Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

23/08/2011

Vulnerabilidad en el cliente de Mensajería Instantánea Pidgin

Una incorrecta gestión de URLs puede utilizarse para ejecutar código de forma remota

Pidgin soporta el manejo de URLs en las sesiones de mensajería instantánea. La ventana de conversación deja pasar URLs directamente a la API de ejecución de código donde es ejecutada bajo el contexto del usuario que ejecuta la aplicación. 

Cuando se le pasa una dirección del tipo "file://" un ejecutable malicioso puede alojar y ejecutar un recurso WEBDAV/SMB remoto.

La vulnerabilidad requiere la interación de usuario, de forma que tiene que pinchar un enlace modificado, pero la función de insertar enlaces de Pidgin da la opción de añadir una descripción al enlace, lo que permitiría enmascarar la dirección subyacente. Esto hace que el enlace pueda pasar más inadvertido al parecer un enlace legítimo.

Sistemas Afectados:

Versiones de Pidgin anteriores a 2.9.0

Referencias:

2011-3185

Solución:

Actualizar a la versión 2.10.0

Notas:

http://www.insomniasec.com/advisories/ISVA-110822.1.htm
http://www.pidgin.im/news/security/?id=55 

CSIRT-CV