Pidgin pidgin-knotify插件远程SHELL命令注入漏洞

Pidgin pidgin-knotify插件远程SHELL命令注入漏洞

发布日期：2010-09-12
更新日期：2010-10-12

受影响系统：
pidgin-knotify pidgin-knotify 0.2.1
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 43206
CVE ID: CVE-2010-3088

pidgin-knotify是用于在KDE 4环境中使用的Pidgin事件通知插件。

pidgin-knotify插件的pidgin-knotify.c文件下的notify函数缺少输入过滤，远程攻击者可以通过在消息中包含恶意shell元字符导致注入并执行任意命令。以下是src/pidgin-knotify.c文件71-74行中的有漏洞代码段：

command = g_strdup_printf("kdialog --title '%s' --passivepopup '%s' %d", title,
body, timeout);                                       
[...]
result = system(command);

<*来源：Matthias Petschick
 
  链接：http://secunia.com/advisories/41382/
        https://bugs.gentoo.org/show_bug.cgi?format=multiple&id=336916
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

pidgin-knotify
--------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://code.google.com/p/pidgin-knotify/issues/detail?id=1