发布日期：2009-05-21
更新日期：2009-05-25

受影响系统：

Pidgin Pidgin < 2.5.6

不受影响系统：

Pidgin Pidgin 2.5.6

描述：

---

BUGTRAQ  ID: 35067
CVE(CAN) ID: CVE-2009-1376,CVE-2009-1375,CVE-2009-1374,CVE-2009-1373

Pidgin是支持多种协议的即时通讯客户端。

Pidgin在处理各种即时消息时存在多个缓冲区溢出漏洞，可能导致拒绝服务或完全入侵用户的系统。

1) 处理MSN SLP消息时的截尾错误可能导致缓冲区溢出。

2) XMPP SOCKS5 bytestream服务器在初始化出站文件传输时存在缓冲区溢出。

3) PurpleCircBuffer结构的实现中存在边界条件错误，特制的XMPP或Sametime报文可能导致内存破坏而崩溃。

4) 特制的QQ报文可能导致decrypt_out()函数出现8个字节的栈溢出。

<*来源：Veracode
        Josef Andrysek
  
  链接：http://secunia.com/advisories/35194/
        http://www.pidgin.im/news/security/?id=32
        http://www.pidgin.im/news/security/?id=30
        http://www.pidgin.im/news/security/?id=31
        http://www.pidgin.im/news/security/?id=29
        https://www.redhat.com/support/errata/RHSA-2009-1059.html
        https://www.redhat.com/support/errata/RHSA-2009-1060.html
        http://security.gentoo.org/glsa/glsa-200910-02.xml
*>

建议：

---

厂商补丁：

RedHat
------
RedHat已经为此发布了一个安全公告（RHSA-2009:1060-02）以及相应补丁:
RHSA-2009:1060-02：Important: pidgin security update
链接：https://www.redhat.com/support/errata/RHSA-2009-1060.html

Gentoo
------
Gentoo已经为此发布了一个安全公告（GLSA-200910-02）以及相应补丁:
GLSA-200910-02：Pidgin: Multiple vulnerabilities
链接：http://security.gentoo.org/glsa/glsa-200910-02.xml

所有Pidgin用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose =3Dnet-im/pidgin-2.5.9-r1

浏览次数：2505
严重程度：0（网友投票）