Pidgin was updated to 2.10.7 to fix various security issues and the bug that IRC did not work at all in 12.3.

Changes :

  - Add pidgin-irc-sasl.patch: link irc module to SASL.
    Allows the IRC module to be loaded (bnc#806975).

  - Update to version 2.10.7 (bnc#804742) :

  + Alien hatchery :

  - No changes

  + General :

  - The configure script will now exit with status 1 when     specifying invalid protocol plugins using the

    --with-static-prpls and --with-dynamic-prpls arguments.
    (pidgin.im#15316)

  + libpurple :

  - Fix a crash when receiving UPnP responses with     abnormally long values. (CVE-2013-0274)

  - Don't link directly to libgcrypt when building with     GnuTLS support. (pidgin.im#15329)

  - Fix UPnP mappings on routers that return empty     <URLBase/> elements in their response. (pidgin.im#15373)

  - Tcl plugin uses saner, race-free plugin loading.

  - Fix the Tcl signals-test plugin for savedstatus-changed.
    (pidgin.im#15443)

  + Pidgin :

  - Make Pidgin more friendly to non-X11 GTK+, such as     MacPorts' +no_x11 variant.

  + Gadu-Gadu :

  - Fix a crash at startup with large contact list. Avatar     support for buddies will be disabled until 3.0.0.
    (pidgin.im#15226, pidgin.im#14305)

  + IRC :

  - Support for SASL authentication. (pidgin.im#13270)

  - Print topic setter information at channel join.
    (pidgin.im#13317)

  + MSN :

  - Fix SSL certificate issue when signing into MSN for some     users.

  - Fix a crash when removing a user before its icon is     loaded. (pidgin.im#15217)

  + MXit :

  - Fix a bug where a remote MXit user could possibly     specify a local file path to be written to.
    (CVE-2013-0271)

  - Fix a bug where the MXit server or a man-in-the-middle     could potentially send specially crafted data that could     overflow a buffer and lead to a crash or remote code     execution. (CVE-2013-0272)

  - Display farewell messages in a different colour to     distinguish them from normal messages.

  - Add support for typing notification.

  - Add support for the Relationship Status profile     attribute.

  - Remove all reference to Hidden Number.

  - Ignore new invites to join a GroupChat if you're already     joined, or still have a pending invite.

  - The buddy's name was not centered vertically in the     buddy-list if they did not have a status-message or mood     set.

  - Fix decoding of font-size changes in the markup of     received messages.

  - Increase the maximum file size that can be transferred     to 1 MB.

  - When setting an avatar image, no longer downscale it to     96x96.

  + Sametime :

  - Fix a crash in Sametime when a malicious server sends us     an abnormally long user ID. (CVE-2013-0273)

  + Yahoo! :

  - Fix a double-free in profile/picture loading code.
    (pidgin.im#15053)

  - Fix retrieving server-side buddy aliases.
    (pidgin.im#15381)

  + Plugins :

  - The Voice/Video Settings plugin supports using the sndio     GStreamer backends. (pidgin.im#14414)

  - Fix a crash in the Contact Availability Detection     plugin. (pidgin.im#15327)

  - Make the Message Notification plugin more friendly to     non-X11 GTK+, such as MacPorts' +no_x11 variant.

  + Windows-Specific Changes :

  - Compile with secure flags (pidgin.im#15290)

  - Installer downloads GTK+ Runtime and Debug Symbols more     securely. (pidgin.im#15277)

  - Updates to a number of dependencies, some of which have     security related fixes. (pidgin.im#14571,     pidgin.im#15285, pidgin.im#15286) . ATK 1.32.0-2 . Cyrus     SASL 2.1.25 . expat 2.1.0-1 . freetype 2.4.10-1 .
    gettext 0.18.1.1-2 . Glib 2.28.8-1 . libpng 1.4.12-1 .
    libxml2 2.9.0-1 . NSS 3.13.6 and NSPR 4.9.2 . Pango     1.29.4-1 . SILC 1.1.10 . zlib 1.2.5-2

  - Patch libmeanwhile (sametime library) to fix crash.
    (pidgin.im#12637)

The remote host is affected by the vulnerability described in GLSA-201405-22 (Pidgin: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Pidgin. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the Pidgin process, cause a Denial of Service condition,       overwrite files, or spoof traffic.
  Workaround :

    There is no known workaround at this time.

