A directory traversal flaw was discovered in Pidgin's MSN protocol implementation. A remote attacker could send a specially crafted emoticon image download request that would cause Pidgin to disclose an arbitrary file readable to the user running Pidgin. (CVE-2010-0013)

These packages upgrade Pidgin to version 2.6.5.

Pidgin must be restarted for this update to take effect.

It was discovered that Pidgin did not properly handle certain topic messages in the IRC protocol handler. If a user were tricked into connecting to a malicious IRC server, an attacker could cause Pidgin to crash, leading to a denial of service. This issue only affected Ubuntu 8.04 LTS, Ubuntu 8.10 and Ubuntu 9.04. (CVE-2009-2703)

It was discovered that Pidgin did not properly enforce the 'require TLS/SSL' setting when connecting to certain older Jabber servers. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could be exploited to view sensitive information. This issue only affected Ubuntu 8.04 LTS, Ubuntu 8.10 and Ubuntu 9.04. (CVE-2009-3026)

It was discovered that Pidgin did not properly handle certain SLP invite messages in the MSN protocol handler. A remote attacker could send a specially crafted invite message and cause Pidgin to crash, leading to a denial of service. This issue only affected Ubuntu 8.04 LTS, Ubuntu 8.10 and Ubuntu 9.04. (CVE-2009-3083)

It was discovered that Pidgin did not properly handle certain errors in the XMPP protocol handler. A remote attacker could send a specially crafted message and cause Pidgin to crash, leading to a denial of service. This issue only affected Ubuntu 8.10 and Ubuntu 9.04.
(CVE-2009-3085)

It was discovered that Pidgin did not properly handle malformed contact-list data in the OSCAR protocol handler. A remote attacker could send specially crafted contact-list data and cause Pidgin to crash, leading to a denial of service. (CVE-2009-3615)

It was discovered that Pidgin did not properly handle custom smiley requests in the MSN protocol handler. A remote attacker could send a specially crafted filename in a custom smiley request and obtain arbitrary files via directory traversal. This issue only affected Ubuntu 8.10, Ubuntu 9.04 and Ubuntu 9.10. (CVE-2010-0013)

Pidgin for Ubuntu 8.04 LTS was also updated to fix connection issues with the MSN protocol.

USN-675-1 and USN-781-1 provided updated Pidgin packages to fix multiple security vulnerabilities in Ubuntu 8.04 LTS. The security patches to fix CVE-2008-2955 and CVE-2009-1376 were incomplete. This update corrects the problem. 

It was discovered that Pidgin did not properly handle file transfers containing a long filename and special characters in the MSN protocol handler. A remote attacker could send a specially crafted filename in a file transfer request and cause Pidgin to crash, leading to a denial of service. (CVE-2008-2955)

It was discovered that Pidgin did not properly handle certain malformed messages in the MSN protocol handler. A remote attacker could send a specially crafted message and possibly execute arbitrary code with user privileges.
(CVE-2009-1376).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

2.7.0 with new features, bug fixes and a security fix for CVE-2010-1624 Full Upstream ChangeLog: * http://developer.pidgin.im/wiki/ChangeLog Fedora packaging changes: * Use System SSL Certificates * Add additional dependencies for Voice + Video

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Pidgin は、IRC プロトコルハンドラーで、特定のトピックメッセージを適切に処理していないことが判明しました。ユーザーが騙されて、悪意のある IRC サーバーに接続するとしたら、攻撃者は、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-2703）

Pidgin は、旧式の特定の Jabber サーバーに接続する際に、「require TLS/SSL」設定を適切に強制していないことが判明しました。リモートの攻撃者が、中間者攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-3026）

Pidgin は、MSN プロトコルハンドラーで、特定の SLP 招待メッセージを適切に処理していないことが判明しました。リモートの攻撃者は、特別に細工された招待メッセージを送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。この問題は Ubuntu 8.04 LTS、 Ubuntu 8.10 および Ubuntu 9.04.にのみ影響を及ぼしました。（CVE-2009-3083）

