Nhiều lỗ hổng tồn tại trong phần mềm nhắn tin nhanh Pidgin

Phiên bản mới nhất của ứng dụng nhắn tin nhanh Pidgin (2.10.10) đã xử lý rất nhiều lỗ hổng bao gồm ba lỗ hổng nghiêm trọng được báo cáo bởi Cisco.

Một trong những lỗ hổng được Cisco xác định với mã CVE-2014-3697 có ảnh hưởng đến những khách hàng sử dụng các gói biểu tượng cảm xúc và chủ đề trên Windows. Những gói này được cài đặt bởi người dùng bằng cách kéo thả tệp tin TAR (Tape ARchive). Trên Linux, TAR là một định dạng chuẩn và có ứng dụng giải nén mặc định, Pidgin tự động giải nén tệp tin TAR vào thư mục chứa chủ đề và biểu tượng cảm xúc. Tuy nhiên, trên Windows công cụ giải nén TAR không có sẵn, nhà phát triển Pidgin đã sử dụng code đặc biệt đi kèm cho việc giải nén. Vấn đề ở đây là những tệp tin này được giải nén đến vị trí tùy ý, cho phép kẻ tấn công viết hoặc ghi đè bất kì tập tin tùy ý phụ thuộc vào quyền của người dùng.

Lỗ hổng thứ hai được phát hiện bởi Cisco (CVE-2014-3696) liên quan đến xử lí libpurple, giao thức của Novell GroupWise. Tin tặc có thể khai thác từ xa gây tràn bộ nhớ khiến ứng dụng bị đổ vỡ (crash) chương trình.

Vấn đề thứ ba (CVE-2014-3695) xảy ra khi người dùng tải về những biểu tượng cảm xúc của tin tặc khiến Pidgin crash. Phiên bản mới Pidgin 2.10.10, các nhà phát triển đã giải quyết vấn đề liên quan đến chứ chỉ SSL/TLS (CVE-2014-3694) có thể giả mạo máy chủ hoặc thiết bị HTTPS đầu cuối thông qua tấn công man-in-the-middle (MitM).