セキュリティ問題を修正する新しい pidgin パッケージが、Slackware 12.2、13.0、13.1、 13.37、14.0、および最新版で利用可能です。

Chris Wysopal 氏は、Pidgin が MXit プロトコルハンドラーでのファイル転送を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、任意のファイルの作成あるいは上書きを行う可能性があります。この問題の影響を受けるのは、Ubuntu 11.10、Ubuntu 12.04 LTS、および Ubuntu 12.10 にのみです。
(CVE-2013-0271)

Pidgin が Mxit プロトコルハンドラー内の長い HTTP ヘッダーを不適切に処理していることが判明しました。悪意のあるリモートサーバーがこの問題を利用して、任意のコードを実行する可能性があります。(CVE-2013-0272)

Pidgin が Sametime プロトコルハンドラー内の長いユーザー ID を不適切に処理していることが判明しました。悪意のあるリモートサーバーがこの問題を利用して、Pidgin をクラッシュさせて、サービス拒否を発生させる可能性があります。
(CVE-2013-0273)

Pidgin が UPnP 応答の処理時に、長い文字列を不適切に処理することが判明しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。
（CVE-2013-0274）。

Pidgin は 2.10.7 に更新され、IRC が 12.3 でまったく動作しなかったさまざまなセキュリティ問題やバグが修正されました。

変更：

- pidgin-irc-sasl.patch を追加します：irc モジュールを SASL にリンクします。
 IRC モジュールをロードできるようにします（bnc#806975）。

- バージョン 2.10.7 に更新してください（bnc#804742）：

+ Alien hatchery：

- 変更なし

+ 一般：

- --with-static-prpls および --with-dynamic-prpls の引数を使用して無効なプロトコルプラグインを指定している場合、

構成スクリプトはステータス 1 で終了するようになっています。
 （pidgin.im#15316）

+ libpurple：

- 過度に長い値で UPnP 応答を受け取った場合のクラッシュを修正してください。（CVE-2013-0274）

- GnuTLS サポート付きで構築している場合、libgcrypt に直接リンクしません。（pidgin.im#15329）

- 応答で空の <URLBase/> 要素を返すルーターで、UPnP マッピングを修正します。（pidgin.im#15373）

- Tcl プラグインでは、競合のないプラグインローディングである saner を使用します。

- savedstatus-changed 向けの Tcl シグナルテストプラグインを修正します。
 （pidgin.im#15443）

+ Pidgin：

- MacPorts の +no_x11 バリアントなどの X11 以外の GTK+ に対して、Pidgin を利用しやすいものにします。

+ Gadu-Gadu：

- 大規模な連絡先リストで起動したときのクラッシュを修正します。友人向けの Avatar のサポートは、3.0.0 までに無効になります。
 （pidgin.im#15226、pidgin.im#14305）

+ IRC：

- SASL 認証に対するサポート。（pidgin.im#13270）

- チャネルの参加時にトピックセッター情報を出力します。
 （pidgin.im#13317）

+ MSN：

- 一部のユーザー用の MSN に署名する場合の SSL 証明書の問題を修正します。

- そのアイコンがロードされる前にユーザーを削除する場合のクラッシュを修正します。（pidgin.im#15217）

+ MXit：

- リモートの MXit ユーザーが書き込み先のローカルファイルのパスを指定できる可能性があるバグを修正します。
 （CVE-2013-0271）

- MXit サーバーまたは中間者が、特別に細工されたデータを送信することで、バッファをオーバーフローさせたり、クラッシュまたはリモートコードの実行を引き起こしたりする可能性のあるバグを修正します。（CVE-2013-0272）

- 通常のメッセージと見分けるために、送別のメッセージを別の色で表示します。

- 記入通知のためのサポートを追加します。

- Relationship Status プロファイル属性に対するサポートを追加します。

- 非表示番号への参照をすべて削除します。

- GroupChat に参加するための新しい招待状を、すでに参加している場合、または招待状を保留している場合は無視します。

- その友人の名前は、ステータスメッセージがないか、mood が設定されていない場合、友人リストの縦方向の中央にありませんでした。

- 受信したメッセージのマークアップにおける、フォントサイズ変更のデコーディングを修正します。

- 転送可能な最大のファイルサイズを 1 MB に増やします。

- avatar 画像を設定する場合、今後 96x96 に縮小しません。

+ Sametime：

- 悪意のあるサーバーが異常に長いユーザー ID を送信した場合の、Sametime におけるクラッシュを修正します。（CVE-2013-0273）

+ Yahoo！：

- プロファイル/画像をロードするコードで二重解放を修正します。
 （pidgin.im#15053）

- サーバー側での友人エイリアスの取得を修正します。
 （pidgin.im#15381）

+ プラグイン：

- 音声/動画設定のプラグインは、sndio GStreamer バックエンドの使用をサポートします。（pidgin.im#14414）

- Contact Availability Detection プラグインでのクラッシュを修正します。（pidgin.im#15327）

- MacPorts の +no_x11 バリアントなどの X11 以外の GTK+ に対して、Message Notification プラグインを利用しやすいものにします。