Pidgin は、XMPP プロトコルハンドラーで、特定のエラーを適切に処理していないことが判明しました。リモートの攻撃者が特別に細工されたメッセージを送信し、Pidgin がクラッシュしてサービス拒否が発生することがあります。この問題は、Ubuntu 8.10 および Ubuntu 9.04 にしか影響を与えません。
（CVE-2009-3085）

Pidgin は、OSCAR プロトコルハンドラーで、無効な形式の contact-list データを適切に処理していないことが判明しました。リモートの攻撃者は、特別に細工された contact-list データを送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。（CVE-2009-3615）

Pidgin は、MSN プロトコルハンドラーで、カスタムな絵文字リクエストを適切に処理していないことが判明しました。リモートの攻撃者は、カスタムな絵文字リクエスト内で特別に細工されたファイル名を送信することで、ディレクトリトラバーサルを通じて、任意のファイルを入手する可能性があります。この問題の影響を受けるのは、Ubuntu 8.10、Ubuntu 9.04 および Ubuntu 9.10 のみです。（CVE-2010-0013）

Ubuntu 8.04 LTS 用の Pidgin も更新され、MSN プロトコルに関する接続の問題を修正しました。

USN-675-1 および USN-781-1 では、更新済みの Pidgin パッケージを提供しており、Ubuntu 8.04 LTS での複数のセキュリティの脆弱性を修正しました。CVE-2008-2955 および CVE-2009-1376 を修正するためのセキュリティのパッチは、不完全でした。この更新は、この問題を修正します。

Pidgin は、MSN プロトコルハンドラーで、長いファイル名や特殊文字を含むファイル転送を適切に処理していないことが判明しました。リモートの攻撃者は、ファイル転送リクエストで特別に細工されたファイル名を送信することで、Pidgin をクラッシュさせる可能性があるため、サービス拒否を引き起こします。（CVE-2008-2955）

Pidgin は、MSN プロトコルハンドラーで、特定の無効な形式のメッセージを適切に処理していないことが判明しました。リモートの攻撃者が、特別に細工されたメッセージを送信し、ユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2009-1376）。

新しい機能、バグの修正、CVE-2010-1624 に対するセキュリティの修正を備えた 2.7.0 完全な Upstream の変更ログ：* http://developer.pidgin.im/wiki/ChangeLog Fedora パッケージングの変更点：* システム SSL 証明書を使用します * Voice と Video にさらに別の依存関係を追加します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2010:0044 から：

セキュリティ問題を修正した更新済み Pidgin パッケージが Red Hat Enterprise Linux 4 および 5 で利用可能になりました。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

Pidgin は、複数のインスタントメッセージングネットワークの複数のアカウントに同時にログインできるインスタントメッセージングプログラムです。

Pidgin の MSN プロトコル実施で、ディレクトリトラバーサル欠陥が発見されました。リモートの攻撃者は、特別に細工した顔文字画像のダウンロード要求を送信して、Pidgin が Pidgin を実行しているユーザーに読み取り可能な任意のファイルを開示することができます。(CVE-2010-0013)

このパッケージでは、Pidgin はバージョン 2.6.5 にアップグレードされます。詳細な変更内容については、Pidgin のリリースノートを参照してください：
http://developer.pidgin.im/wiki/ChangeLog

Pidgin の全ユーザーは、これらの更新済みパッケージへアップグレードし、この問題を修正する必要があります。この更新を有効にするためには、Pidgin を再起動する必要があります。

Pidgin の MSN プロトコル実施で、ディレクトリトラバーサル欠陥が発見されました。リモートの攻撃者は、特別に細工した顔文字画像のダウンロード要求を送信して、Pidgin が Pidgin を実行しているユーザーに読み取り可能な任意のファイルを開示することができます。（CVE-2010-0013）

