远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-3031-1 公告中提及的多个漏洞影响。

    Yves Younan 发现，Pidgin 的 MXit 协议支持中包含有多个问题。远程攻击者可利用此问题导致 Pidgin 崩溃，从而导致拒绝服务或可能执行任意代码。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Pidgin 版本低于 2.11.0。
因此，它受到多种漏洞的影响：

- 处理 MXIT 协议时存在一个空指针取消引用缺陷。远程攻击者可利用此缺陷，通过构建的 MXIT 数据造成拒绝服务。
 (CVE-2016-2365)

- 处理 MXIT 协议时存在多个越界读取错误。远程攻击者可利用这些错误，通过构建的 MXIT 数据造成拒绝服务。
 （CVE-2016-2366、CVE-2016-2370）

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过无效的虚拟形象大小，泄露内存内容或造成拒绝服务。(CVE-2016-2367)

- 处理 MXIT 协议时存在多个内存损坏问题。远程攻击者可利用这些问题，通过构建的 MXIT 数据泄露内存内容或执行任意代码。(CVE-2016-2368)

- 处理 MXIT 协议时存在一个空指针取消引用缺陷。远程攻击者可利用此缺陷，通过以空字节开头的构建的 MXIT 数据包造成拒绝服务。(CVE-2016-2369)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过构建的 MXIT 数据损坏内存，从而导致任意代码执行。(CVE-2016-2371)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过无效的文件传输大小，泄露内存内容或造成拒绝服务。(CVE-2016-2372)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过发送无效的 mood 造成拒绝服务。
 (CVE-2016-2373)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过构建的 MXIT MultiMX 消息泄露内存内容或执行任意代码。(CVE-2016-2374)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过构建的 MXIT 联系信息泄露内存内容。(CVE-2016-2375)

- 处理 MXIT 协议时存在一个缓冲区溢出情况。远程攻击者可利用此问题，通过含有无效大小的构建的数据包来执行任意代码。(CVE-2016-2376)

- 处理 MXIT 协议时存在一个越界写入错误。远程攻击者可利用此错误，通过 HTTP 请求的负 content-length 响应造成拒绝服务。(CVE-2016-2377)

- 处理 MXIT 协议时存在一个缓冲区溢出情况。远程攻击者可利用此问题，通过使用负长度值的构建的数据造成拒绝服务。(CVE-2016-2378)

- MXIT 中存在一个缺陷，这是因为加密用户密码时使用了弱加密所导致。中间人攻击者如果能访问登录消息，便可利用此缺陷来冒充用户。(CVE-2016-2379)

- 处理 MXIT 协议时存在一个越界读取错误。远程攻击者可利用此错误，通过构建的本地消息泄露内存内容。
 (CVE-2016-2380)

- 处理 MXIT 协议时存在一个目录遍历缺陷。远程攻击者可利用此缺陷，通过使用无效启动图像文件名的构建的 MXIT 数据来覆盖文件。(CVE-2016-4323)

- 存在一个不明漏洞，这是因为使用 GnuTLS 时未正确导入 X.509 证书所导致。无其他详细内容。
 (VulnDB 140411)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Pidgin 中处理 MXIT 协议的过程中存在一个可利用的内存损坏漏洞。
    通过服务器发送特别构建的 MXIT MultiMX 消息可造成越界写入，造成内存泄露和代码执行。 (CVE-2016-2374)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

已在 Debian/Wheezy 的 Pidgin 中发现并修复了许多安全问题。

CVE-2016-2365

MXIT 标记命令拒绝服务漏洞

CVE-2016-2366

MXIT 表命令拒绝服务漏洞

CVE-2016-2367

MXIT 虚拟形象长度内存泄露漏洞

CVE-2016-2368

MXIT g_snprintf 多种缓冲区溢出漏洞

CVE-2016-2369

MXIT CP_SOCK_REC_TERM 拒绝服务漏洞

CVE-2016-2370

MXIT 自定义资源拒绝服务漏洞

CVE-2016-2371

MXIT 扩展配置文件代码执行漏洞

CVE-2016-2372

MXIT 文件传输长度内存泄露漏洞

CVE-2016-2373

MXIT 联系人心情拒绝服务漏洞

CVE-2016-2374

MXIT MultiMX 消息代码执行漏洞

CVE-2016-2375

MXIT 建议的联系人内存泄露漏洞

CVE-2016-2376

MXIT 读取阶段 0x3 代码执行漏洞

CVE-2016-2377

MXIT HTTP Content-Length 缓冲区溢出漏洞

CVE-2016-2378

MXIT get_utf8_string 代码执行漏洞

CVE-2016-2380

MXIT mxit_convert_markup_tx 信息泄漏漏洞

CVE-2016-4323

MXIT 启动图像任意文件覆盖漏洞

对于 Debian 7“Wheezy”，这些问题已在 2.10.10-1~deb7u2 版本中修复。

建议您升级 pidgin 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Cisco Talos 的 Yves Younan 发现，pidgin（多重协议即时消息客户端）中的 MXit 协议支持有数个漏洞。远程攻击者可利用这些缺陷，造成拒绝服务（应用程序崩溃）、覆盖文件、信息泄露，或可能执行任意代码。

远程主机受到 GLSA-201701-38 中所述漏洞的影响（Pidgin：多个漏洞）

    已在 Pidgin 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能使用 MXit 协议发送特制的数据，进而可能导致以进程的权限远程执行任意代码、拒绝服务情况，或泄露机密信息。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
92033	Ubuntu 14.04 LTS：Pidgin 漏洞 (USN-3031-1)	Nessus	Ubuntu Local Security Checks	2016/7/13	2025/2/18	critical
91784	Pidgin < 2.11.0 多种漏洞	Nessus	Windows	2016/6/23	2025/2/18	critical
219293	Linux Distros 未修补的漏洞: CVE-2016-2374	Nessus	Misc.	2025/3/4	2025/3/4	high
91922	Debian DLA-542-1：pidgin 安全更新	Nessus	Debian Local Security Checks	2016/7/5	2021/1/11	high
92328	Debian DSA-3620-1：pidgin - 安全更新	Nessus	Debian Local Security Checks	2016/7/18	2021/1/11	high
96542	GLSA-201701-38 : Pidgin：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/17	2021/1/11	critical

检测

插件搜索

critical

critical

high

high

high

critical