+ Windows 固有の変更：

- 安全なフラグでコンパイルします（pidgin.im#15290）

- インストーラーは、GTK+ Runtime および Debug Symbols をより安全にダウンロードします。（pidgin.im#15277）

- 一部はセキュリティに関連する修正がある、多数の依存関係に更新します。（pidgin.im#14571、pidgin.im#15285、pidgin.im#15286）。ATK 1.32.0-2。Cyrus SASL 2.1.25。expat 2.1.0-1。freetype 2.4.10-1。
 gettext 0.18.1.1-2。Glib 2.28.8-1。libpng 1.4.12-1。
 libxml2 2.9.0-1。NSS 3.13.6 および NSPR 4.9.2。Pango 1.29.4-1。SILC 1.1.10。zlib 1.2.5-2

- libmeanwhile（sametime ライブラリ）にパッチを適用し、クラッシュを修正します。
 （pidgin.im#12637）

リモートホストは、GLSA-201405-22 で説明されている脆弱性の影響を受けます（Pidgin：複数の脆弱性）

Pidgin に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、Pidgin プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたり、ファイルを上書きしたり、トラフィックを偽装したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Pidgin 报告：

libpurple

修复了接收具有异常长值的 UPnP 响应时发生崩溃的问题。

MXit

修复了远程 MXit 用户可能会指定要写入的本地文件路径的两个缺陷。

修复了以下缺陷：MXit 服务器或中间人可能发送特别构建的数据使缓冲区溢出，并导致崩溃或远程代码执行。

Sametime

修复了当恶意服务器发送异常长用户 ID 时 Sametime 崩溃的问题。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 2.10.7 的 Pidgin 中，libpurple 的 Sametime 协议插件中的 sametime.c 未正确终止长用户 ID，这允许远程服务器通过构建的数据包造成拒绝服务（应用程序崩溃）。 (CVE-2013-0273)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

已更新 pidgin，修复了 4 个安全问题：

- 修复了接收具有异常长值的 UPnP 响应时发生崩溃的问题。（CVE-2013-0274、bnc#804742）

- 修复了当恶意服务器发送异常长用户 ID 时 Sametime 协议崩溃的问题。
 （CVE-2013-0273、bnc#804742）

- 修复了以下缺陷：MXit 服务器或中间人可能发送特别构建的数据使缓冲区溢出，并导致崩溃或远程代码执行。（CVE-2013-0272、bnc#804742）

- 修复了远程 MXit 用户可能指定要写入的本地文件路径的缺陷。
 （CVE-2013-0271、bnc#804742）

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 Yahoo! 协议插件未正确验证 UTF-8 数据，这允许远程攻击者通过构建的字节序列造成拒绝服务（应用程序崩溃）。
 (CVE-2012-6152)

- 在 2.10.7 之前的 Pidgin 中，libpurple 中的 MXit 协议插件可允许远程攻击者通过构建 (1) mxit 或 (2) mxit/imagestrips 路径名创建或覆盖文件。(CVE-2013-0271)

- 在 2.10.7 之前的 Pidgin 中，libpurple 中 MXit 协议插件的 http.c 中存在缓冲区溢出，允许远程服务器通过长 HTTP 标头执行任意代码。
 (CVE-2013-0272)

- 在 2.10.7 之前的 Pidgin 中，libpurple 中 Sametime 协议插件中的 sametime.c 未正确终止长用户 ID，这允许远程服务器通过构建的数据包造成拒绝服务（应用程序崩溃）。
 (CVE-2013-0273)

- 在 2.10.7 之前的 Pidgin 中，libpurple 中的 upnp.c 未正确终止 UPnP 响应中的长字符串，这允许远程攻击者通过利用本地网络访问权限造成拒绝服务（应用程序崩溃）。(CVE-2013-0274)

- 2.10.8 之前的 Pidgin 中的 libpurple 中存在多个整数符号错误，允许远程攻击者通过在 XMPP 消息中构建的时间戳值造成拒绝服务（应用程序崩溃）。(CVE-2013-6477)

- 2.10.8 之前的 Pidgin 中的 gtkimhtml.c 未与宽 Pango 布局的底层库支持功能正常交互，这允许用户协助的远程攻击者通过用工具提示检查的长 URL 造成拒绝服务（应用程序崩溃）。(CVE-2013-6478)

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 util.c 未正确为不符合 Content-Length 标头的 HTTP 响应分配内存，这允许远程 HTTP 服务器通过构建的响应造成拒绝服务（应用程序崩溃）。
 (CVE-2013-6479)

- 2.10.8 之前的 Pidgin 中的 libpurple/protocols/yahoo/libymsg.c 允许远程攻击者通过具有构建的长度字段的 Yahoo! P2P 消息（其触发缓冲区读取越界）造成拒绝服务（崩溃）。
 (CVE-2013-6481)

- 2.10.8 之前的 Pidgin 允许远程 MSN 服务器通过构建的 (1) SOAP 响应、(2) OIM XML 响应或 (3) Content-Length 标头造成拒绝服务（空指针取消引用和崩溃）。(CVE-2013-6482)

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 XMPP 协议插件未正确判断 iq 回复中的发出地址是否与 iq 请求中的收取地址一致，这允许远程攻击者通过构建的回复来欺骗 iq 流量或造成拒绝服务（空指针取消引用和应用程序崩溃）。
 (CVE-2013-6483)

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 STUN 协议实现允许远程 STUN 服务器通过触发套接字读取错误来造成拒绝服务（越界写入操作和应用程序崩溃）。
 (CVE-2013-6484)

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 util.c 中存在缓冲区溢出，允许远程 HTTP 服务器通过分块传输编码数据中的无效区块大小字段造成拒绝服务（应用程序崩溃），或可能造成其他不明影响。(CVE-2013-6485)

- Windows 上 2.10.8 之前的 Pidgin 中的 gtkutils.c 允许用户协助的远程攻击者通过一个消息来执行任意程序，此消息包含构造 explorer.exe 命令期间未正确处理的 file: URL。注意：存在此漏洞的原因是对 CVE-2011-3185 的修复不完整。
 (CVE-2013-6486)

- 在 2.10.8 之前的 Pidgin 中，Gadu-Gadu (gg) 解析器中的 libpurple/protocols/gg/lib/http.c 中存在整数溢出，允许远程攻击者通过较大的 Content-Length 值（其触发缓冲区溢出）造成不明影响。(CVE-2013-6487)

- 在 2.10.8 之前的 Pidgin 中，MXit 功能中的整数符号错误允许远程攻击者通过构建的表情符号值（其触发整数溢出和缓冲区溢出）造成拒绝服务（分段错误）。(CVE-2013-6489)

- 2.10.8 之前的 Pidgin 中的 SIMPLE 协议功能允许远程攻击者通过负的 Content-Length 标头（其触发缓冲区溢出）造成不明影响。(CVE-2013-6490)

- 在 2.10.8 之前的 Pidgin 中，libpurple 中的 IRC 协议插件未验证参数计数，这允许远程 IRC 服务器通过构建的消息造成拒绝服务（应用程序崩溃）。
 (CVE-2014-0020)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
74934	openSUSE Security Update : pidgin (openSUSE-SU-2013:0511-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74064	GLSA-201405-22 : Pidgin: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical
64622	Slackware 12.2 / 13.0 / 13.1 / 13.37 / 14.0 / 最新版：pidgin（SSA:2013-044-01）	Nessus	Slackware Local Security Checks	2013/2/14	2021/1/14	medium
64890	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10 : pidgin の脆弱性（USN-1746-1）	Nessus	Ubuntu Local Security Checks	2013/2/26	2019/9/19	medium
74934	openSUSE セキュリティ更新：pidgin（openSUSE-SU-2013:0511-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74064	GLSA-201405-22：Pidgin：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical
65184	FreeBSD：libpurple -- 多种漏洞 (549787c1-8916-11e2-8549-68b599b52a02)	Nessus	FreeBSD Local Security Checks	2013/3/11	2021/1/6	medium
218016	Linux Distros 未修补的漏洞: CVE-2013-0273	Nessus	Misc.	2025/3/4	2025/3/4	high
65024	SuSE 11.2 安全更新：pidgin（SAT 修补程序编号 7429）	Nessus	SuSE Local Security Checks	2013/3/5	2021/1/19	medium
80740	Oracle Solaris 第三方修补程序更新：pidgin (multiple_vulnerabilities_in_pidgin2)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	critical

检测

插件搜索

medium

critical

medium

medium

medium

critical

medium

high

medium

critical