远程主机上安装的 Pidgin 的版本低于 2.10.10。因此，它受到以下漏洞的影响：

- 包含的 libpurple 库中存在与 SSL 基本约束扩展和证书颁发机构 (CA) 验证相关的错误，这允许将中间证书作为 CA 来信任。
 (CVE-2014-3694)

- 包含的 libpurple 库中存在与表情符号处理相关的错误，这允许攻击者造成应用程序崩溃。(CVE-2014-3695)

- 包含的 libpurple 库中存在与“Groupwise”消息处理和 UI 内存管理相关的错误，这允许攻击者造成应用程序崩溃。(CVE-2014-3696)

- 存在与在“smiley themes”上处理“untar”操作相关的错误，这允许任意文件覆盖。此问题仅影响 Microsoft Windows 上的安装。(CVE-2014-3697)

- 包含的 libpurple 库中存在与处理 XMPP 消息相关的错误，这允许攻击者获取任意内存内容。
 (CVE-2014-3698)

来自 Red Hat 安全公告 2017:1854： pidgin 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。 下列程序包已升级到更新的上游版本： pidgin (2.10.11)。(BZ#1369526) 安全补丁： * 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) * 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) * 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) * 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) * 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。 (CVE-2014-3694) Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢 CVE-2014-3695 和 CVE-2014-3696 的原始报告者 Yves Younan (Cisco Talos) 和 Richard Johnson (Cisco Talos)；CVE-2014-3698 的原始报告者 Thijs Alkemade 和 Paul Aurich；以及 CVE-2014-3694 的原始报告者 Moxie Marlinspike。 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

下列程序包已升级到更高的上游版本：pidgin (2.10.11)。安全修复：- 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) - 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) - 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) - 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) - 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。(CVE-2014-3694)

修复无 valgrind 的架构上的版本 更新到 2.10.10 针对 CVE-2014-3694、CVE-2014-3695、CVE-2014-3696、CVE-2014-3698 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了以下问题：

+ 常规：

- 验证 SSL/TLS 证书时检查基本限制扩展。这修复了一个安全漏洞，此漏洞可使恶意中间人冒充 IM 服务器或任何其他 https 端点。这会同时影响 NSS 和 GnuTLS 插件（CVE-2014-3694、boo#902495）。

- 将 NSS 插件用于 SSL 时，允许并优先使用 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 兼容性：

- 会将加密的帐户密码保留到设置新密码为止。

- 修复加载的 Google Talk 和 Facebook XMPP 帐户。

+ Groupwise：修复解析指示应分配大量内存的服务器消息时可能出现的远程崩溃（CVE-2014-3696，boo#902410）。

+ IRC：修复使用含 OTR 的 /me 命令时可能发生的未加密数据泄漏 (im#15750)。

+ MXit：修复解析畸形表情符号响应时可能出现的远程崩溃（CVE-2014-3695、boo#902409）。

+ XMPP：

- 修复可能的信息泄漏，其中恶意 XMPP 服务器（甚至是恶意远程用户）可以创建精心构建的 XMPP 消息，从而导致 libpurple 发送包含任意内存的 XMPP 消息（CVE-2014-3698、boo#902408）。

+ Yahoo：修复将 GnuTLS 库用于 TLS 连接时的登录问题（im#16172、boo#874606）。

Jacob Appelbaum 和一位匿名人士发现，Pidgin 未正确处理证书验证。远程攻击者可利用此漏洞执行中间人攻击以查看敏感信息或修改加密通信。(CVE-2014-3694)

Yves Younan 和 Richard Johnson 发现，Pidgin 未正确处理某些畸形 MXit 表情符号。恶意远程服务器或中间人可以利用此问题造成 Pidgin 崩溃，从而导致拒绝服务。(CVE-2014-3695)

Yves Younan 和 Richard Johnson 发现，Pidgin 未正确处理某些畸形 Groupwise 消息。恶意远程服务器或中间人可以利用此问题造成 Pidgin 崩溃，从而导致拒绝服务。(CVE-2014-3696)

Thijs Alkemade 和 Paul Aurich 发现，在处理 XMPP 消息时，Pidgin 未正确处理内存。恶意远程服务器或用户可利用此问题造成 Pidgin 泄露任意内存，从而导致信息泄露。(CVE-2014-3698)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

为 Slackware 13.0、13.1、13.37、14.0、14.1 以及当前版本提供了用于修复安全问题的新 pidgin 程序包。

已在 Pidgin（即多协议即时消息客户端）中发现多种漏洞：

- CVE-2014-3694 已发现 SSL/TLS 插件无法验证中间 CA 证书中的基本约束扩展。

- CVE-2014-3695 Yves Younan 和 Richard Johnson 发现包含超大长度值的表情符号可导致 Pidgin 崩溃。

- CVE-2014-3696 Yves Younan 和 Richard Johnson 发现畸形 Groupwise 消息可导致 Pidgin 崩溃。

- CVE-2014-3698 Thijs Alkemade 和 Paul Aurich 发现畸形 XMPP 消息可导致内存泄露。

更新到 2.10.10 针对 CVE-2014-3694、CVE-2014-3695、CVE-2014-3696、CVE-2014-3698 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- 更新到 2.10.10 版：

