Säkerhetsbulletin från Debian

DSA-1870-1 pidgin -- otillräcklig kontroll av indata

Rapporterat den:

2009-08-19

Berörda paket:

pidgin

Sårbara:

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2009-2694.

Ytterligare information:

Federico Muttis upptäckte att libpurple, det delade bibliotek som tillför stöd för olika meddelandenätverk till IM-klienten pidgin, är sårbart för ett heapbaserat buffertspill. Detta problem existerar på grund av en otillräcklig rättelse för CVE-2008-2927 och CVE-2009-1376. En angripare kan utnyttja detta genom att sända två på varandra följande SLP-paket till ett offer via MSN.

Det första paketet används för att skapa ett SLP-meddelandeobjekt med en kompensering (offset) noll, det andra paketet innehåller en specialskriven kompensering som angriper den sårbara koden som ursprungligen rättades i CVE-2008-2927 och CVE-2009-1376 och tillåter en angripare att exekvera godtycklig kod.

Observera: Användare med inställningen Tillåt endast användarna nedan (Allow only the users below) är inte sårbara för detta angrepp. Om ni inte kan installera uppdateringarna nedan kan ni istället ändra denna inställning via Verktyg->Integritet (Tools->Privacy).

För den stabila utgåvan (Lenny) har detta problem rättats i version 2.4.3-4lenny3.

För uttestningsutgåvan (Squeeze) kommer detta problem att rättas inom kort.

För den instabila utgåvan (Sid) har detta problem rättats i version 2.5.9-1.

Vi rekommenderar att ni uppgraderar era pidgin-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3.orig.tar.gz; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3.dsc; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3.diff.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/p/pidgin/libpurple-bin_2.4.3-4lenny3_all.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-data_2.4.3-4lenny3_all.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple-dev_2.4.3-4lenny3_all.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dev_2.4.3-4lenny3_all.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch-dev_2.4.3-4lenny3_all.deb
Alpha:: http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_alpha.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_alpha.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_alpha.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_amd64.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_amd64.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_amd64.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_arm.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_arm.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_arm.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_arm.deb
ARM EABI:: http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_armel.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_armel.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_armel.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_armel.deb
HP Precision:: http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_hppa.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_hppa.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_hppa.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_i386.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_i386.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_i386.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_ia64.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_ia64.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_ia64.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_mips.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_mips.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_mips.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_mips.deb
PowerPC:: http://security.debian.org/pool/updates/main/p/pidgin/pidgin-dbg_2.4.3-4lenny3_powerpc.deb; http://security.debian.org/pool/updates/main/p/pidgin/pidgin_2.4.3-4lenny3_powerpc.deb; http://security.debian.org/pool/updates/main/p/pidgin/libpurple0_2.4.3-4lenny3_powerpc.deb; http://security.debian.org/pool/updates/main/p/pidgin/finch_2.4.3-4lenny3_powerpc.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.