10 уязвимости в GStreamer, водещи до отдалечено изпълнение на код

В мултимедийния фреймуърк GStreamer, използван в GNOME, бяха открити 10 уязвимости, от които всички са обозначени като позволяващи дистанционно изпълнение на код при обработка на неправилно форматирани мултимедийни данни в форматите AVI, RTP, H.266, JPEG, ASF и RealMedia, а също и на субтитри DVB-SUB. На две от проблемите е присвоен ниво на опасност 8.8 от 10, а на останалите 7.8. Осем уязвимости водят до запис на данни извън буфера, а две до препълване на цели числа.

• CVE-2026-3085, CVE-2026-3083 — препълване на буфера в плагина rtp, което възниква поради липсата на подходяща проверка на размера и данните при обработка на полета X-QDM RTP.
• CVE-2026-2923 — препълване на буфера при обработка на неправилни координати в субтитри DVB-SUB.
• CVE-2026-3081 — препълване на буфера поради неправилна проверка на размера на структурите при разбор на формата H.266 (VVC, Удобен видео кодек).
• CVE-2026-3082 — препълване на буфера поради липса на подходящи проверки на размера при разбор на Хъфман таблиците в изображения JPEG.
• CVE-2026-2920 — препълване на буфера поради липса на подходящи проверки на размера при разбор на заглавията на мултимедийните контейнери в ASF формат.
• CVE-2026-2922 — препълване на буфера поради неправилна проверка на структурите при разбор на мултимедийните контейнери в формата RealMedia.
• CVE-2026-2921 — препълване на цели числа при разбор на RIFF блокове с палитра в AVI файлове.
• CVE-2026-3084 — препълване на цели числа в реализацията на кодека H.266 при разбор на секции с изображения.
• CVE-2026-3086 — препълване на буфера в реализацията на кодека H.266 при разбор на APS блокове.

Библиотеката GStreamer се използва за разбор на мултимедийни файлове в приложенията Nautilus (GNOME Files), GNOME Videos и Rhythmbox, а също и в развиващия се проект на GNOME търсачка localsearch (по-рано известен като tracker-miners). Този двигател се инсталира в много дистрибуции като зависимост на пакета tracker-extract, който се използва в GNOME за автоматичен разбор на метаданни в нови файлове. Сред другото, посочената услуга индексира всички файлове в домашната директория без никакви действия от страна на потребителя. Следователно, за атака е достатъчно да се постигне появата на специално създаден мултимедиен файл в директорията на потребителя и уязвимостта ще бъде експлоатирана по време на автоматичната му индексация.

В повечето дистрибуции с GNOME компонентите localsearch (tracker-miners) са активирани по подразбиране и се зареждат като задължителна зависимост за файловия мениджър Nautilus (GNOME Files). Започвайки от GNOME 46, процесът localsearch се стартира с използване на сандбокс изолация. За да деактивирате извличането на метаданни, можете да изтриете файловете с правила от директорията /usr/share/localsearch3/extract-rules/ или /usr/share/tracker3-miners/extract-rules/.

Уязвимости са отстранени в обновлението на GStreamer 1.28.1. Статусът на отстраняване на уязвимостите в дистрибуциите може да се оцени на тези страници (ако страницата е недостъпна, значи разработчиците на дистрибуцията все още не са започнали да разглеждат проблема): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.

Източник: opennet.ru