+ 常规：

- 验证 SSL/TLS 证书时检查基本限制扩展。这修复了一个安全漏洞，此漏洞可使恶意中间人冒充 IM 服务器或任何其他 https 端点。这会同时影响 NSS 和 GnuTLS 插件（CVE-2014-3694、boo#902495）。

- 将 NSS 插件用于 SSL 时，允许并优先使用 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 兼容性：

- 会将加密的帐户密码保留到设置新密码为止。

- 修复加载的 Google Talk 和 Facebook XMPP 帐户。

+ Windows 的特定变更：用户通过拖放来安装表情符主题时不允许覆盖文件系统上的任意文件 (CVE-2014-3697)。

+ Finch：修复针对 Python 3 的版本 (im#15969)。

+ Gadu-Gadu：已将内部 libgadu 更新到版本 1.12.0。

+ Groupwise：修复解析指示应分配大量内存的服务器消息时可能出现的远程崩溃（CVE-2014-3696，boo#902410）。

+ IRC：修复使用含 OTR 的 /me 命令时可能发生的未加密数据泄漏 (im#15750)。

+ MXit：修复解析畸形表情符号响应时可能出现的远程崩溃（CVE-2014-3695、boo#902409）。

+ XMPP：

- 修复可能的信息泄漏，其中恶意 XMPP 服务器（甚至是恶意远程用户）可以创建精心构建的 XMPP 消息，从而导致 libpurple 发送包含任意内存的 XMPP 消息（CVE-2014-3698、boo#902408）。

- 修复 Facebook XMPP 名单 quirk（im#15041、im#15957）。

+ Yahoo：修复将 GnuTLS 库用于 TLS 连接时的登录问题（im#16172、boo#874606）。

- 删除 pidgin-gstreamer1.patch：造成崩溃，并且视频仍然无法工作 (boo#853038)。切换到 GStreamer 1.0 时删除 BuildRequires 条件。

- 衍合 pidgin-crash-missing-gst-registry.patch。

+ 根据 GST doc 添加 pidgin-crash-missing-gst-registry.patch，应在任何其他调用之前调用“gst_init”。

pidgin 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。下列程序包已升级到更高的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全修复：* 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) * 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) * 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) * 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) * 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。(CVE-2014-3694) Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢 CVE-2014-3695 和 CVE-2014-3696 的原始报告者 Yves Younan (Cisco Talos) 和 Richard Johnson (Cisco Talos)；CVE-2014-3698 的原始报告者 Thijs Alkemade 和 Paul Aurich；以及 CVE-2014-3694 的原始报告者 Moxie Marlinspike。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

pidgin 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。下列程序包已升级到更高的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全修复：* 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) * 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) * 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) * 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) * 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。(CVE-2014-3694) Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢 CVE-2014-3695 和 CVE-2014-3696 的原始报告者 Yves Younan (Cisco Talos) 和 Richard Johnson (Cisco Talos)；CVE-2014-3698 的原始报告者 Thijs Alkemade 和 Paul Aurich；以及 CVE-2014-3694 的原始报告者 Moxie Marlinspike。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
78689	Pidgin < 2.10.10 多种漏洞	Nessus	Windows	2014/10/27	2019/11/25	medium
102283	Oracle Linux 7 : pidgin (ELSA-2017-1854)	Nessus	Oracle Linux Local Security Checks	2017/8/9	2021/1/14	critical
102651	Scientific Linux 安全更新：SL7.x x86_64 上的 pidgin	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	critical
79093	Fedora 21：pidgin-2.10.10-2.fc21 (2014-14112)	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79101	openSUSE 安全更新：pidgin (openSUSE-SU-2014:1376-1)	Nessus	SuSE Local Security Checks	2014/11/11	2021/1/19	medium
78663	FreeBSD：libpurple/pidgin -- 多种漏洞 (d057c5e6-5b20-11e4-bebd-000c2980a9f3)	Nessus	FreeBSD Local Security Checks	2014/10/24	2021/1/6	medium
78723	Ubuntu 14.04 LTS：Pidgin 漏洞 (USN-2390-1)	Nessus	Ubuntu Local Security Checks	2014/10/29	2023/10/20	medium
78657	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：pidgin (SSA:2014-296-02)	Nessus	Slackware Local Security Checks	2014/10/24	2021/1/14	medium
78659	Debian DSA-3055-1：pidgin - 安全更新	Nessus	Debian Local Security Checks	2014/10/24	2021/1/11	medium
79091	Fedora 20：pidgin-2.10.10-1.fc20 (2014-14069)	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79223	openSUSE 安全更新：pidgin (openSUSE-SU-2014:1397-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	medium
102102	RHEL 7 : pidgin (RHSA-2017:1854)	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	critical
102736	CentOS 7 : pidgin (CESA-2017:1854)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical

检测

插件搜索

medium

critical

critical

medium

medium

medium

medium

medium

medium

medium

medium

critical

critical