送會造成緩衝區溢位或導致當機或執行遠端程式碼之特製資料的錯誤。(CVE-2013-0272)

- 以不同的色彩顯示再見訊息以將其與正常訊息區別開來。

- 新增鍵入通知的支援。

- 新增關係狀態設定檔屬性的支援。

- 移除對於隱藏號碼的所有參照。

- 如果您已經加入，或仍在擱置邀請的狀態下，則忽略新的加入 GroupChat 的邀請。

- 如果好友未設定狀態訊息或心情，則好友名稱不會在好友清單中垂直置中。

- 修正已收到訊息標記中的字型大小變更解碼。

- 將可傳輸的最大檔案大小增加到 1 MB。

- 當設定 avatar 影像時，不再將其比例縮小至 96x96。

+ Sametime：

- 修正惡意伺服器將超長的使用者 ID 傳送給我們時，Sametime 中發生的損毀情況。(CVE-2013-0273)

+ Yahoo!：

- 修正設定檔/圖片載入程式碼中的重複釋放。
 (pidgin.im#15053)

- 修正擷取伺服器端好友別名。
 (pidgin.im#15381)

+ 外掛程式：

- Voice/Video Settings 外掛程式支援使用 sndio GStreamer 後端。(pidgin.im#14414)

- 修正 Contact Availability Detection 外掛程式中的損毀情形。(pidgin.im#15327)

- 使 Message Notification 外掛程式對非 X11 GTK+ (例如 MacPorts 的 +no_x11 變體) 而言更易用。

+ Windows 特定變更：

- 使用安全旗標編譯 (pidgin.im#15290)

- 安裝程式可更安全地下載 GTK+ Runtime 與 Debug Symbols。(pidgin.im#15277)

- 一些相依性的更新，其中一部分有安全性相關修正。(pidgin.im#14571、pidgin.im#15285、pidgin.im#15286)。ATK 1.32.0-2。Cyrus SASL 2.1.25。expat 2.1.0-1。freetype 2.4.10-1。
 gettext 0.18.1.1-2。Glib 2.28.8-1。libpng 1.4.12-1。
 libxml2 2.9.0-1。NSS 3.13.6 與 NSPR 4.9.2。Pango 1.29.4-1。SILC 1.1.10。zlib 1.2.5-2

- 修補 libmeanwhile (sametime 程式庫) 以修正損毀情形。
 (pidgin.im#12637)

ID	名稱	產品	系列	已發布	已更新	嚴重性
65026	SuSE 10 安全性更新：pidgin (ZYPP 修補程式編號 8475)	Nessus	SuSE Local Security Checks	2013/3/5	2021/1/19	medium
64670	Pidgin < 2.10.7 多個弱點	Nessus	Windows	2013/2/18	2019/12/4	medium
74915	openSUSE 安全性更新：pidgin (openSUSE-SU-2013:0405-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
65024	SuSE 11.2 安全性更新：pidgin (SAT 修補程式編號 7429)	Nessus	SuSE Local Security Checks	2013/3/5	2021/1/19	medium
65184	FreeBSD：libpurple -- 多個弱點 (549787c1-8916-11e2-8549-68b599b52a02)	Nessus	FreeBSD Local Security Checks	2013/3/11	2021/1/6	medium
80740	Oracle Solaris 第三方修補程式更新：pidgin (multiple_vulnerabilities_in_pidgin2)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical
64622	Slackware 12.2 / 13.0 / 13.1 / 13.37 / 14.0 / 最新版本：pidgin (SSA:2013-044-01)	Nessus	Slackware Local Security Checks	2013/2/14	2021/1/14	medium
64890	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10 : pidgin 弱點 (USN-1746-1)	Nessus	Ubuntu Local Security Checks	2013/2/26	2019/9/19	medium
74064	GLSA-201405-22 : Pidgin：多個弱點	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical
74934	openSUSE 安全性更新：pidgin (openSUSE-SU-2013:0511-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

critical

medium

medium

critical

medium