このパッケージでは、Pidgin はバージョン 2.6.5 にアップグレードされます。

この更新を有効にするためには、Pidgin を再起動する必要があります。

リモートホストにインストールされている Pidgin のバージョンは、 2.6.5 より前です。このようなバージョンには、MSN エモーティコンリクエストの処理時に、ディレクトリトラバーサルの脆弱性がります。リモートの攻撃者が、これを悪用して、任意のファイルを読み取る可能性があります。

pidgin のこの更新では、次のようないくつかのセキュリティの脆弱性を修正しています：

- MSN プロトコルを使用することによるリモートファイル漏洩の脆弱性。（CVE-2010-0013：CVSS v2 ベーススコア：4.3：パストラバーサル（CWE-22））

- libpurple の MSN プロトコルプラグインにより、リモートの攻撃者は少なくともサービス拒否（メモリ破損）を引き起こす可能性があります。（CVE-2010-0277：CVSS v2 ベーススコア：4.9：リソース管理エラー（CWE-399））

- XMPP MUC 内の同じニックネームにより、finch でクラッシュが発生します。
 （CVE-2010-0420）

- 大量のスマイリーのある IM を送信することで、リモートの DoS 攻撃（サービス拒否攻撃）（リソース消費）が可能になります。（CVE-2010-0423）

pidgin のこの更新では、次のようないくつかのセキュリティの脆弱性を修正しています

- CVE-2010-0013：CVSS v2 ベーススコア：4.3：パストラバーサル（CWE-22）MSN プロトコルを使用することによる、リモートファイル漏洩の脆弱性。

- CVE-2010-0277：CVSS v2 ベーススコア：4.9：リソース管理エラー（CWE-399）libpurple の MSN プロトコルプラグインにより、リモートの攻撃者は少なくともサービス拒否（メモリ破損）を引き起こすことができます。

- CVE-2010-0420 XMPP MUC の同じニックネームにより、 finch でクラッシュが発生します。

- CVE-2010-0423 IM で大量のスマイルを送信することで、リモートのDoS 攻撃（サービス拒否攻撃）（リソース消費）が可能になります。

The remote host is running Pidgin < 2.6.5.  Such versions are potentially affected by an information disclosure vulnerability because the MSN protocol plugin axtracts the filename of a custom emoticon from an incoming request and uploads that file without correlating the filename to a valid custom emoticon.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60724	Scientific Linux Security Update : pidgin on SL4.x, SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
44057	Ubuntu 8.04 LTS / 8.10 / 9.04 / 9.10 : pidgin vulnerabilities (USN-886-1)	Nessus	Ubuntu Local Security Checks	2010/1/19	2019/9/19	critical
47495	Fedora 11 : pidgin-2.7.0-2.fc11 (2010-8523)	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	critical
44057	Ubuntu 8.04 LTS / 8.10 / 9.04 / 9.10：pidgin 脆弱性（USN-886-1）	Nessus	Ubuntu Local Security Checks	2010/1/19	2019/9/19	critical
47495	Fedora 11 : pidgin-2.7.0-2.fc11 （2010-8523）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	critical
67987	Oracle Linux 4：pidgin（ELSA-2010-0044）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
60724	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の pidgin	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
43862	Pidgin MSN カスタムスマイリー機能エモーティコンリクエストのトラバーサルの任意ファイルの漏洩	Nessus	Windows	2010/1/12	2018/11/15	medium
44965	SuSE 11 セキュリティ更新：pidgin（SAT パッチ番号 2019）	Nessus	SuSE Local Security Checks	2010/3/3	2021/1/14	medium
44976	openSUSE セキュリティ更新：finch（finch-2032）	Nessus	SuSE Local Security Checks	2010/3/4	2021/1/14	medium
5298	Pidgin < 2.6.5 Information Disclosure Vulnerability	Nessus Network Monitor	Internet Messengers	2010/1/12	2019/3/6	medium

检测

插件搜索

medium

critical

critical

critical

critical

medium

medium

medium

medium

medium

medium