更新后的 pidgin 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。

在 Pidgin 处理某些 HTTP 响应的方式中发现一个基于堆的缓冲区溢出缺陷。恶意服务器可发送特别构建的 HTTP 响应，从而导致 Pidgin 崩溃，或可能以运行 Pidgin 的用户的权限执行任意代码。(CVE-2013-6485)

在 Pidgin 的多个协议插件（Gadu-Gadu、MXit、SIMPLE）中发现多种基于堆的缓冲区溢出缺陷。恶意服务器可发送特别构建的消息，从而导致 Pidgin 崩溃，或可能以运行 Pidgin 的用户的权限执行任意代码。（CVE-2013-6487、CVE-2013-6489、CVE-2013-6490）

在 Pidgin 的多个协议插件（Yahoo!、XMPP、MSN、stun、IRC）中发现多种拒绝服务缺陷。远程攻击者可利用这些缺陷，通过发送特别构建的消息使 Pidgin 崩溃。（CVE-2012-6152、CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、CVE-2013-6484、CVE-2014-0020）

已发现 Pidgin XMPP 协议插件没有验证“iq”回复的来源。远程攻击者可利用此缺陷欺骗“iq”回复，这可导致注入假数据，或通过空指针取消引用导致 Pidgin 崩溃。(CVE-2013-6483)

在 Pidgin 解析某些 HTTP 响应头的方式中发现一个缺陷。远程攻击者可利用此缺陷，通过特别构建的 HTTP 响应头导致 Pidgin 崩溃。(CVE-2013-6479)

已发现当鼠标指针悬停在长 URL 上时 Pidgin 崩溃。远程攻击者可利用此缺陷，通过发送含有长 URL 字符串的消息，导致 Pidgin 崩溃。(CVE-2013-6478)

Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢这些问题的原始报告者：Thijs Alkemade、Robert Vehse、Jaime Breva Ribes、Tor 项目的 Jacob Appelbaum；哥廷根大学的 Daniel Atallah、Fabian Yamaguchi 和 Christian Wressnegger；Volvent 的 Matt Jones；以及 Sourcefire VRT 的 Yves Younan、Ryan Pentney 和 Pawel Janic。

建议所有　pidgin 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动 Pidgin，才能使此更新生效。

在 Pidgin 处理某些 HTTP 响应的方式中发现一个基于堆的缓冲区溢出缺陷。恶意服务器可发送特别构建的 HTTP 响应，从而导致 Pidgin 崩溃，或可能以运行 Pidgin 的用户的权限执行任意代码。(CVE-2013-6485)

在 Pidgin 的多个协议插件（Gadu-Gadu、MXit、SIMPLE）中发现多种基于堆的缓冲区溢出缺陷。恶意服务器可发送特别构建的消息，从而导致 Pidgin 崩溃，或可能以运行 Pidgin 的用户的权限执行任意代码。（CVE-2013-6487、CVE-2013-6489、CVE-2013-6490）

在 Pidgin 的多个协议插件（Yahoo!、XMPP、MSN、stun、IRC）中发现多种拒绝服务缺陷。远程攻击者可利用这些缺陷，通过发送特别构建的消息使 Pidgin 崩溃。（CVE-2012-6152、CVE-2013-6477、CVE-2013-6481、CVE-2013-6482、CVE-2013-6484、CVE-2014-0020）

已发现 Pidgin XMPP 协议插件没有验证“iq”回复的来源。远程攻击者可利用此缺陷欺骗“iq”回复，这可导致注入假数据，或通过空指针取消引用导致 Pidgin 崩溃。(CVE-2013-6483)

在 Pidgin 解析某些 HTTP 响应头的方式中发现一个缺陷。远程攻击者可利用此缺陷，通过特别构建的 HTTP 响应头导致 Pidgin 崩溃。(CVE-2013-6479)

已发现当鼠标指针悬停在长 URL 上时 Pidgin 崩溃。远程攻击者可利用此缺陷，通过发送含有长 URL 字符串的消息，导致 Pidgin 崩溃。(CVE-2013-6478)

必须重新启动 Pidgin，才能使此更新生效。

已在 Pidgin（即多协议即时消息客户端）中发现多种漏洞：

- CVE-2013-6477 Jaime Breva Ribes 发现远程 XMPP 用户可通过发送含遥远未来时间戳的消息触发崩溃。

- CVE-2013-6478 可通过过宽的工具提示窗口使 Pidgin 崩溃。

- CVE-2013-6479 Jacob Appelbaum 发现恶意服务器或“中间人”可发送畸形 HTTP 标头，从而导致拒绝服务。

- CVE-2013-6481 Daniel Atallah 发现可通过畸形 Yahoo! P2P 消息使 Pidgin 崩溃。

- CVE-2013-6482 Fabian Yamaguchi 和 Christian Wressnegger 发现，畸形的 MSN 消息可能导致 Pidgin 崩溃。

- CVE-2013-6483 Fabian Yamaguchi 和 Christian Wressnegger 发现可通过畸形 XMPP 消息使 Pidgin 崩溃。

- CVE-2013-6484 已发现从 STUN 服务器读取响应时不正确的错误处理可导致崩溃。

- CVE-2013-6485 Matt Jones 发现解析畸形 HTTP 响应时的缓冲区溢出。

- CVE-2013-6487 Yves Younan 和 Ryan Pentney 发现解析 Gadu-Gadu 消息时的缓冲区溢出。

- CVE-2013-6489 Yves Younan 和 Pawel Janic 发现解析 MXit 表情符号时的整数溢出。

- CVE-2013-6490 Yves Younan 发现解析 SIMPLE 标头时的缓冲区溢出。

- CVE-2014-0020 Daniel Atallah 发现可通过畸形 IRC 参数使 Pidgin 崩溃。

更新到 2.10.9

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201405-22 中所述漏洞的影响（Pidgin：多种漏洞）

已在 Pidgin 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以 Pidgin 进程的权限执行任意代码，造成拒绝服务情况、覆盖文件或伪造流量。
 变通方案：

目前无任何已知的变通方案。

ID	Name	Product	Family	Published	Updated	Severity
72352	CentOS 5 / 6：pidgin (CESA-2014:0139)	Nessus	CentOS Local Security Checks	2/6/2014	1/4/2021	critical
72364	RHEL 5 / 6：pidgin (RHSA-2014:0139)	Nessus	Red Hat Local Security Checks	2/6/2014	1/14/2021	critical
72365	Scientific Linux 安全更新：SL5.x、SL6.x i386/x86_64 中的 pidgin	Nessus	Scientific Linux Local Security Checks	2/6/2014	1/14/2021	critical
72439	Debian DSA-2859-1：pidgin - 多个漏洞	Nessus	Debian Local Security Checks	2/12/2014	1/11/2021	critical
72519	Fedora 19：pidgin-2.10.9-1.fc19 (2014-1999)	Nessus	Fedora Local Security Checks	2/17/2014	1/11/2021	critical
74064	GLSA-201405-22：Pidgin：多种漏洞	Nessus	Gentoo Local Security Checks	5/19/2014	1/6/2021	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical