Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.10.7 以前の Pidgin の libpurple の upnp.c は、UPnP 応答の長い文字列を適切に終了しません。これにより、リモートの攻撃者が、ローカルネットワークへのアクセスを利用して、サービス拒否（アプリケーションクラッシュ）を引き起こすことができます。 （CVE-2013-0274）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストは、GLSA-201405-22 で説明されている脆弱性の影響を受けます（Pidgin：複数の脆弱性）

Pidgin に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、Pidgin プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたり、ファイルを上書きしたり、トラフィックを偽装したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

セキュリティ問題を修正する新しい pidgin パッケージが、Slackware 12.2、13.0、13.1、 13.37、14.0、および最新版で利用可能です。

Chris Wysopal 氏は、Pidgin が MXit プロトコルハンドラーでのファイル転送を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、任意のファイルの作成あるいは上書きを行う可能性があります。この問題の影響を受けるのは、Ubuntu 11.10、Ubuntu 12.04 LTS、および Ubuntu 12.10 にのみです。
(CVE-2013-0271)

Pidgin が Mxit プロトコルハンドラー内の長い HTTP ヘッダーを不適切に処理していることが判明しました。悪意のあるリモートサーバーがこの問題を利用して、任意のコードを実行する可能性があります。(CVE-2013-0272)

Pidgin が Sametime プロトコルハンドラー内の長いユーザー ID を不適切に処理していることが判明しました。悪意のあるリモートサーバーがこの問題を利用して、Pidgin をクラッシュさせて、サービス拒否を発生させる可能性があります。
(CVE-2013-0273)

Pidgin が UPnP 応答の処理時に、長い文字列を不適切に処理することが判明しました。リモートの攻撃者がこの問題を利用して、 Pidgin をクラッシュさせ、サービス拒否を引き起こす可能性があります。
（CVE-2013-0274）。

Pidgin は 2.10.7 に更新され、IRC が 12.3 でまったく動作しなかったさまざまなセキュリティ問題やバグが修正されました。

変更：

- pidgin-irc-sasl.patch を追加します：irc モジュールを SASL にリンクします。
 IRC モジュールをロードできるようにします（bnc#806975）。

- バージョン 2.10.7 に更新してください（bnc#804742）：

+ Alien hatchery：

- 変更なし

+ 一般：

- --with-static-prpls および --with-dynamic-prpls の引数を使用して無効なプロトコルプラグインを指定している場合、

構成スクリプトはステータス 1 で終了するようになっています。
 （pidgin.im#15316）

+ libpurple：

- 過度に長い値で UPnP 応答を受け取った場合のクラッシュを修正してください。（CVE-2013-0274）

- GnuTLS サポート付きで構築している場合、libgcrypt に直接リンクしません。（pidgin.im#15329）

- 応答で空の <URLBase/> 要素を返すルーターで、UPnP マッピングを修正します。（pidgin.im#15373）

- Tcl プラグインでは、競合のないプラグインローディングである saner を使用します。

- savedstatus-changed 向けの Tcl シグナルテストプラグインを修正します。
 （pidgin.im#15443）

+ Pidgin：

- MacPorts の +no_x11 バリアントなどの X11 以外の GTK+ に対して、Pidgin を利用しやすいものにします。

+ Gadu-Gadu：

- 大規模な連絡先リストで起動したときのクラッシュを修正します。友人向けの Avatar のサポートは、3.0.0 までに無効になります。
 （pidgin.im#15226、pidgin.im#14305）

+ IRC：

- SASL 認証に対するサポート。（pidgin.im#13270）

- チャネルの参加時にトピックセッター情報を出力します。
 （pidgin.im#13317）

+ MSN：

- 一部のユーザー用の MSN に署名する場合の SSL 証明書の問題を修正します。

- そのアイコンがロードされる前にユーザーを削除する場合のクラッシュを修正します。（pidgin.im#15217）

+ MXit：

- リモートの MXit ユーザーが書き込み先のローカルファイルのパスを指定できる可能性があるバグを修正します。
 （CVE-2013-0271）

- MXit サーバーまたは中間者が、特別に細工されたデータを送信することで、バッファをオーバーフローさせたり、クラッシュまたはリモートコードの実行を引き起こしたりする可能性のあるバグを修正します。（CVE-2013-0272）

- 通常のメッセージと見分けるために、送別のメッセージを別の色で表示します。

- 記入通知のためのサポートを追加します。

- Relationship Status プロファイル属性に対するサポートを追加します。

- 非表示番号への参照をすべて削除します。

- GroupChat に参加するための新しい招待状を、すでに参加している場合、または招待状を保留している場合は無視します。

- その友人の名前は、ステータスメッセージがないか、mood が設定されていない場合、友人リストの縦方向の中央にありませんでした。

- 受信したメッセージのマークアップにおける、フォントサイズ変更のデコーディングを修正します。

- 転送可能な最大のファイルサイズを 1 MB に増やします。

- avatar 画像を設定する場合、今後 96x96 に縮小しません。

+ Sametime：

- 悪意のあるサーバーが異常に長いユーザー ID を送信した場合の、Sametime におけるクラッシュを修正します。（CVE-2013-0273）

+ Yahoo！：

- プロファイル/画像をロードするコードで二重解放を修正します。
 （pidgin.im#15053）

- サーバー側での友人エイリアスの取得を修正します。
 （pidgin.im#15381）

+ プラグイン：

- 音声/動画設定のプラグインは、sndio GStreamer バックエンドの使用をサポートします。（pidgin.im#14414）

- Contact Availability Detection プラグインでのクラッシュを修正します。（pidgin.im#15327）

- MacPorts の +no_x11 バリアントなどの X11 以外の GTK+ に対して、Message Notification プラグインを利用しやすいものにします。

+ Windows 固有の変更：

- 安全なフラグでコンパイルします（pidgin.im#15290）

- インストーラーは、GTK+ Runtime および Debug Symbols をより安全にダウンロードします。（pidgin.im#15277）

- 一部はセキュリティに関連する修正がある、多数の依存関係に更新します。（pidgin.im#14571、pidgin.im#15285、pidgin.im#15286）。ATK 1.32.0-2。Cyrus SASL 2.1.25。expat 2.1.0-1。freetype 2.4.10-1。
 gettext 0.18.1.1-2。Glib 2.28.8-1。libpng 1.4.12-1。
 libxml2 2.9.0-1。NSS 3.13.6 および NSPR 4.9.2。Pango 1.29.4-1。SILC 1.1.10。zlib 1.2.5-2

- libmeanwhile（sametime ライブラリ）にパッチを適用し、クラッシュを修正します。
 （pidgin.im#12637）

Slackware 12.2、13.0、13.1、13.37、14.0 和最新版本有最新的 pidgin 套件可修正安全性問題。

Chris Wysopal 發現 Pidgin 未正確處理 MXit 通訊協定處置程式中的檔案傳輸。遠端攻擊者可利用此問題來建立或覆寫任意檔案。此問題只會影響 Ubuntu 11.10、Ubuntu 12.04 LTS 和 Ubuntu 12.10。
(CVE-2013-0271)

據發現，Pidgin 未正確處理 MXit 通訊協定處置程式中的長 HTTP 標頭。惡意遠端伺服器可利用此問題執行任意程式碼。(CVE-2013-0272)

據發現，Pidgin 未正確處理 Sametime 通訊協定處置程式中的長使用者 ID。惡意遠端伺服器可利用此問題造成 Pidgin 損毀，進而導致拒絕服務。
(CVE-2013-0273)

據發現，當處理 UPnP 回應時，Pidgin 未正確處理長字串。遠端攻擊者可利用此問題造成 Pidgin 當機，進而導致拒絕服務。
(CVE-2013-0274)。

Pidgin 已更新至 2.10.7，可修正 IRC 根本無法在 12.3 版中正常運作的多種安全性問題與錯誤。

變更：

- 新增 pidgin-irc-sasl.patch：將 irc 模組連結至 SASL。
 允許載入 IRC 模組 (bnc#806975)。

- 2.10.7 版的更新 (bnc#804742)：

+ Alien hatchery：

- 無變更

+ 一般：

- 當使用以下項目指定無效通訊協定外掛程式時，組態指令碼現在將以狀態 1 結束：

--with-static-prpls 與 --with-dynamic-prpls 引數。
 (pidgin.im#15316)

+ libpurple：

- 修正收到包含超長值的 UPnP 回應時發生的當機。(CVE-2013-0274)

- 當在 GnuTLS 的支援之下構建時，不直接連結至 libgcrypt。(pidgin.im#15329)

- 修正在回應中傳回空白 <URLBase/> 元素之路由器上的 UPnP 對應。(pidgin.im#15373)

- Tcl 外掛程式使用 saner，這是無爭用情形的外掛程式載入。

- 修正 savedstatus-changed 的 Tcl 訊號測試外掛程式。
 (pidgin.im#15443)

+ Pidgin：

- 使 Pidgin 對非 X11 GTK+ (例如 MacPorts 的 +no_x11 變體) 而言更易用。

+ Gadu-Gadu：

- 修正大型聯絡人清單的啟動時損毀情形。好友的虛擬人偶支援將遭到停用，直到 3.0.0 為止。
 (pidgin.im#15226、pidgin.im#14305)

+ IRC：

SASL 驗證的支援。(pidgin.im#13270)

- 在通道加入時列印主題 setter 資訊。
 (pidgin.im#13317)

+ MSN：

- 修正當為某些使用者登入 MSN 時的 SSL 憑證問題。

- 修正當在載入圖示之前移除使用者時的損毀問題。(pidgin.im#15217)

+ MXit：

- 修正遠端 MXit 使用者可能指定待寫入本機檔案路徑的錯誤。
 (CVE-2013-0271)

- 修正 MXit 伺服器或攔截式攻擊可能傳送會造成緩衝區溢位或導致當機或執行遠端程式碼之特製資料的錯誤。(CVE-2013-0272)

- 以不同的色彩顯示再見訊息以將其與正常訊息區別開來。

- 新增鍵入通知的支援。

- 新增關係狀態設定檔屬性的支援。

- 移除對於隱藏號碼的所有參照。

- 如果您已經加入，或仍在擱置邀請的狀態下，則忽略新的加入 GroupChat 的邀請。

- 如果好友未設定狀態訊息或心情，則好友名稱不會在好友清單中垂直置中。

- 修正已收到訊息標記中的字型大小變更解碼。

- 將可傳輸的最大檔案大小增加到 1 MB。

- 當設定 avatar 影像時，不再將其比例縮小至 96x96。

+ Sametime：

- 修正惡意伺服器將超長的使用者 ID 傳送給我們時，Sametime 中發生的損毀情況。(CVE-2013-0273)

+ Yahoo!：

- 修正設定檔/圖片載入程式碼中的重複釋放。
 (pidgin.im#15053)

- 修正擷取伺服器端好友別名。
 (pidgin.im#15381)

+ 外掛程式：

- Voice/Video Settings 外掛程式支援使用 sndio GStreamer 後端。(pidgin.im#14414)

- 修正 Contact Availability Detection 外掛程式中的損毀情形。(pidgin.im#15327)

- 使 Message Notification 外掛程式對非 X11 GTK+ (例如 MacPorts 的 +no_x11 變體) 而言更易用。

+ Windows 特定變更：

- 使用安全旗標編譯 (pidgin.im#15290)

- 安裝程式可更安全地下載 GTK+ Runtime 與 Debug Symbols。(pidgin.im#15277)

- 一些相依性的更新，其中一部分有安全性相關修正。(pidgin.im#14571、pidgin.im#15285、pidgin.im#15286)。ATK 1.32.0-2。Cyrus SASL 2.1.25。expat 2.1.0-1。freetype 2.4.10-1。
 gettext 0.18.1.1-2。Glib 2.28.8-1。libpng 1.4.12-1。
 libxml2 2.9.0-1。NSS 3.13.6 與 NSPR 4.9.2。Pango 1.29.4-1。SILC 1.1.10。zlib 1.2.5-2

- 修補 libmeanwhile (sametime 程式庫) 以修正損毀情形。
 (pidgin.im#12637)

遠端主機受到 GLSA-201405-22 中所述的弱點影響 (Pidgin：多個弱點)

在 Pidgin 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以 Pidgin 處理程序的權限執行任意程式碼、造成拒絕服務情況、覆寫檔案或偽造流量。
 因應措施：

目前尚無已知的因應措施。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 2.10.7 版之前的 Pidgin 中，libpurple 內的 upnp.c 未正確終止 UPnP 回應中的長字串，其允許遠端攻擊者利用本機網路的存取權造成拒絕服務 (應用程式損毀)。 (CVE-2013-0274)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
217877	Linux Distros のパッチ未適用の脆弱性: CVE-2013-0274	Nessus	Misc.	2025/3/4	2025/3/4	high
74064	GLSA-201405-22：Pidgin：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical
64622	Slackware 12.2 / 13.0 / 13.1 / 13.37 / 14.0 / 最新版：pidgin（SSA:2013-044-01）	Nessus	Slackware Local Security Checks	2013/2/14	2021/1/14	medium
64890	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10 : pidgin の脆弱性（USN-1746-1）	Nessus	Ubuntu Local Security Checks	2013/2/26	2019/9/19	medium
74934	openSUSE セキュリティ更新：pidgin（openSUSE-SU-2013:0511-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
64622	Slackware 12.2 / 13.0 / 13.1 / 13.37 / 14.0 / 最新版本：pidgin (SSA:2013-044-01)	Nessus	Slackware Local Security Checks	2013/2/14	2021/1/14	medium
64890	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10 : pidgin 弱點 (USN-1746-1)	Nessus	Ubuntu Local Security Checks	2013/2/26	2019/9/19	medium
74934	openSUSE 安全性更新：pidgin (openSUSE-SU-2013:0511-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74064	GLSA-201405-22 : Pidgin：多個弱點	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	critical
217877	Linux Distros 未修補弱點：CVE-2013-0274	Nessus	Misc.	2025/3/4	2025/3/4	high

检测

插件搜索

high

critical

medium

medium

medium

medium

medium

medium

critical

high