LinuxLounge.net und ab auf die Couch!

Sicherheitslücke in libpurple erlaubt Einschleußen von Fremdcode

Die libpurple ist das sogennannte Backend vieler freier Messenger, wie Pidgin, Adium oder Finch. Im Model-View-Controller-Prinzip stellt es das Model dar und löst somit bei Sicherheitsproblemen diese in allen implementierten Oberflächen aus. Gestern wurde eine Sicherheitslücke in der oftgenutzten Bibliothek bekannt, die es erlaubt über speziell erstellte MSN-Nachrichten Fremdcode in den aktuell ausführenden Benutzer einzuschleußen. Dabei werden hintereinander zwei selbstgebastelte MSNSLP Messages mit ungültigem Inhalt gesendet. Das soll ermöglichen, den Speicherbereich zu einem nicht vorhandenen Ziel zu kopieren (memcopy). Während die Entwickler von Pidgin angeben den Bug in Version 2.5.9 unter Kontrolle  bekommen zu haben, berichtigt das entdeckende Unternehmen Core Security Technologies, die den Bug entdeckt haben, dass dieser erst ab Versionen => 2.6.0 beseitigt sei. Verwirrung erzeugten die Pidgin-Entwickler indem sie im Verlauf des gestrigen Tages drei Minor-Versionen released haben, nämlich 2.5.9, 2.6.0 sowie 2.6.1, wie man dem Changelog entnehmen kann. Um sich abzusichern, auch wenn man das MSN-Protokoll gar nicht einsetzt, sollte man nun den systemeigenen Upgrade-Prozess anwerfen und schauen ob der Distributor bereits reagiert hat: Weiterhin haben die Pidgin-Entwickler mit Version 2.6.1 still und leise neue Funktionen, wie z.B. Audio- und Videochat mit Google Talk Benutzern eingeführt, das Golem bunt beschreibt. Weiterführende Links

• Pidgin Security Advisories
• Core Security Technologies: Libpurple msn_slplink_process_msg() Arbitrary Write Vulnerability
• Pidgin 2.6.1 mit Audio- und Videochat veröffentlicht - Golem.de