发布日期：2010-09-12
更新日期：2010-10-12
受影响系统：
pidgin-knotify pidgin-knotify 0.2.1
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 43206
CVE ID: CVE-2010-3088
pidgin-knotify是用于在KDE 4环境中使用的Pidgin事件通知插件。
pidgin-knotify插件的pidgin-knotify.c文件下的notify函数缺少输入过滤，远程攻击者可以通过在消息中包含恶意shell元字符导致注入并执行任意命令。以下是src/pidgin-knotify.c文件71-74行中的有漏洞代码段：
command = g_strdup_printf("kdialog --title '%s' --passivepopup '%s' %d", title,
body, timeout);
[...]
result = system(command);
<*来源：Matthias Petschick
链接：
https://bugs.gentoo.org/show_bug.cgi?format=multiple&id=336916
*>
建议：
--------------------------------------------------------------------------------
厂商补丁：
pidgin-knotify
--------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：